Brésil : la LGPD et le marketing par email

Si vous envoyez du marketing par email à des destinataires au Brésil, les règles viennent d’une loi sur la protection des données, et non d’une loi anti-spam. Le Brésil n’a aucune loi anti-spam dédiée. Le marketing par email auprès de destinataires brésiliens est régi par la Lei Geral de Proteção de Dados (LGPD, Lei nº 13.709/2018), une loi inspirée du RGPD.

L’ANPD en assure le respect. La MP 1.317/2025 et la Lei 15.352/2026 l’ont rebaptisée d’Autoridade en Agência Nacional de Proteção de Dados, et lui ont donné le statut d’agence de régulation. Contrairement à la LCAP, au PECR ou au Spam Act, la LGPD n’a pas de règle d’opt-in pour chaque message. En revanche, tout traitement d’une adresse email (une donnée personnelle, article 5, I) exige une base légale, de la transparence et le respect des droits de la personne concernée. Les sources ont été lues dans leur version originale en portugais.

Bases légales du marketing (article 7)

L’article 7 énumère dix bases légales. Ces deux-là comptent pour le marketing :

Les autres bases (exécution d’un contrat, obligation légale, protection du crédit, etc.) justifient rarement l’email promotionnel. Les données publiques, ou que la personne concernée a manifestement rendues publiques, exigent toujours une finalité, la bonne foi et le respect des droits de la personne concernée (article 7, §§3-4). Les données publiques ne sont pas librement utilisables pour le marketing.

Le guide de l’ANPD sur l’intérêt légitime (Guia de Legítimo Interesse, février 2024)

Le guide de l’ANPD explique comment l’article 7, IX, et l’article 10 s’appliquent en pratique :

• Un intérêt est légitime lorsqu’il est (i) compatible avec l’ordre juridique, (ii) fondé sur des situations concrètes (et non abstraites ou spéculatives), et (iii) lié à des finalités légitimes, spécifiques et explicites.
• Un test de mise en balance (teste de balanceamento) doit précéder tout recours à l’intérêt légitime, pour chaque finalité précise. Il pèse la légitimité, la nécessité, les effets sur la personne concernée et ses attentes légitimes (article 10, II). Si le test n’est pas concluant, ou si des garanties adéquates ne peuvent pas être identifiées, utilisez une autre base légale.
• Facteurs relatifs aux attentes légitimes : une relation directe antérieure avec le contrôleur ; la source et le mode de collecte (directement, ou auprès d’un tiers ou d’une source publique) ; le contexte et le moment ; et la compatibilité de la finalité de marketing avec la finalité de la collecte.
• L’exemple 5 est le cas de référence pour le marketing. Une université privée a envoyé par email à ses étudiants et à son personnel des promotions pour des livres et des produits culturels de sa propre maison d’édition, et ce traitement a été admis au titre de l’intérêt légitime. Il existait une relation antérieure, la promotion soutenait les propres activités du contrôleur (article 10, I), les données n’étaient pas partagées avec des tiers, et chaque message comportait un mécanisme de désabonnement (descadastramento) à titre de garantie. En pratique, le marketing direct par l’entreprise auprès de sa propre clientèle, avec un opt-out fonctionnel, peut reposer sur l’intérêt légitime. L’email froid adressé à des inconnus ne le peut pas, car il n’y a ni relation antérieure ni attente légitime.
• L’intérêt légitime d’un tiers (exemple 6 : la promotion d’une école de langues partenaire auprès des salariés) est possible, mais plus difficile à justifier. Une information préalable, un moyen facile de refuser et un test de mise en balance sont attendus.
• L’intérêt légitime est généralement inapproprié pour utiliser des données d’enfants et d’adolescents à des fins publicitaires. Dans l’exemple 3, une application éducative qui montre à des enfants des publicités pour des aliments ultra-transformés échoue au test, car il n’y a pas d’attente légitime et le principe de l’intérêt supérieur de l’enfant est violé.
• Obligation de tenue de registres : conservez le test de mise en balance et les registres de traitement (l’article 37 met en avant les registres « en particulier lorsque le traitement est fondé sur l’intérêt légitime »). Un traitement à haut risque appelle un RIPD.

Les droits des personnes concernées qui encadrent la gestion des listes (articles 18 et 19)

• La confirmation de l’existence d’un traitement et l’accès aux données (dans un format simplifié immédiatement, ou sous forme de déclaration complète sous 15 jours).
• La rectification ; l’anonymisation, le blocage ou la suppression des données inutiles ou non conformes ; la suppression des données traitées sur la base du consentement (article 18, VI) ; l’information sur le partage (article 18, VII) ; la révocation du consentement (article 18, IX) ; et l’opposition à un traitement qui ne repose pas sur le consentement (article 18, §2). Juridiquement, un désabonnement est une révocation ou une opposition, et il doit être gratuit (article 18, §5).
• Après une rectification, une suppression ou un blocage, le contrôleur doit en informer les parties avec lesquelles il a partagé les données, afin qu’elles fassent de même (article 18, §6). La suppression doit donc se propager.

Agents de traitement : contrôleur et opérateur, et la place de l’ESP

Définitions (article 5) : le controlador (VI) prend les décisions relatives au traitement ; l’operador (VII) traite les données pour le compte du contrôleur. Ensemble, ils sont les agentes de tratamento (IX). Le Guia Orientativo de l’ANPD sur les agents de traitement (mai 2021) explique comment ces rôles s’appliquent :

• Ce qui les distingue est le pouvoir de décision. Le contrôleur fixe la finalité et les « éléments essentiels » (types de données, durée). L’opérateur ne peut décider que des éléments non essentiels (logiciels, mesures techniques de sécurité). Une agence de publicité ou de marketing qui mène une campagne selon le cahier des charges de la marque est un opérateur, et la marque est le contrôleur (guide, ¶¶10-11, exemple 5).
• Un ESP est un opérateur pour les listes de ses clients. Il doit traiter les données uniquement selon les instructions du contrôleur (article 39), et devrait encadrer ce régime par un contrat écrit qui couvre l’objet, la durée, la nature et la finalité, les types de données et les responsabilités. Le guide recommande ce contrat mais ne l’impose pas (¶¶53-54).
• Un sous-opérateur est une partie que l’opérateur engage pour l’aider à traiter les données pour le contrôleur. C’est une notion propre au guide ; il peut s’agir par exemple du prestataire cloud ou de stockage de l’ESP, ou d’un sous-traitant de livraison. L’opérateur devrait obtenir l’autorisation formelle du contrôleur pour sous-traiter, qui peut être générale ou spécifique. Vis-à-vis de l’ANPD, le sous-opérateur est traité comme un opérateur (¶¶61-66, exemples 11 et 12).
• Le contrôle conjoint existe lorsque deux contrôleurs ou plus prennent des décisions communes ou convergentes sur les finalités et les éléments essentiels. Dans l’exemple 5, deux marques qui partagent leurs bases clients pour une campagne co-marquée sont contrôleurs conjoints, tandis que leur agence de marketing reste opérateur. Les contrôleurs directement impliqués sont solidairement responsables (article 42, §1, II).
• Responsabilité (article 42) : le contrôleur ou l’opérateur qui cause un dommage doit le réparer. L’opérateur répond solidairement, comme le contrôleur, lorsqu’il manque aux obligations de la LGPD ou ne suit pas les instructions licites du contrôleur (article 42, §1, I). Les tribunaux peuvent renverser la charge de la preuve en faveur de la personne concernée (article 42, §2). La conséquence pratique pour un ESP : envoyer au-delà des instructions du client, ou ignorer une suppression, rend l’ESP responsable aux côtés du client, comme s’il était contrôleur.
• Les deux agents doivent tenir des registres des opérations de traitement (article 37). Le contrôleur (et l’opérateur) doit désigner un encarregado (un délégué à la protection des données, DPO, article 41) et publier ses coordonnées. L’ANPD peut en dispenser les petits agents. La Resolução CD/ANPD 2/2022 classe aussi l’utilisation de données d’enfants comme « à haut risque », même pour les petits agents.

Transferts internationaux (articles 33 à 36, Resolução CD/ANPD nº 19/2024)

L’article 33 autorise les transferts :

• (I) vers des pays ou des organisations internationales offrant un niveau de protection adéquat ;
• (II) moyennant des garanties fournies par le contrôleur : clauses contractuelles spécifiques, clauses contractuelles types (CCT), normes d’entreprise globales, ou labels, certificats et codes de conduite ;
• (V) sur autorisation de l’ANPD ;
• (VIII) avec un consentement spécifique et mis en évidence, après que la personne concernée a été informée du caractère international de l’opération ;
• et dans des cas limités d’intérêt public, d’intérêt vital ou d’obligation légale (IX).

L’état actuel, selon la page des affaires internationales de l’ANPD (consultée en juillet 2026) :

• Réglementation : la Resolução CD/ANPD nº 19 du 23 août 2024 a approuvé le règlement sur les transferts, y compris les CCT brésiliennes. Les contrats existants disposaient d’un délai de 12 mois à compter de la publication pour intégrer les CCT (soit d’ici août 2025).
• Décisions d’adéquation : l’ANPD a reconnu l’Union européenne comme adéquate (Resolução CD/ANPD nº 32 du 26 janvier 2026). Aucun autre pays n’est listé. Cette décision est distincte du règlement sur les transferts ci-dessus. La Resolução 19/2024 est le cadre national des transferts (les CCT brésiliennes), tandis que la Resolução 32/2026 est la reconnaissance par l’ANPD de l’adéquation de l’UE pour les données qui quittent le Brésil. C’est la moitié brésilienne d’une reconnaissance mutuelle : à la même date (26 janvier 2026), la Commission européenne a adopté sa propre décision d’adéquation au titre de l’article 45 pour le Brésil (décision d’exécution (UE) 2026/179). Les transferts entre l’UE et le Brésil circulent désormais dans les deux sens sans CCT (voir L’ESP sous-traitant au sens du RGPD).
• CCT étrangères équivalentes, clauses spécifiques et BCR (normes d’entreprise globales) : le mécanisme existe, mais aucune n’a été approuvée à ce jour. Les demandes passent par le système SEI de l’ANPD.
• La conséquence pour les ESP : un ESP non brésilien qui traite des listes brésiliennes à l’étranger devrait intégrer les CCT brésiliennes à son contrat de sous-traitance (DPA) avec ses clients brésiliens, ou recourir à un autre mécanisme de l’article 33.

Enfants et adolescents (article 14 et interprétation de l’ANPD)

• Article 14 : le traitement des données d’enfants et d’adolescents doit servir leur intérêt supérieur. L’article 14, §1, exige un consentement spécifique et mis en évidence d’au moins un parent ou représentant légal pour les données d’enfants. Le contrôleur doit faire des efforts raisonnables pour vérifier l’adulte qui consent (§5), ne doit pas subordonner la participation à des jeux ou à des applications à la fourniture de plus de données que nécessaire (§4), et doit publier ce qu’il collecte et comment (§2). Les données ne peuvent être collectées sans consentement que pour contacter les parents (pour un usage unique, sans conservation) ou pour protéger l’enfant (§3), et elles ne peuvent jamais être transmises ensuite (§3).
• Le document de l’ANPD cité dans les sources est le processus normatif de 2022 (Nota Técnica nº 34/2022/CGN et Estudo Preliminar). Il a examiné si le consentement parental est la seule base légale possible. Sa conclusion, l’interprétation 3, est devenue l’Enunciado CD/ANPD nº 1 (22 mai 2023) : les données d’enfants et d’adolescents peuvent être traitées sur toute base légale de l’article 7 (ou de l’article 11 pour les données sensibles), à condition que l’intérêt supérieur de l’enfant prévale, apprécié au cas par cas au titre du texte principal de l’article 14.
• Selon le guide sur l’intérêt légitime, toutefois, la publicité auprès d’enfants fondée sur l’intérêt légitime échouera normalement au test de mise en balance. Le traitement de données d’enfants est un critère désigné de haut risque qui exige un RIPD. Pour le marketing par email, considérez en pratique que les listes de destinataires de moins de 18 ans exigent un consentement parental.

Sanctions (article 52)

L’ANPD applique les sanctions à l’issue d’une procédure administrative, de manière graduée, isolément ou cumulativement :

Les critères de fixation de la sanction (§1) comprennent la gravité, la bonne foi, l’avantage obtenu, la situation économique, la récidive, l’ampleur du dommage, la coopération, l’adoption de politiques de bonnes pratiques et de gouvernance, et la rapidité de la correction. La responsabilité civile (article 42) et les sanctions du droit de la consommation s’appliquent en parallèle (§2).

Liste de contrôle ESP pour le trafic brésilien

• Associer chaque liste à une base légale : des preuves de consentement (qui, quand, comment, et pour quelle finalité précise), ou un test de mise en balance documenté au titre de l’intérêt légitime, avec la preuve d’une relation antérieure.
• Fournir dans chaque message un désabonnement fonctionnel et gratuit. C’est à la fois la voie de révocation de l’article 8, §5, et la garantie sur laquelle repose l’exemple de marketing de l’ANPD elle-même.
• Propager la suppression et l’effacement à tous les partenaires de partage (article 18, §6), et répondre aux demandes d’accès sous 15 jours.
• Contracter en tant qu’opérateur : un DPA écrit, un traitement limité aux instructions, l’autorisation du contrôleur pour les sous-traitants, et les CCT brésiliennes pour le traitement hors du Brésil.
• Refuser les listes de tiers dépourvues d’un consentement propre à l’acheteur (article 7, §5).

Ceci n’est pas un avis juridique : voir Conformité. Pour comparer les règles de consentement entre juridictions, voir la LCAP, le PECR britannique et l’Australie.