Leyes de privacidad
La LGPD de Brasil y la PIPEDA de Canadá están en vigor, y cada una fija sus propios plazos. Complyanz mantiene su registro de las operaciones de tratamiento, controla cada solicitud de los titulares frente a su plazo legal, registra a su responsable de privacidad y sus transferencias internacionales e inicia el plazo de incidentes que corresponde a cada ley. ISO 27701 es una opción, no un requisito.
Dos leyes, un programa de privacidad
Qué exige cada ley, y cuándo
Estos son los plazos que fijan la LGPD y las resoluciones de la ANPD, y la PIPEDA y su reglamento sobre vulneraciones de las medidas de seguridad. Complyanz calcula cada uno desde la fecha en que empieza a contar.
| Ley | Obligación | Plazo |
|---|---|---|
| LGPD | Confirmar la existencia de tratamiento o dar acceso en formato simplificado | De inmediato (art. 19, I). Los agentes de tratamiento de pequeño porte tienen hasta 15 días. |
| LGPD | Entregar una declaración clara y completa del tratamiento: origen, criterios y finalidad | En un plazo de 15 días desde la solicitud (art. 19, II), o 30 para los agentes de tratamiento de pequeño porte |
| LGPD | Comunicar un incidente de seguridad a la ANPD | 3 días hábiles desde que se tiene conocimiento de que el incidente afectó a datos personales (Resolución CD/ANPD n.º 15/2024), o 6 para los agentes de tratamiento de pequeño porte |
| LGPD | Comunicar el incidente a los titulares afectados | 3 días hábiles, o 6 para los agentes de tratamiento de pequeño porte |
| LGPD | Complementar la comunicación a la ANPD | 20 días hábiles desde la comunicación, o 40 para los agentes de tratamiento de pequeño porte |
| LGPD | Registrar todo incidente de seguridad, incluidos los no comunicados | Conservar el registro durante al menos 5 años |
| PIPEDA | Responder a una solicitud de acceso por escrito | 30 días (s. 8(3)), prorrogables hasta 30 más con aviso dentro de los primeros 30 (s. 8(4)); sin respuesta en ese plazo, la solicitud se considera denegada (s. 8(5)) |
| PIPEDA | Notificar a la OPC una vulneración que cree un riesgo real de daño significativo e informar a las personas afectadas | Tan pronto como sea factible después de determinar que la vulneración se produjo (s. 10.1). No hay un número fijo de días. |
| PIPEDA | Llevar un registro de toda vulneración de las medidas de seguridad, notificada o no | 24 meses desde el día en que se determina que la vulneración se produjo (s. 10.3) |
Los demás derechos de la LGPD, como la corrección o la eliminación, aún no tienen un plazo fijado por reglamento, por lo que Complyanz aplica 15 días como regla interna y la señala como no oficial. Los días hábiles siguen los feriados nacionales de Brasil en la hora de Brasilia, y los días de asueto opcional (pontos facultativos), como el Carnaval, cuentan como hábiles, de modo que la fecha mostrada es la más temprana y segura.
Todo lo que las dos leyes le piden demostrar
Qué está dentro del alcance, y qué no
Empiece con cualquier marco y añada los demás más adelante
Las obligaciones de la LGPD, los principios de la PIPEDA y los controles de ISO 27701 se solapan. Complyanz mantiene una tabla de correspondencias entre ellos, de modo que, al añadir un marco, usted ve qué requisitos se relacionan con el trabajo ya hecho y puede reutilizar las evidencias. Las correspondencias son nuestra lectura, no una equivalencia oficial, y la reutilización siempre es decisión suya.
Incluido en Completo o como complemento
El módulo Leyes de privacidad cubre la LGPD y la PIPEDA. Está incluido en el plan Completo y puede añadirse a cualquier otro plan, con precio según el número de personas dentro del alcance, como los propios planes.
Preguntas frecuentes sobre leyes de privacidad
¿Necesitamos ISO 27701?
No. ISO 27701 es una norma voluntaria y certificable, y ni la LGPD ni la PIPEDA la exigen. Puede aplicar cualquiera de las dos leyes en Complyanz sin ella. Si la añade más adelante, la tabla de correspondencias muestra qué controles se relacionan con el trabajo ya hecho; las correspondencias son nuestra lectura, no una equivalencia oficial.
¿Complyanz certifica que cumplimos?
No. Complyanz no certifica, acredita ni garantiza el cumplimiento de la LGPD o la PIPEDA. Organiza los registros, plazos y documentos que muestran cómo cumple usted; si cumple o no lo deciden la ANPD, la OPC y los tribunales. Su encarregado tampoco necesita una certificación.
¿En cuánto tiempo debemos comunicar un incidente de seguridad según la LGPD?
Según la Resolución CD/ANPD n.º 15/2024, el incidente de seguridad que pueda acarrear un riesgo o daño relevante a los titulares debe comunicarse a la ANPD y a los titulares afectados en un plazo de 3 días hábiles desde que el controlador tiene conocimiento de que el incidente afectó a datos personales, o 6 para los agentes de tratamiento de pequeño porte. La comunicación a la ANPD puede complementarse en 20 días hábiles (40 para los agentes de pequeño porte). Todo incidente, comunicado o no, debe registrarse y el registro conservarse durante al menos cinco años.
¿Hay un plazo para notificar vulneraciones según la PIPEDA?
No hay un número fijo de días. La vulneración de las medidas de seguridad que cree un riesgo real de daño significativo debe notificarse a la Oficina del Comisionado de Privacidad de Canadá (OPC), e informarse a las personas afectadas, tan pronto como sea factible después de que la organización determine que se produjo. Complyanz muestra cuánto tiempo lleva abierta cada notificación en lugar de una cuenta regresiva. Toda vulneración, alcance o no ese umbral, debe registrarse y el registro conservarse durante 24 meses.
¿Podemos transferir datos personales de Brasil a Europa?
Sí, la decisión de adecuación es uno de los fundamentos legales de una transferencia internacional según el art. 33 de la LGPD. La Resolución CD/ANPD n.º 32/2026 reconoce a la Unión Europea como adecuada, incluidos los Estados miembros de la UE y los países del EEE, salvo para fines de seguridad pública, defensa y materia penal, y debe reevaluarse en un plazo de cuatro años. Para otros destinos, una vía habitual son las cláusulas contractuales estándar de la ANPD, que los contratos existentes debían incorporar a más tardar el 23 de agosto de 2025. Canadá no cuenta con una decisión de adecuación según la LGPD.
¿Cubren la Ley 25 de Quebec o el proyecto de ley C-36?
No. Quebec, Alberta y Columbia Británica tienen sus propias leyes de privacidad para el sector privado, sustancialmente similares a la PIPEDA, y la Ley 25 de Quebec tiene su propio régimen; este módulo cubre solo la PIPEDA. El proyecto de ley C-36, que promulgaría una nueva Protecting Privacy and Consumer Data Act, se presentó en junio de 2026 y no es ley. Complyanz modela la PIPEDA tal como está vigente hoy.
Construya su programa de privacidad
Cree una organización, responda al perfil de privacidad y vea qué obligaciones de la LGPD y la PIPEDA se le aplican, y por qué.