皆さん、こんにちは！
東京コンサルティンググループの袖山 大輝です！
いつもブログをお読みいただきありがとうございます。
さて、今回は「【2026年最新】ブラジル個人情報保護法
（LGPD）とは？ANPDの罰則強化と日系企業の必
須対応4ポイント」についてお話していこうと思います。
【2026年最新】ブラジル個人情報保護法
（LGPD）とは？ANPDの罰則強化と日系企業の必
須対応4ポイント
皆さん、こんにちは。
東京コンサルティンググループ ブラジル拠点の袖山です。
「ブラジルにも個人情報保護法があると聞いたけど、うちの会社には関係あるの？」
実は、ブラジルでビジネスをしている企業はすべて対象です。お客様の名前・メールアドレ
ス・電話番号を扱っているだけでも、LGPDの義務が発生します。
ブラジルの個人情報保護法「LGPD（Lei Geral de Proteção de Dados）」は2020年9月から
施行されており、2026年はANPD（国家個人情報保護局）が取り締まりを本格化させている
フェーズです。「対応しないといけないとは思っていたが、まだ手をつけていない」という
企業にとって、今が動くべきタイミングです。
本記事では、LGPDのポイントを難しい法律用語をできるだけ使わずにお伝えし、日系企業
が今すぐ確認すべき4つのポイントを解説します。
【本記事の結論：日系企業が今すぐ対応すべき4つのポイント】
● DPO（個人情報担当者）の指名と公開
● 個人情報に関する問い合わせ窓口（メール等）の設置
● 収集している個人情報の「利用目的」と法的根拠の文書化
● 情報漏えい時（原則3営業日以内）のANPDへの報告フロー策定
1. そもそもLGPDとは何か？
「個人情報を使うなら、ルールを守ってください」という法律
LGPDは、日本の個人情報保護法やEUのGDPRに相当するブラジルの個人情報保護法です
。2020年9月に施行されました。
この法律のポイントは、たった一言でまとめると「他人の個人情報を使うときは、きちんと
した理由と管理体制が必要」ということです。
どんな情報が対象になるのか
LGPDが保護する「個人情報」の範囲は広く、以下のようなデータが含まれます。
データの種類 具体例
基本的な個人情報 氏名・住所・電話番号・メールアドレス・CPF（納税者番
号）
センシティブ情報（より厳し
い保護が必要）
人種・宗教・政治的意見・健康状態・生体認証（指紋など）
オンライン上の情報 IPアドレス・Cookieデータ・ウェブ上の行動履歴
従業員の情報 給与明細・勤怠記録・健康診断結果
つまり、採用活動・給与計算・顧客管理・ECサイト運営・メールマーケティングなど、日
常業務のほぼすべてにLGPDが関わります。
違反したらどうなるのか
ANPDが違反と判断した場合、以下のペナルティが科される可能性があります。
ペナルティの種類 内容
警告 まず改善を求める通知。期限内に対応しないと次の罰則へ
罰金（最大） ブラジル国内売上高の2%・ただし1件あたり上限5,000万レアル
（約15億円相当）
日次罰金 違反が続く間、毎日罰金が加算される（上限は同じ5,000万レアル）
公表 違反した事実が公表され、企業のブランドイメージに影響
業務停止 データの利用・処理を一時停止するよう命令される
（出所：Lei nº 13.709/2018（LGPD）第52条 / ANPD公式サイト gov.br/anpd）
実際に科された罰金額は現時点では比較的少額なケースが多いですが、2026年以降はANPD
が積極的に大企業・外資系企業への調査を強化しています。
まとめ
LGPDは「大企業だけの話」ではありません。ブラジルで人の個人情報を扱う企業はすべて
対象です。違反すれば罰金だけでなく、企業の信頼失墜にもつながります。
2. 2026年ANPDの取り締まり強化｜4つの重点テーマ
ANPDが2026年に重点的に見ているのはこの4分野
ANPDは毎年「規制アジェンダ」を公表しており、2025-2026年版では以下の4分野を優先
監督テーマとして明記しています。
（出所：ANPD 規制アジェンダ 2025-2026 / ANPD公式サイト gov.br/anpd）
重点テーマ 簡単に言うと… 日系企業への影響
① 個人からの問い
合わせ対応
「自分の情報を教えてほし
い」「削除してほしい」と
いう要求に応えているか
問い合わせ窓口がないと即違反対象
② 子ども・未成年
者のデータ保護
18歳未満の個人情報は特別
な保護が必要
ECサイト・学習サービス・SNS連携は
要確認
③ 公共機関のデー
タ利用
政府・自治体が個人情報を
適切に扱っているか
民間企業は間接的影響（取引先の行政
機関が絡む場合）
④ AIと新技術によ
るデータ利用
AIを使って個人情報を分析
・判断することへの規制
採用AIツール・マーケティング自動化
を使う企業は要注意
なぜ今、取り締まりが強化されているのか
ANPDが設立されてから数年間は、主に「教育・啓発」フェーズでした。罰則よりも「まず
企業に知ってもらう」ことを優先していました。
しかし2026年は状況が変わっています。ANPDはX（旧
Twitter）・Uber・Telegram・Serasaなどの大手プラットフォームに対して通知・調査を実
施しており、外資系企業も例外ではないことを明確にしています。
また、2026年3月17日に施行されたECA Digital（Lei nº 15.211/2025）により、子どもや未
成年者のオンラインデータ保護が一段と厳しくなりました。LGPDの上に「子ども向けの追
加ルール」が乗っかったイメージです。
実際に問題になりやすいケース
日系企業でよく見られる「うっかり違反」のパターンをご紹介します。
・ 採用活動で集めた履歴書を、採用終了後もサーバーに保管したまま→ 不要になった個
人情報の削除・廃棄が義務
・ 問い合わせフォームから集めたメールアドレスを、許可なくメルマガに使用→ 利用目
的の明示と同意取得が義務
・ 従業員の健康診断結果を、本来の用途以外（例：上司への報告）に使用→ センシティ
ブ情報は特に厳格な管理が必要
・ 日本本社にブラジル従業員の個人情報をメールで送っている→ 国際データ移転には適
切な保護措置が必要
まとめ
ANPDの目は、2026年から確実に外資系・日系企業にも向けられています。「まだ大丈夫だ
ろう」と思っている間に、問題が起きてから対応するのでは遅いのです。
3. 今すぐ確認すべき4つのポイント
難しく考えなくていい。まずこの4つを確認してください
LGPDへの完全な対応は専門家の支援が必要ですが、まず自社の現状を把握するために、以
下の4点を確認するだけでも大きな前進です。
確認ポイント① 「個人情報担当者（DPO）」を決めていますか？
LGPDは、会社の中に「個人情報の取り扱いについて責任を持つ担当者
（DPO：Encarregado de Dados）」を置くことを義務づけています。社内の担当者でも、
外部の専門家への委託でも可ですが、誰が担当しているかを会社のウェブサイト等で公開す
る必要があります。
多くの日系企業で「担当者が決まっていない」または「決まっているが社外に公開していな
い」というケースが見られます。これは違反の対象です。
・ ☐ DPOを社内で指名しているか
・ ☐ DPOの名前・連絡先を会社のウェブサイトや社内に公開しているか
・ ☐ DPOが個人情報保護の基本ルールを理解しているか
（出所：Lei nº 13.709/2018（LGPD）第41条 / Resolução CD/ANPD nº 18/2024）
確認ポイント② 「個人情報への問い合わせ窓口」はありますか？
ブラジルに住む人は、自分の個人情報について会社に問い合わせる権利があります。例えば
「私のどんな情報を持っていますか？」「私の情報を削除してください」といった要求です
。
企業はこうした問い合わせに対して、15日以内に回答する義務があります。窓口がない・
回答しないという状態は、即座に違反になります。
・ ☐ 個人情報に関する問い合わせを受け付けるメールアドレス・フォームがあるか
・ ☐ 問い合わせが来たときの対応フローを社内で決めているか
・ ☐ 15日以内に回答できる体制があるか
（出所：Lei nº 13.709/2018（LGPD）第18条・第19条）
確認ポイント③ 「なぜその個人情報を使うのか」を説明できますか？
個人情報を使うには「正当な理由（法的根拠）」が必要です。LGPDは10種類の根拠を定め
ていますが、日系企業でよく使われるのは主に以下の3つです。
法的根拠 使えるケース 注意点
本人の同意 メルマガ配信・マーケティング
「同意した」という記録を残す必要
あり
契約の履行 顧客との契約に基づく情報処
理
契約に必要な情報のみが対象
法的義務の遵守 税務・労務申告に必要な情報
処理
必要最低限に限られる
「なんとなく集めている」「昔から使っているから」という理由はLGPDでは通りません。
それぞれのデータについて「なぜ持っているのか」を説明できる状態にしておくことが重要
です。
・ ☐ 顧客情報・従業員情報・取引先情報それぞれの「使用目的」を文書化しているか
・ ☐ 同意が必要な情報について、同意を取得した記録があるか
・ ☐ 不要になった情報を削除するルールがあるか
（出所：Lei nº 13.709/2018（LGPD）第7条・第11条）
確認ポイント④ 個人情報が漏えいしたとき、どうしますか？
万が一、個人情報が外部に漏れてしまった場合（例：サイバー攻撃・メールの誤送信
・USBの紛失）、企業はANPDと本人に対して原則3営業日以内に報告する義務があります
。
「何が起きたのか」「何件の情報が影響を受けたのか」「どんな対策をとったのか」を速や
かに報告できる準備が必要です。
・ ☐ 情報漏えいが発覚したときに誰に連絡するか、社内フローが決まっているか
・ ☐ ANPDへの報告手順を事前に確認しているか（ANPD公式サイトのフォームを使用
）
・ ☐ 情報漏えいの原因を調べ、再発防止策をとる手順があるか
（出所：Lei nº 13.709/2018（LGPD）第48条 / Resolução CD/ANPD nº 15/2024）
まとめ
LGPDは難しい法律ですが、最低限のポイントは「人の情報は、きちんとした理由を持って
、大切に扱う」というシンプルな考え方です。
2026年、ANPDはもう「指導だけ」の時代を終えています。外資系・日系企業への調査・罰
則適用は現実のリスクです。
確認ポイント 何をするか 優先度
① DPO（担当者）の
指名
担当者を決めて、ウェブサイトで
公開する
★★★ 今すぐ
② 問い合わせ窓口の
設置
メールアドレスを作り、対応フロ
ーを決める
★★★ 今すぐ
③ 個人情報の利用目
的の整理
どんな情報をなぜ持っているかを
リスト化する
★★ 今月中
④ 漏えい時の対応フ
ロー
誰に・何を・いつ報告するかを決
めておく
★★ 今月中
「何から始めればいいかわからない」という方は、まず①DPOの指名から始めてください
。これだけでも大きな一歩です。
ブラジルのLGPD対応・個人情報保護体制の整備について、ご不明な点・ご相談がございま
したら、お気軽に東京コンサルティングファーム ブラジル拠点までお問い合わせください
。
株式会社東京コンサルティングファーム ブラジル拠点 袖山
無料会員登録をされてない方は、以下のボタンから必須項目を入力後、
メールに届くパスワードを入力するとブログを閲覧できます。
この記事に対するご質問・その他ブラジルに関する情報へのご質問等がございましたら
お気軽にお問い合わせください。
※画像クリックでお問い合わせページへ移動します
【PR】海外最新ビジネス情報サイト「Wiki Investment」
※画像クリックでWiki Investmentページへ移動します
進出予定の国、進出している国の情報収集に時間かかりませんか？
進出してビジネスを成功させるためには、
その国の知識や実情を理解しておくことが必須となってきます。
しかし、情報が溢れかえっている社会では
どれが本当に信頼できる情報なのか？が重要になります。
そんな「信頼できる情報」をまとめたサイトがあれば、どれだけ楽に情報収集ができるだろう…
その思いから作成したサイトが「Wiki Investment」です！!
弊社東京コンサルティンググループは海外20カ国超に拠点を有しており、
その現地駐在員が最新情報を「Wiki Investment」にまとめています。
【Wiki Investmentで何ができる？】
・現地駐在員が毎週ホットな情報を更新するNews update
・現地に滞在する方からご質問頂く、
より実務に沿った内容が記載されているQ＆A集
・当社が出版している海外実務本をデータベース化したTCG書籍
などの新機能も追加しました！
経営者・幹部層の方におススメしたい【全ての経営者へ贈るTCGブログ】
※画像クリックで「TCGブログ」ページへ移動します
会社経営や部下のマネジメントをしていると、様々なお悩みって出てきませんか？
・どうしたら、会社は良くなっていくんだろう・・・
・部下が育ってくれるにはどうしたらいいんだろう・・・
そういったお悩みをもつ経営層の皆様におススメしているブログがございます。
コンサルティングファームとして、これまで多くの企業様と関わり、
課題を解決してきたコンサルタント達による
経営課題や悩みについて解説したブログを無料公開しております。
もっと会社を良くしたい！、マネジメントについて学びたい！
そうお考えの皆様におススメのコンテンツとなりますので、ぜひご覧ください！
株式会社東京コンサルティングファーム ブラジル拠点
袖山 大輝
※）記載しました内容は、作成時点で得られる情報をもとに、最新の注意を払って作成しておりますが、その内容の正確性及び安全性を保障するものではありません。
該当情報に基づいて被ったいかなる損害についても情報提供者及び当社（株式会社東京コンサルティングファーム並びにTokyo Consulting Firm Co., Ltd.）は一切の責任を負うことはありませんのでご了承ください。
