Brasil reconoce adecuación UE para datos personales

La Autoridade Nacional de Proteção de Dados de Brasil aprobó la Resolución CD/ANPD Nº 32/2026 y reconoció formalmente la adecuación de la Unión Europea como destino para transferencias internacionales de datos personales bajo la LGPD. La medida, según Global Compliance Map, también habilita un marco de adecuación mutua entre empresas de Brasil y de la UE, con exclusión expresa de los contextos de seguridad pública.

¿Qué cambia con la Resolución CD/ANPD Nº 32/2026?

La resolución permite que empresas de Brasil y de la Unión Europea se basen en un esquema de adecuación mutua para transferencias internacionales de datos personales, en lugar de depender exclusivamente de cláusulas contractuales u otros mecanismos de transferencia. Global Compliance Map ubicó ese cambio en paralelo con la decisión de adecuación de la Unión Europea respecto de Brasil.

Ese reconocimiento formal tiene efecto en la forma en que se encuadran los flujos de datos entre ambas jurisdicciones. En los hechos, la adecuación pasa a ser el mecanismo principal mencionado por el análisis citado para ese corredor de transferencias, salvo en los casos que queden fuera por la excepción de seguridad pública.

¿A quiénes alcanza en la práctica?

La LGPD alcanza a cualquier empresa que procese datos personales de personas ubicadas en Brasil, independientemente de dónde esté establecida. Así lo remarca el análisis de LBM Advogados, que además vincula esa regla con obligaciones para compañías y filiales en Perú cuando manejan datos de titulares brasileños.

Ese alcance extraterritorial es el punto que vuelve relevante la resolución para operaciones regionales. Una compañía en Perú que reciba, trate o almacene datos de personas ubicadas en Brasil queda dentro del marco de exigencias de la LGPD si procesa esa información, más allá de la jurisdicción desde la que opere.

¿Qué pasa con incidentes y brechas de datos?

Bajo la LGPD, la notificación de incidentes de seguridad y brechas de datos personales a [la ANPD](/noticias/brasil-refuerza-anpd-endurece-lgpd) es obligatoria, incluso si la falla ocurre fuera de Brasil pero afecta datos de titulares brasileños. El documento de LBM Advogados menciona que esto puede abarcar brechas en infraestructuras u operaciones situadas en Perú o en proveedores usados desde Perú.

Para empresas con vínculos transfronterizos, el punto no se limita al origen técnico del incidente. Lo relevante es si la brecha compromete datos de personas ubicadas en Brasil, porque en ese caso la obligación de reporte ante la ANPD se activa igual, con independencia de dónde esté el sistema o el tercero involucrado.

¿Qué exige Perú para estas transferencias?

En Perú, las transferencias internacionales de datos personales deben ser comunicadas a la Dirección General de Transparencia, Acceso a la Información Pública y Protección de Datos Personales para su inscripción en el Registro Nacional. Mi Firma Digital señala que esa comunicación incluye la información relativa al flujo transfronterizo, lo que abarca exportaciones de datos desde Perú hacia responsables o encargados ubicados en Brasil sujetos a la LGPD.

Eso deja a las empresas con una doble capa de cumplimiento cuando operan entre ambos países. Por un lado, deben atender las exigencias de la LGPD para datos de titulares brasileños. Por el otro, tienen que cumplir con el registro y la comunicación previstos por el esquema peruano para transferencias internacionales.