Brésil : la LGPD et le marketing par email

Le Brésil n’a aucune loi anti-spam dédiée. Le marketing par email auprès de destinataires brésiliens est régi par la Lei Geral de Proteção de Dados (LGPD, Lei nº 13.709/2018), une loi inspirée du RGPD, dont le respect est assuré par l’ANPD (rebaptisée d’Autoridade en Agência Nacional de Proteção de Dados par la MP 1.317/2025 et la Lei 15.352/2026, et dotée du statut d’agence de régulation). Contrairement à la LCAP, au PECR ou au Spam Act, il n’existe pas de règle d’opt-in par message ; en revanche, tout traitement d’une adresse email (une donnée personnelle, article 5, I) exige une base légale, de la transparence et le respect des droits des personnes concernées. Les sources ont été lues dans leurs versions originales en portugais.

Bases légales du marketing (article 7)

L’article 7 énumère dix bases ; les deux qui comptent pour le marketing sont :

Les autres bases (exécution d’un contrat, obligation légale, protection du crédit…) justifient rarement l’email promotionnel. Les données publiques ou manifestement rendues publiques exigent toujours une finalité, la bonne foi et le respect des droits de la personne concernée (article 7, §§3-4) : ce n’est pas un blanc-seing pour le marketing.

Le guide de l’ANPD sur l’intérêt légitime (Guia de Legítimo Interesse, février 2024)

Le guide de l’ANPD fixe la doctrine applicable à l’article 7, IX, et à l’article 10 :

• Un intérêt est légitime lorsqu’il est (i) compatible avec l’ordre juridique, (ii) fondé sur des situations concrètes (et non abstraites ou spéculatives), et (iii) lié à des finalités légitimes, spécifiques et explicites.
• Un test de mise en balance (teste de balanceamento) doit précéder le recours à l’intérêt légitime, pour chaque finalité précise, en pesant la légitimité, la nécessité, les effets sur la personne concernée et ses attentes légitimes (article 10, II). Si le test n’est pas concluant, ou si des garanties adéquates ne peuvent pas être identifiées, utilisez une autre base légale.
• Facteurs relatifs aux attentes légitimes : relation directe antérieure avec le contrôleur ; source et mode de collecte (directe ou auprès de tiers ou de sources publiques) ; contexte et moment ; compatibilité de la finalité de marketing avec la finalité de la collecte.
• L’exemple 5 est la référence pour le marketing : une université privée qui envoie par email à ses étudiants et à son personnel des promotions pour des livres et des produits culturels de sa propre maison d’édition a été admise au titre de l’intérêt légitime, parce qu’il existe une relation antérieure, que la promotion soutient les propres activités du contrôleur (article 10, I), que les données ne sont pas partagées avec des tiers et que chaque message comporte un mécanisme de désabonnement (descadastramento) à titre de garantie. Traduction : le marketing direct par l’entreprise auprès de sa propre clientèle, avec un opt-out fonctionnel, peut reposer sur l’intérêt légitime ; l’email à froid adressé à des inconnus, non (pas de relation antérieure, pas d’attente légitime).
• L’intérêt légitime d’un tiers (exemple 6 : promotion d’une école de langues partenaire auprès des salariés) est possible, mais la charge argumentative est plus lourde : une information préalable, un refus facile et un test de mise en balance sont attendus.
• L’intérêt légitime est généralement inapproprié pour les données d’enfants et d’adolescents utilisées à des fins publicitaires (exemple 3 : une application éducative qui montre à des enfants des publicités pour des aliments ultra-transformés échoue au test : pas d’attente légitime, principe de l’intérêt supérieur de l’enfant violé).
• Obligation de tenue de registres : conservez le test de mise en balance et les registres de traitement (l’article 37 met en avant les registres « en particulier lorsque le traitement est fondé sur l’intérêt légitime ») ; un traitement à haut risque appelle un RIPD.

Les droits des personnes concernées qui encadrent la gestion des listes (articles 18 et 19)

• Confirmation de l’existence d’un traitement et accès (format simplifié immédiatement, ou déclaration complète sous 15 jours).
• Rectification ; anonymisation, blocage ou suppression des données inutiles ou non conformes ; suppression des données fondées sur le consentement (article 18, VI) ; information sur le partage (article 18, VII) ; révocation du consentement (article 18, IX) ; opposition à un traitement non fondé sur le consentement (article 18, §2). Juridiquement, un désabonnement est une révocation ou une opposition, et il doit être gratuit (article 18, §5).
• En cas de rectification, de suppression ou de blocage, le contrôleur doit en informer les agents avec lesquels il a partagé les données afin qu’ils fassent de même (article 18, §6) : la suppression doit se propager.

Agents de traitement : contrôleur et opérateur, et la place de l’ESP

Définitions (article 5) : controlador (VI), celui qui prend les décisions relatives au traitement ; operador (VII), celui qui traite pour le compte du contrôleur ; ensemble, les agentes de tratamento (IX). Selon le Guia Orientativo de l’ANPD sur les agents de traitement (mai 2021) :

• L’élément distinctif est le pouvoir de décision : le contrôleur fixe la finalité et les « éléments essentiels » (types de données, durée) ; l’opérateur ne peut décider que des éléments non essentiels (logiciels, mesures techniques de sécurité). Une agence de publicité ou de marketing qui mène une campagne selon le cahier des charges de la marque est un opérateur ; la marque est le contrôleur (guide, ¶¶10-11, exemple 5).
• Un ESP est un opérateur pour les listes de ses clients : il doit traiter les données uniquement selon les instructions du contrôleur (article 39), et devrait encadrer ce régime par écrit (objet, durée, nature et finalité, types de données, responsabilités ; une recommandation du guide, et non une obligation, ¶¶53-54).
• Sous-opérateur : partie engagée par l’opérateur pour l’aider à traiter les données pour le compte du contrôleur (construction du guide ; par exemple le prestataire cloud ou de stockage de l’ESP, ou un sous-traitant de livraison). L’opérateur devrait obtenir l’autorisation formelle (générale ou spécifique) du contrôleur pour sous-traiter ; le sous-opérateur est assimilé à un opérateur vis-à-vis de l’ANPD (¶¶61-66, exemples 11-12).
• Le contrôle conjoint existe lorsque deux contrôleurs ou plus prennent des décisions communes ou convergentes sur les finalités et les éléments essentiels (exemple 5 : deux marques qui partagent leurs bases clients pour une campagne co-marquée sont contrôleurs conjoints ; leur agence de marketing reste opérateur). La responsabilité des contrôleurs directement impliqués est solidaire (article 42, §1, II).
• Responsabilité (article 42) : le contrôleur ou l’opérateur qui cause un dommage doit le réparer. L’opérateur répond solidairement, assimilé au contrôleur, lorsqu’il manque aux obligations de la LGPD ou ne suit pas les instructions licites du contrôleur (article 42, §1, I). Les tribunaux peuvent renverser la charge de la preuve en faveur de la personne concernée (article 42, §2). Conséquence pratique pour un ESP : envoyer au-delà des instructions du client (ou ignorer une suppression) fait de l’ESP un équivalent de contrôleur coresponsable.
• Les deux agents doivent tenir des registres des opérations de traitement (article 37). Le contrôleur (et l’opérateur) doit désigner un encarregado (DPO, article 41) dont les coordonnées sont publiées ; l’ANPD peut en dispenser les petits agents (la Resolução CD/ANPD 2/2022 classe aussi l’utilisation de données d’enfants comme « à haut risque », même pour les petits agents).

Transferts internationaux (articles 33 à 36, Resolução CD/ANPD nº 19/2024)

L’article 33 autorise les transferts : (I) vers des pays ou organisations offrant un niveau de protection adéquat ; (II) moyennant des garanties fournies par le contrôleur, à savoir clauses contractuelles spécifiques, clauses contractuelles types (CCT), normes d’entreprise globales, labels, certificats et codes de conduite ; (V) sur autorisation de l’ANPD ; (VIII) avec un consentement spécifique et mis en évidence, précédé d’une information sur le caractère international de l’opération ; ainsi que dans des cas limités d’intérêt public, d’intérêt vital ou d’obligation légale (IX).

État actuel selon la page des affaires internationales de l’ANPD (consultée en juillet 2026) :

• Réglementation : la Resolução CD/ANPD nº 19 du 23 août 2024 a approuvé le règlement sur les transferts, y compris les CCT brésiliennes, avec un délai de 12 mois à compter de la publication pour intégrer ces CCT aux contrats existants (soit d’ici août 2025).
• Décisions d’adéquation : l’Union européenne est reconnue comme adéquate par l’ANPD (Resolução CD/ANPD nº 32 du 26 janvier 2026). Aucun autre pays n’est listé. Cette décision est distincte du règlement sur les transferts ci-dessus : la Resolução 19/2024 est le cadre national des transferts (CCT brésiliennes) ; la Resolução 32/2026 est la reconnaissance par l’ANPD de l’adéquation de l’UE pour les flux entrants. C’est la moitié brésilienne d’une reconnaissance mutuelle : à la même date (26 janvier 2026), la Commission européenne a adopté sa propre décision d’adéquation au titre de l’article 45 pour le Brésil (décision d’exécution (UE) 2026/179), si bien que les transferts entre l’UE et le Brésil circulent désormais dans les deux sens sans CCT (voir L’ESP sous-traitant au sens du RGPD).
• CCT étrangères équivalentes, clauses spécifiques, BCR (normes d’entreprise globales) : le mécanisme existe, mais aucune n’a été approuvée à ce jour ; les demandes passent par le système SEI de l’ANPD.
• Conséquence pour un ESP : un ESP non brésilien qui traite des listes brésiliennes à l’étranger devrait intégrer les CCT brésiliennes à son contrat de sous-traitance (DPA) avec ses clients brésiliens (ou relever d’un autre mécanisme de l’article 33).

Enfants et adolescents (article 14 et interprétation de l’ANPD)

• Article 14 : le traitement des données d’enfants et d’adolescents doit servir leur intérêt supérieur. L’article 14, §1, exige un consentement spécifique et mis en évidence d’au moins un parent ou représentant légal pour les données d’enfants ; le contrôleur doit faire des efforts raisonnables pour vérifier l’identité de l’adulte qui consent (§5), ne doit pas subordonner la participation à des jeux ou applications à la fourniture de données excessives (§4), et doit publier ce qu’il collecte et comment (§2). La collecte sans consentement n’est autorisée que pour contacter les parents (usage unique, sans conservation) ou pour protéger l’enfant (§3), jamais pour un transfert ultérieur (§3).
• Le PDF de l’ANPD en référence est le processus normatif de 2022 (Nota Técnica nº 34/2022/CGN et Estudo Preliminar) qui a examiné si le consentement parental est la seule base possible. Sa conclusion, l’interprétation 3, est devenue l’Enunciado CD/ANPD nº 1 (22 mai 2023) : les données d’enfants et d’adolescents peuvent être traitées sur toute base légale de l’article 7 (ou de l’article 11 pour les données sensibles), à condition que l’intérêt supérieur de l’enfant prévale, apprécié au cas par cas au titre de l’article 14, caput.
• Mais selon le guide sur l’intérêt légitime, la publicité auprès d’enfants fondée sur l’intérêt légitime échouera normalement au test de mise en balance ; le traitement de données d’enfants est un critère désigné de haut risque qui exige un RIPD. Pour le marketing par email : considérez en pratique que les listes de moins de 18 ans exigent un consentement parental.

Sanctions (article 52)

Appliquées par l’ANPD à l’issue d’une procédure administrative, de manière graduée, isolément ou cumulativement :

Les critères de fixation de la sanction (§1) comprennent la gravité, la bonne foi, l’avantage obtenu, la situation économique, la récidive, l’ampleur du dommage, la coopération, l’adoption de politiques de bonnes pratiques et de gouvernance, et la rapidité de la correction. La responsabilité civile (article 42) et les sanctions du droit de la consommation s’appliquent en parallèle (§2).

Liste de contrôle ESP pour le trafic brésilien

• Associer chaque liste à une base légale : des preuves de consentement (qui, quand, comment, pour quelle finalité) ou un test de mise en balance documenté au titre de l’intérêt légitime, avec la preuve d’une relation antérieure.
• Fournir dans chaque message un désabonnement fonctionnel et gratuit : c’est à la fois la voie de révocation de l’article 8, §5, et la garantie sur laquelle repose l’exemple de marketing de l’ANPD elle-même.
• Propager la suppression ou l’effacement à tous les partenaires de partage (article 18, §6) et répondre aux demandes d’accès sous 15 jours.
• Contracter en tant qu’opérateur : DPA écrit, traitement limité aux instructions, autorisation du contrôleur pour les sous-traitants, CCT brésiliennes pour le traitement à l’étranger.
• Refuser les listes de tiers dépourvues d’un consentement propre à l’acheteur (article 7, §5).

Ceci n’est pas un avis juridique : voir compliance/README.md. Comparaison du consentement entre juridictions : LCAP, PECR britannique, Australie.