Requisitos Legales para Sitios Web y Aplicaciones: Brasil

Brasil tiene tres conjuntos de normas importantes para un sitio web o una aplicación, con diferentes alcances y vías de aplicación. La LGPD regula los datos personales con obligaciones al estilo del RGPD y sin un umbral de tamaño. El Código de Protección al Consumidor (CDC) y el decreto de comercio electrónico regulan las ventas a consumidores, incluyendo un derecho de desistimiento de 7 días y la obligación de mostrar el CNPJ y la dirección completa. El Marco Civil regula el contenido generado por el usuario, y sus reglas de responsabilidad cambiaron significativamente tras el fallo de la Corte Suprema en 2025. También debe evaluar el estatuto infantil ECA Digital, en vigor desde el 17 de marzo de 2026, y la norma de accesibilidad digital ABNT NBR 17225. Priorice según el producto: una tienda necesita información precisa sobre el vendedor y cancelaciones, mientras que una aplicación que maneja datos sensibles necesita una evaluación de privacidad detallada. Ni el cumplimiento del consumidor ni el de privacidad pueden descartarse basándose en una supuesta secuencia de quejas. Este es el capítulo de Brasil de nuestra lista de verificación legal previa al lanzamiento. Ejecute esa secuencia de comandos primero y luego aplique lo que está aquí.

Puntos clave

• La LGPD se aplica a cualquier persona que procese datos de personas en Brasil o que ofrezca bienes y servicios a Brasil; no hay umbral de tamaño, sin importar dónde tenga su sede.
• El consentimiento es una de las diez bases legales del Artículo 7; los datos sensibles tienen reglas separadas. Elija una base por propósito y documéntela.
• Cookies: la ANPD espera botones de aceptar/rechazar del mismo tamaño, nada preseleccionado, opciones granulares, retirada fácil y documentación en portugués.
• Las transferencias internacionales necesitan un mecanismo aplicable. La adecuación de la UE según la Resolución 32/2026 de la ANPD es una vía; las CCS siguen siendo relevantes para otras transferencias.
• Venta en línea: muestre el CNPJ y la dirección completa, proporcione un resumen del contrato antes de la compra, responda a las demandas del consumidor dentro de los 5 días y respete el derecho de desistimiento de 7 días a través del mismo canal utilizado para comprar.
• ECA Digital (Ley 15.211/2025), en vigor desde el 17 de marzo de 2026: verificación de edad real, control parental, prohibición de perfilado publicitario de menores, prohibición de cajas de botín (loot-boxes). Las multas alcanzan el 10% de los ingresos del grupo brasileño, con un tope de R$ 50 millones por infracción.
• Los incidentes de seguridad calificados generalmente requieren comunicación a la ANPD y a las personas afectadas dentro de los 3 días hábiles; verifique la prueba de riesgo y las reglas de tiempo aplicables para pequeños agentes.

LGPD: qué le pide a un producto pequeño

Diez bases legales, no una. Consentimiento, ejecución de contrato, obligación legal, interés legítimo, protección del crédito, protección de la vida, salud, investigación, proceso judicial y política pública. El consentimiento es el más frágil: debe ser libre, informado, específico y revocable, y no puede estar incluido en sus términos de servicio. La ejecución del contrato cubre el procesamiento necesario para ese contrato; el interés legítimo requiere una evaluación de ponderación documentada.

Nueve derechos del titular de los datos, incluyendo confirmación de procesamiento, acceso, corrección, anonimización o eliminación de datos innecesarios, portabilidad, información sobre con quién ha compartido datos y revocación del consentimiento. La confirmación y el acceso tienen disposiciones de respuesta inmediata simplificada o de 15 días completas; no aplique ese plazo automáticamente a todos los derechos. Verifique la solicitud aplicable y las excepciones.

Un encarregado (DPO). El Artículo 41 requiere que los controladores designen uno y publiquen sus datos de contacto. La Resolución 2/2022 de la ANPD puede eximir a los agentes de procesamiento pequeños elegibles de la obligación de designar uno formalmente, sujeto a las exclusiones del reglamento, pero aún necesitan un canal de comunicación publicado para los interesados y la ANPD. Publique una dirección de correo electrónico de todos modos; no cuesta nada.

Transferencias internacionales. La Resolución 19/2024 de la ANPD estableció el marco y aprobó las Cláusulas Contractuales Estándar que deben adoptarse sin modificaciones. Los contratos existentes debían ajustarse antes del 22 de agosto de 2025. La UE está reconocida como adecuada según la Resolución 32/2026 de la ANPD. Evalúe cada destino y transferencia posterior: las CCS son un mecanismo, no son obligatorias para cada transferencia. Mapee sus transferencias; el inventario de datos de la lista de verificación principal es el insumo.

Incidentes de seguridad. Según la Resolución 15/2024 de la ANPD, evalúe la prueba de riesgo relevante y generalmente notifique a la ANPD y a los individuos afectados dentro de los 3 días hábiles; los agentes pequeños calificados pueden tener tiempos diferentes según la Resolución 2/2022. Decida con antelación quién hace esto.

Registros e informes de impacto. Mantenga un registro de las operaciones de procesamiento. Se espera un RIPD (informe de impacto de protección de datos) para el procesamiento de mayor riesgo, y la ANPD puede solicitarlo en cualquier momento.

Cookies y consentimiento

La guía de cookies de la ANPD es cercana a la práctica europea y explícita sobre la interfaz:

• Las opciones de rechazar, aceptar y administrar deben ser de igual tamaño y prominencia
• Las cookies no esenciales deben estar desactivadas por defecto, nunca preseleccionadas
• Elección granular por propósito, en un lenguaje sencillo que pueda leer un no especialista
• El consentimiento debe ser revocable de forma sencilla y sin costo alguno
• Evalúe el propósito y la base legal para cada cookie. El consentimiento es un valor predeterminado apropiado para el seguimiento opcional; el interés legítimo tiene sus propios requisitos de necesidad y ponderación. La guía de la ANPD no es una regla que dicte que cada cookie no esencial deba usar la misma base
• La política de cookies debe estar vinculada, ser específica sobre los propósitos y la retención, y estar disponible en portugués

Vender a consumidores brasileños

La ley de consumo brasileña es protectora, y el decreto de comercio electrónico (Decreto 7.962/2013) es inusualmente específico sobre lo que su sitio web debe mostrar.

Muestre de forma destacada: su nombre de empresa y CNPJ (o CPF para una persona física), dirección física, correo electrónico y datos de contacto; las características del producto o servicio, incluidos los riesgos para la salud o la seguridad; todos los costos adicionales, como envío y seguros, desglosados por separado; y las condiciones completas de la oferta, incluidos los métodos de pago, plazos y cualquier restricción.

Antes de completar la compra: muestre un resumen del contrato con los términos esenciales, proporcione herramientas para corregir errores antes de finalizar, confirme la recepción del pedido de inmediato y ponga el contrato a disposición en una forma que el consumidor pueda guardar.

Atención al cliente: mantenga un canal de servicio electrónico eficaz, confirme la recepción de las demandas de los consumidores y responda dentro de los 5 días. Las empresas en sectores regulados a nivel federal están sujetas además al decreto SAC (Decreto 11.034/2022), con reglas sobre disponibilidad telefónica, prohibición de publicidad no solicitada durante el servicio y procesamiento inmediato de solicitudes de cancelación.

Derecho de desistimiento (direito de arrependimento): 7 días a partir de la recepción o de la contratación, para cualquier cosa comprada fuera de una tienda física, sin necesidad de justificación y sin penalización. El detalle de implementación crítico: el consumidor debe poder ejercerlo a través de la misma herramienta utilizada para realizar la compra; si compraron en dos clics en su aplicación, no pueden ser enviados a una cola telefónica. Los contratos accesorios se cancelan sin costo, usted debe informar inmediatamente al proveedor de pagos para cancelar o revertir el cargo, y debe enviar una confirmación de que recibió la solicitud.

Idioma y moneda. La información dirigida al consumidor (términos, precios, políticas, soporte) debe estar en portugués. Precios en reales brasileños con todos los cargos incluidos.

Contenido generado por el usuario tras el fallo del STF

El fallo de la Corte Suprema de Brasil de 2025 cambió la responsabilidad de los intermediarios bajo el Artículo 19. Su tratamiento varía según el contenido y el servicio; una regla universal de notificación y retirada no es un resumen preciso. Un formulario de informe por sí solo no resuelve la responsabilidad.

Identifique si aloja publicaciones de usuarios comunes, comunicaciones privadas, promociones pagadas u otro contenido. Implemente un registro de notificaciones, un proceso de escalamiento y revisión, y obtenga una evaluación brasileña de los requisitos de responsabilidad y representación aplicables. Consulte las noticias institucionales y sentencias de la Corte Suprema.

Niños: ECA Digital

La Ley 15.211/2025 ha estado en vigor desde el 17 de marzo de 2026 y afecta a cualquier producto o servicio de tecnología de la información dirigido a niños y adolescentes o con probabilidad de ser accedido por ellos, incluidas las empresas extranjeras que prestan servicios a Brasil. El "acceso probable" se juzga por el atractivo para los menores, la facilidad de acceso y el riesgo, no por lo que digan sus términos.

Obligaciones principales: verificación de edad confiable (la autodeclaración por sí sola no es suficiente), vinculación de cuentas de redes sociales de niños y adolescentes menores de 16 años a un tutor legal según lo exige la ley, herramientas de control parental sobre el tiempo de pantalla, recomendaciones y funciones sensibles como la geolocalización, diseño apropiado para la edad, moderación que impide el acceso a contenido ilegal o inapropiado, una prohibición de perfilado de menores para publicidad dirigida y de ciertas tecnologías para ese fin, y una prohibición de cajas de botín (loot-boxes) en juegos accesibles para niños. Los servicios con un millón o más de usuarios menores de edad publican informes de moderación semestrales.

Las sanciones alcanzan el 10% de los ingresos brasileños del grupo económico, con un tope de R$ 50 millones por infracción, además de la suspensión o prohibición de actividades. El Decreto 12.880 del 18 de marzo de 2026 proporciona reglas de implementación; la guía detallada de la ANPD continúa desarrollándose.

Accesibilidad

La Ley de Inclusión de Brasil (Ley 13.146/2015) ha requerido sitios web accesibles desde 2016; el panorama normativo se volvió mucho más claro con la ABNT NBR 17225:2025, la primera norma técnica brasileña para la accesibilidad digital, que se alinea con los principios de WCAG. Los sitios del gobierno federal también siguen el eMAG. El incumplimiento es procesable como discriminación y a través de canales de derechos del consumidor y civiles, incluyendo demandas colectivas presentadas por el Ministério Público.

En la práctica: el trabajo de WCAG es reutilizable, pero verifique los requisitos brasileños aplicables y la norma ABNT relevante en lugar de asumir que la equivalencia técnica establece el cumplimiento.

Lo que está por venir

Un proyecto de ley de IA (PL 2338/2023) ha estado avanzando en el Congreso con un modelo basado en riesgos similar a la Ley de IA de la UE; aún no está en vigor. Existe el Decreto 12.880/2026 que implementa la ECA Digital; verifique la última guía técnica de la ANPD. Mantenga las funciones de IA documentadas y verifique los requisitos operativos antes de habilitar las funciones afectadas.

El comando específico para Brasil

Ejecute esto después de los diez comandos en la lista de verificación principal:

Add Brazil compliance mechanics to this app. All user-facing text must be in Brazilian Portuguese. Implement each item and report exactly what changed:

1. A footer block on every page showing company name, CNPJ, full physical address and contact email, using placeholders [[RAZAO SOCIAL]], [[CNPJ]], [[ENDERECO]], [[EMAIL]] for anything I must supply.
2. A cookie banner where accept, reject and manage options are the same size and equally prominent, nothing non-essential is pre-selected, choices are granular by purpose, and consent can be withdrawn at any time from a permanent footer link. No non-essential script may load before a choice is made.
3. A privacy policy in Portuguese that states, for each processing purpose, which LGPD legal basis applies — and inserts [[BASE LEGAL]] where you are not certain rather than guessing. Include the nine data subject rights, retention periods, and a published contact channel for the encarregado.
4. Self-service data rights: access, correction, portability, deletion and revocation of consent, each reachable in at most two clicks, with a log of requests and response dates.
5. List every third-party service in this app that stores or receives personal data outside Brazil, so I can put international transfer clauses in place. Report the list; do not attempt to draft the clauses.
6. If the app sells anything: show total price in BRL with all charges itemised before checkout, display a contract summary the user must review before confirming, send an immediate order confirmation the user can save, and add a cancellation flow that lets the user exercise the 7-day right of regret through the same interface used to purchase, in at most two clicks, with an automatic acknowledgement email.
7. A support channel that records incoming consumer demands with a timestamp and confirms receipt automatically.
8. If minors could plausibly use this app: an age check that is not a simple yes/no self-declaration, restricted defaults for accounts under 18, and no profiling or personalised advertising for those accounts.
9. An accessibility pass against WCAG 2.1 Level AA — report findings by severity before fixing anything.

For each item report PASS or explain what blocked it. Do not invent law citations in user-facing text.
Copiar prompt

Lista de verificación previa al lanzamiento: Brasil

• CNPJ, nombre de la empresa, dirección y contacto visibles en el sitio
• Política de privacidad en portugués con una base legal por propósito y un canal de encarregado publicado
• Banner de cookies con botones iguales, nada preseleccionado, granular y revocable
• Autoservicio de derechos de datos funcionando de principio a fin
• Transferencias internacionales mapeadas y respaldadas por adecuación, CCS u otro mecanismo aplicable
• Plan de respuesta a incidentes que nombre quién notifica a la ANPD dentro de los 3 días hábiles
• Venta: resumen del contrato antes de la compra, confirmación inmediata, compromiso de respuesta de 5 días, derecho de desistimiento de 7 días a través del mismo canal
• Contenido del usuario: proceso de denuncia y revisión; evaluar los deberes de representación aplicables
• Menores: verificación de edad real y valores predeterminados restringidos si ECA Digital pudiera aplicarse
• Accesibilidad auditada contra WCAG 2.1 AA

Lo que establecen las comprobaciones de construcción

Los comandos son solicitudes de implementación, no una certificación legal. Los controles de dos clics y los valores predeterminados centrados en el consentimiento son opciones de diseño prácticas, no requisitos legales universales. Confirme la jurisdicción, las excepciones, la retención y los contratos de proveedores por separado. Verifique los controles con cuentas de prueba y el comportamiento real del navegador/red; un PASA de un constructor basado solo en la inspección de código es evidencia incompleta.

Fuentes oficiales y alcance de la revisión

Actualizado el 14 de septiembre de 2026. Las fuentes vinculadas respaldan el alcance y las correcciones discutidas aquí; esta es una revisión editorial, no una opinión legal exhaustiva o una certificación de su producto. Verifique la regla operativa al actuar.

• Mecanismos de transferencia de la ANPD y adecuación de la UE
• Implementación de la ECA Digital por la ANPD
• Ley ECA Digital
• Reglas para pequeños agentes
• Aclaración del STF sobre responsabilidad de intermediarios

• Decreto de comercio electrónico de Brasil
• Guía de cookies de la ANPD

Adapte sus controles de consumo y privacidad al producto que realmente opera. Comience con la lista de verificación previa al lanzamiento, ejecute el comando de Brasil anterior y compare con Estados Unidos, la Unión Europea, el Reino Unido, Canadá, Australia e Israel si también vende allí. Puede construir esto.