LGPDとは？GDPRとの違いや日本企業が押さえるべきポイントを解説

ブラジルに拠点を持たない日本企業であっても、ブラジル国内にいる個人向けに商品・サービスを提供している場合や、ブラジル国内で個人データを収集する場合には、ブラジルの個人データ保護法であるLGPDの適用対象になる可能性があります。GDPRの対応経験がある企業でも、LGPD特有の要件には注意が必要です。 特にCookieバナーは、GDPR対応の延長で日本語・英語のみを用意していても、ポルトガル語表示がなければ要件を満たさないケースが少なくありません。 本記事では、LGPDの基本的な概要から日本企業が実務上取るべき対応まで体系的に解説します。

LGPDとは、ブラジルの個人データの収集・利用・共有・保管などに関するルールを定めた個人データ保護法のこと

LGPDとは、2018年に成立し2020年9月に施行されたブラジルの個人データ保護法です。正式名称はLei Geral de Proteção de Dados Pessoaisといい、個人データの収集・利用・共有・保管などに関するルールを定めています。

監督機関はANPD（ブラジルデータ保護機関）であり、2021年以降の完全施行を経て、制裁権限も本格的に行使されるようになっています。違反した場合の行政制裁金は、ブラジル国内における前年度売上高（税控除後）の2%を上限とし、1件あたり最大5,000万レアルと定められています。

GDPRとLGPDとの違い

LGPDはしばしば「ブラジル版GDPR」と称されますが、実務上おさえておくべき違いがあります。ここでは特に、DPO（データ保護責任者）とデータ侵害報告の報告期限の2点を確認します。

1点目は、DPO（データ保護責任者：個人データの取り扱いを社内で監督する責任者）の任命要件です。GDPRでは一定の要件を満たす企業にのみ任命義務があります。LGPDでは、個人データの取扱いについて決定する主体（管理者）は原則としてDPOを任命し、その身元・連絡先を公開する必要がありますが、ANPDは取扱いの性質・規模・量などに応じて任命義務を免除できるとされています。小規模事業者（年間収入480万レアル以下の企業など）については、DPO任命の免除や連絡窓口での代替など、ANPD規則による例外も確認が必要です。

2点目は、データ侵害が発生した際の報告期限です。GDPRでは「72時間以内」という明確な期限が定められています。LGPDの本法（第48条）では施行当初、「合理的な期間内」という表現にとどまっていましたが、2024年4月にANPDが決議第15号を公布し、個人データに影響があり、データ主体に重大なリスクまたは損害を生じ得るセキュリティインシデントについて、管理者がその発生を認識してから3営業日以内にANPDとデータ主体へ通知する具体的な期限が定められました。小規模事業者には期限が延長される場合があります。

GDPR単体の詳しい内容は「GDPR（EU一般データ保護規則）とは？日本企業が知るべき適用範囲と対策を解説」をご確認ください。

LGPDの対象企業

LGPDの適用対象となる企業・組織は、ブラジルに法人登記がある企業に限りません。条文上、ブラジル国内で行われる処理、ブラジル国内にいる個人への商品・サービス提供またはその個人データの処理を目的とする処理、ブラジル国内で収集された個人データの処理のいずれかに該当する場合にLGPDが適用されます。

特に注目すべきは1点目です。ブラジル市場向けのECサイトや、ブラジル国内にいる個人をターゲットにしたウェブサービスを運営している場合、日本国内に法人しか持たない企業であってもLGPDの適用対象となり得ます。単にブラジルから偶発的にアクセスできるだけで直ちに対象になるとは限らず、ポルトガル語対応、ブラジル向け配送・決済・広告など、ブラジル市場を意図した要素が重要になります。

日本企業がLGPDの対象になるケース

具体的にどのような日本企業がLGPDの対象になるのか、代表的なケースを挙げます。

ブラジル向けECサイト・越境ECの運営

ブラジル向けの配送・決済・価格表示・広告などを行うECサイトを運営している場合、そのサイトを通じてブラジル国内にいる個人のデータを収集することになり、LGPDの適用対象となる可能性があります。

グローバル展開しているSaaSやアプリの展開

ブラジル向けの提供を明示しているSaaSやアプリ、ポルトガル語対応・ブラジル向けサポート・ブラジルユーザー向け広告を行うデジタルサービスは、ブラジル国内の個人向けサービス提供と判断される可能性があります。単にブラジルからアクセス可能であることだけをもって、直ちにLGPD対象と断定するのは避けるべきです。

ブラジル向けマーケティング活動

ポルトガル語対応のランディングページを公開していたり、ブラジル向け広告を出稿していたり、ブラジル国内ユーザーの行動分析を継続的に行っていたりするなど、ブラジル市場を意識した取り組みをしている場合も対象となり得ます。

現地法人・パートナー企業との連携

ブラジルの関連会社や現地パートナーが収集したデータをブラジル国外に送る場合、LGPDの越境データ移転ルールへの対応が必要になります。

LGPDの越境データ移転ルールとは、ブラジル国内で収集・処理された個人データをブラジル国外の受領者（データの移転先となる事業者・組織。日本企業自身が受領者になる場合も含みます ）へ移転する際に、一定の保護水準を確保することを求めるルールです。ANPDは2026年1月にEUを十分性認定の対象として承認しました。これにより、EUとの間では追加の契約手続きなしにデータを移転できます。

一方、日本は現時点で十分性認定の対象ではないため、ブラジルから日本などへ個人データを移転する場合には、別途、保護水準を確保する手続きが必要です。具体的には、標準契約条項（SCC）、拘束的企業準則、特定契約条項、同意など、LGPDとANPD規則で認められる移転メカニズムのいずれかを選ぶ必要があります。SCC（Standard Contractual Clauses）とは、ANPDが用意した契約条項の雛形のことで、データの送り手（輸出者）と受け手（受領者）が、この雛形をそのまま自社の契約書に組み込むことで、LGPDが求める保護水準を満たせる仕組みです。実務上は、このSCCを契約に組み込む対応が最も一般的です。

LGPDにおけるCookieの位置づけ

Cookieそのものが常にLGPD上の「個人データ」になるわけではありませんが、Cookie ID、閲覧履歴、デバイス情報、行動プロファイルなどが、識別された、または識別可能な自然人に関する情報として扱われる場合には、LGPD上の個人データに該当し得ます。ANPDのCookieガイドラインも、Cookieを通じて収集される情報が個人データとなる場面を前提に、透明性と適切な法的根拠の確保を求めています。

LGPDの規制対象となるのはCookieだけではありません。IDFA（AppleのデバイスID）やフィンガープリント技術など、Cookieに代わるトラッキング技術も同様に規制の対象です。つまり、「サードパーティCookieを廃止した」という対応だけでLGPD上の問題が解決するわけではなく、トラッキング技術全般にわたる包括的な同意管理の仕組みが求められます。

ANPDのガイドラインでは、Cookie利用の法的根拠として「同意」と「正当な利益」が特に関連性の高い根拠として整理されています。機能上不可欠なCookieは、サービス提供に必要な範囲で同意なしに使用できる場合があります。広告・パーソナライズ目的のCookieは、第三者共有やプロファイリングを伴いリスクが高くなりやすいため、同意を根拠とする設計が実務上安全です。一方、分析・計測目的のCookieについては、統計目的に限定され、第三者提供や他のトラッキング手段との結合、ユーザープロファイル形成を行わず、透明性と異議申立ての機会を確保する場合などに、正当な利益を根拠とし得るとされています。

LGPDのCookieバナーガイドライン

ANPDが公表しているCookieガイドラインは、ウェブサイトのCookieバナー設計に直結する実務上重要な指針です。法令そのものではありませんが、ANPDの監督・執行において参照され得るため、ガイドラインに沿ったバナー設計を行うことが重要です。以下に、ガイドラインが示す主な要件を整理します。

オプトイン方式の同意取得

ページの閲覧を続けることをもって同意とみなす「みなし同意」方式は、有効な同意として認められにくいと考えられます。同意を法的根拠とする非必須Cookie（広告・分析など、サイトの基本機能に不可欠ではないCookie）については、ユーザーが明示的に「同意する」というアクションを取ることが必要です。

デフォルトオフの設定

同意を法的根拠とする非必須Cookieは、デフォルトでオフの状態に設定されていなければなりません。事前にチェックが入った状態で表示するCookieバナーは、自由で明確な同意を損なうため避けるべきです。

拒否しやすい設計の確保

Cookieバナーには「必須でないCookieをすべて拒否できる」ボタンを分かりやすく設置することが推奨されています。「拒否する」ボタンや詳細設定へのリンクを視覚的に見づらくしたり、「同意する」ボタンだけを強調するといったダークパターンは避けるべきです。ガイドラインでは「拒否する／詳細設定／すべて同意する」の3ボタン構成が望ましい例として示されていますが、重要なのはボタンの数や均一な見た目ではなく、ユーザーが同意と同じくらい容易に拒否できる設計になっているかどうかです。

データ主体の権利行使リンク

Cookieバナー内またはその近くに、ユーザーが自身のデータに関する権利（アクセス・削除・訂正・同意撤回・異議申立等）を行使するためのリンクや導線を設置することが推奨されています。

ポルトガル語なしの外国語のみ表示はNG

ANPDのCookieガイドラインでは、Cookieポリシーを外国語のみで表示することは不適切な例として挙げられています。ブラジル向けサイトでは、英語や日本語との併記は可能ですが、Cookieバナーおよびポリシーページにポルトガル語表示を含める設計が望ましいといえます。

日本企業が対応すべきこと

ANPDの執行対象はブラジル国内の中小企業にとどまりません。2024年11月には、動画プラットフォームのTikTokに対して、未成年者を含む子ども・青少年の個人データ処理に関する調査・制裁手続きを開始し、規則適合のための措置を命じました。2025年1月には、Tools for Humanity（Worldcoinプロジェクト）に対して、虹彩データの収集と引き換えに暗号資産等の金銭的補償を提供する行為を停止するよう予防的措置を発動しました。金銭的インセンティブが自由な同意に影響し得る点が問題視された事例です。

グローバルに展開するデジタルサービスが対象となっている事実は、日本企業にとっても他人事ではありません。ブラジル市場にサービスを提供している、またはブラジル国内にいる個人のデータを扱っている企業は、業種・規模を問わずANPDの監視対象となり得ます。ただし、小規模処理主体には一部の手続負担軽減や期限延長が認められる場合があります。

以下のチェックリストを参考に、自社の対応状況を確認してください。

LGPDコンプライアンス対応チェックリスト

LGPDへの対応は多岐にわたります。まず以下の項目に対して、自社に不足している対応がないか確認してみてください。

なお、LGPDにおける「越境データ移転」は、日本の事業者がブラジル国内の個人から直接データを収集する行為（国際的なデータ収集）とは区別されます。SCCの組み込み義務が生じるのは、主にブラジル国内の移転元が海外の受領者へデータを移転する場合です。ただし、直接収集の場合でも、LGPD第3条の適用条件に該当すればLGPD上の義務は生じ得ます。

LGPDのCookie対応にはCMPツールの活用を

LGPDのCookie対応には、ユーザーごとの同意内容や法的根拠を正確に記録し、その状態に応じてCookieの発火をコントロールする仕組みが必要です。しかし、手動で実装・管理しようとすると、同意ログの保管、バナーのデザイン要件への対応、同意状態に基づくCookieの出し分けなど、技術的・運用的な負担が大きくなります。こうした課題を解決するのが、CMP（同意管理プラットフォーム）ツールです。

CMPツールを導入することで、同意取得フローの構築・同意ログの自動記録・Cookieの発火制御をまとめて管理できます。また、法令ごとに異なるバナー要件（同意を法的根拠とするCookieのデフォルトオフ設定、拒否ボタンの設置、ポルトガル語表示など）にも対応しやすくなるため、LGPDをはじめとする複数の規制に同時対応する企業にとって、実務上の標準的なアプローチとなっています。CMPを選ぶ際は、対応している法令の範囲や、ポルトガル語表示への対応有無なども確認するとよいでしょう。

株式会社DataSignが提供するwebtru（ウェブトゥルー）は、GDPR・CCPA（カリフォルニア州消費者プライバシー法）・日本の電気通信事業法における外部送信規律などに対応したCMPツールです。同意取得の仕組みの構築・同意ログの管理・ダークパターンを排除したバナー設計など、同意管理に必要な機能を備えています。LGPD対応で利用する場合は、ポルトガル語表示、非必須Cookieのデフォルトオフ、同意ログ、権利行使導線、法的根拠に応じたタグ制御に対応できるかを確認しましょう。

webtruの導入詳細については、お問い合わせください。

※本記事の内容は情報提供を目的としたものです。法令への個別対応については、専門家へのご相談をお勧めします。