LGPD en números: solo 14% de las empresas tiene encargado

Solo el 14% de las empresas brasileñas con diez o más personas ocupadas que guardan datos de personas físicas había nombrado un encargado de protección de datos en 2025, según la TIC Empresas 2025 del Cetic.br/NIC.br. La proporción era del 17% en 2021 y del 19% en 2023, y entre las pequeñas empresas bajó al 12%. Del otro lado, la ANPD cambió de ritmo: de los 37 procesos administrativos sancionadores registrados en su Panel de Fiscalización hasta octubre de 2026, 25 se abrieron este año, y 23 de esos 25 tratan de la designación del encargado o del canal de atención al titular. Mi lectura es que la fiscalización empezó por la obligación más básica, que la mayoría de las empresas todavía no cumple y que pasa por el registro de clientes y leads guardado en el CRM. Este texto es informativo y no reemplaza un dictamen jurídico; cada empresa debe validar sus decisiones con su área legal y con el encargado.

En Iasbeck&Co implantamos CRM y agentes de IA en operaciones B2B, y la LGPD suele aparecer cuando alguien quiere importar una base antigua o conectar un agente al historial de clientes. Reuní los números oficiales, con año, base y método de cada uno, y mi lectura para la dirección, los liderazgos y RR. HH. Los cuidados de quien lleva datos del CRM a herramientas de IA están en IA y LGPD, y la rutina de higiene de la base, en calidad de datos en el CRM.

¿Cuántas empresas cumplen la LGPD? El retrato del Cetic.br

El Cetic.br mide la adecuación a la LGPD en un módulo de la TIC Empresas. La edición 2025 entrevistó a 4.174 empresas con diez o más personas ocupadas, por teléfono, entre febrero de 2025 y enero de 2026, y 1.775 de ellas respondieron el módulo de privacidad y protección de datos personales (Cetic.br, presentación de resultados, 2026). Los resultados salieron el 31 de agosto de 2026 y permiten comparar tres ediciones: 2021, 2023 y 2025.

El encargado y el área responsable

La tabla separa dos preguntas: tener un área o empleados responsables del tema y nombrar un encargado, la persona que responde a los titulares y a la ANPD (art. 41 de la LGPD).

Indicador (Cetic.br)	2021	2023	2025
Nombró encargado, total	17%	19%	14%
Nombró encargado, pequeñas (10 a 49 personas)	15%	16%	12%
Nombró encargado, medianas (50 a 249)	29%	35%	21%
Nombró encargado, grandes (250 o más)	41%	43%	40%
Tiene área o empleados responsables de la protección de datos, total	23%	25%	20%
Tiene área o empleados responsables, grandes	47%	56%	55%

Fuentes: Cetic.br, tablas XP12 (2021, 2023, 2025), sobre empresas que guardan datos de personas físicas, y XP07 (2021, 2023, 2025), sobre el total.

Entre las empresas que tienen encargado, el 65% designó a alguien de la casa y el 31% contrató a un tercero (Cetic.br, XP13). Cuando el encargado viene de la propia empresa, sale de TI en el 28% de los casos, del área administrativa en el 19% y del área legal en el 18% (Cetic.br, XP14). La lista de áreas del cuestionario ni siquiera incluye marketing o ventas, y ahí vive buena parte de los datos de clientes y leads.

Qué hicieron las empresas para adecuarse

Las acciones formales de adecuación también retrocedieron o se estancaron frente a 2023. La base es la misma del encargado: empresas que guardan datos de personas físicas.

Acción de adecuación a la LGPD	2021	2023	2025
Modificó contratos vigentes	28%	35%	30%
Elaboró un plan de cumplimiento	24%	32%	25%
Desarrolló una política de privacidad para clientes	32%	32%	28%
Realizó pruebas de seguridad contra filtraciones	30%	29%	27%
Elaboró una política de retención y descarte	sin dato	25%	22%
Ofreció un canal de atención a los titulares	24%	20%	18%
Hizo un inventario de datos personales	18%	18%	15%

Fuente: Cetic.br, tablas XP12 de 2021, 2023 y 2025, enlaces arriba.

Dos filas pesan para quien administra un CRM. El inventario de datos personales, el mapa de qué datos guarda la empresa, dónde y para qué, existe en el 15% de las empresas, y la política de retención y descarte, que dice cuándo un contacto antiguo sale de la base, en el 22%. Sin ellos, la empresa no responde con seguridad al titular que pregunta qué datos suyos están en el CRM.

Qué hacen las empresas con el dato del cliente

Entre las empresas que guardan datos personales de clientes y usuarios, el 63% los usa para contactar directamente a los clientes, el 39% para verificar crédito, el 22% para analizar comportamiento y crear perfiles y el 20% en campañas de publicidad y marketing (Cetic.br, XP010). El uso comercial es la regla, y la transparencia sobre él es la excepción: entre las empresas con sitio web, el 34% publica una política de privacidad y solo el 7% informa nombre y contacto del encargado (Cetic.br, XP16). Desde julio de 2024, la Resolución CD/ANPD n.º 18 exige que la identidad y el contacto del encargado aparezcan en el sitio “en un lugar destacado y de fácil acceso”, como recuerda la ANPD en su informe de monitoreo.

Los propios encuestados reconocen la distancia. Solo el 37% está totalmente de acuerdo en que el equipo interno está preparado para responder las dudas de los titulares, mientras que el 59% está totalmente de acuerdo en que los sistemas tienen mecanismos adecuados de protección (Cetic.br, XP01C y XP01D). La pregunta del titular, sin embargo, llega por el vendedor, por el servicio al cliente o por CS antes de llegar a cualquier sistema.

La fiscalización de la ANPD en números

La ANPD, hoy Agencia Nacional de Protección de Datos de Brasil, publica datos sobre solicitudes de titulares, incidentes comunicados y procesos de fiscalización y sanción. La fuente más completa es el 3.er Informe de Ciclo de Monitoreo, que cubre del 1 de julio de 2023 al 30 de junio de 2025, complementado por el balance del Mapa de Temas Prioritarios 2024-2025, firmado en agosto de 2026, y por la planilla del Panel de Fiscalización, actualizada en octubre de 2026.

Solicitudes: el titular empezó a reclamar

En el ciclo de julio de 2023 a junio de 2025, la ANPD recibió 9.629 solicitudes, entre 7.080 denuncias y 2.549 peticiones de titulares. El volumen se disparó después de julio de 2024, cuando la agencia lanzó una plataforma propia en Gov.br: 616 solicitudes en el primer semestre de 2024, 3.413 en el segundo y 4.956 en el primer semestre de 2025, récord de la serie. El informe atribuye el aumento a la facilidad del nuevo canal, y el salto coincide con el cambio de sistema.

Los sectores más reclamados fueron bancos, financieras y emisoras de tarjetas (746 solicitudes admisibles), servicios (684), agregadores de datos (545), comercio minorista (518) y telecomunicaciones (394). Entre los tipos de reclamo, lideran la exposición de datos personales o sensibles (1.013), la dificultad para ejercer el derecho de eliminación (795) y la filtración de datos (789). Sumadas, las dificultades para ejercer cualquier derecho previsto en la LGPD llegan a 1.610 registros. De las 1.508 solicitudes que la ANPD envió a las empresas para que se manifestaran, 427 quedaron sin respuesta, el 28,3%, y el informe advierte que la falta de respuesta puede servir de criterio para elegir a quién fiscalizar.

Incidentes de seguridad comunicados

Año	Comunicaciones de incidentes de seguridad recibidas
2021	186
2022	275
2023	352
2024	336
Primer semestre de 2025	198

Fuente: ANPD, 3.er Informe de Ciclo de Monitoreo.

Desde abril de 2024, el reglamento de comunicación de incidentes (Resolución CD/ANPD n.º 15) da al controlador tres días hábiles para comunicar a la ANPD el incidente que pueda causar riesgo o daño relevante a los titulares. En el acumulado de 2021 a 2025, el secuestro de datos sin transferencia (ransomware) es el tipo más comunicado, con 263 casos, pero en el último ciclo el robo de credenciales y la ingeniería social pasaron al primer lugar. Para el área comercial, esto tiene dirección: el acceso del vendedor al CRM y su correo electrónico son credenciales. El Cetic.br muestra que el 7% de las empresas acudió a la ANPD para comunicar un incidente, frente al 4% en 2021 (Cetic.br, XP17).

Sanciones de la ANPD: cuántas y contra quién

Hasta octubre de 2026, la planilla del Panel de Fiscalización registra 37 procesos administrativos sancionadores, 8 de ellos concluidos. Diez tuvieron decisión de primera instancia, y nueve de esas decisiones aplicaron una sanción. Siete alcanzaron a órganos públicos, que según la LGPD no reciben multas (art. 52, § 3) y fueron sancionados con advertencia, publicación de la infracción y medidas correctivas, casi siempre por no comunicar un incidente a los titulares.

La primera multa aplicada por la ANPD salió en julio de 2023, contra Telekall Infoservice, por R$ 14.400. La segunda, de agosto de 2026, impuso a ByteDance Brasil, dueña de TikTok, multas que suman R$ 153.769.671,33 por infracciones a tres disposiciones de la LGPD en el tratamiento de datos de niños, niñas y adolescentes, además de la eliminación de datos de adolescentes registrados sin regularización (ANPD, Despacho Decisorio n.º 27/2026). Es una decisión de primera instancia, y la empresa presentó un recurso en septiembre, según el panel. La LGPD limita la multa simple al 2% de la facturación en Brasil, con un tope de R$ 50 millones por infracción, y el valor total superó ese tope porque sumó infracciones distintas.

De los 25 procesos sancionadores abiertos en 2026, 20 son contra órganos públicos y 5 contra organizaciones privadas, y 23 incluyen entre las conductas investigadas el art. 41 de la LGPD, que trata de la designación del encargado y de sus actividades. Antes, la ANPD notificó a 20 grandes empresas en 2024 por falta de encargado identificado o de canal para el titular, de las cuales 6 recibieron avisos para corregir lagunas, y en octubre de 2025 abrió un nuevo monitoreo sobre el mismo tema con otros 20 controladores.

Fiscalización en 2026 y 2027: perfilado e IA

El Mapa de Temas Prioritarios 2026-2027, aprobado en diciembre de 2025, le interesa a marketing y ventas en dos puntos. El Tema 1 prevé 5 actividades de fiscalización sobre el “uso secundario de datos personales para la entrega de publicidad comercial dirigida”, en especial mediante perfilado. El Tema 4 prevé 20 actividades sobre el tratamiento de datos personales en sistemas de inteligencia artificial y tecnologías emergentes. En el ciclo anterior, la ANPD ya había fiscalizado el uso de datos personales para entrenar IA generativa. El contexto regulatorio de la IA, con el AI Act y el Proyecto de Ley 2338/2023, está en regulación de IA.

Tabla resumen de las fuentes citadas

Fuente	Año	Muestra y método	Hallazgo principal
Cetic.br/NIC.br, TIC Empresas 2025, módulo de privacidad	2025, publicada en 2026	4.174 empresas con 10 o más personas, 1.775 en el módulo; teléfono, feb/2025 a ene/2026; autodeclaración	14% nombró encargado (17% en 2021); 15% hizo inventario
Cetic.br, Painel TIC 2025, privacidad	2025	2.500 usuarios de internet de 16 años o más, cuestionario en línea en dic/2025	37% de los usuarios de IA compartió datos personales; 66% se preocupa por su uso
ANPD, 3.er Informe de Ciclo de Monitoreo	jul/2023 a jun/2025	Registros administrativos de la fiscalización	9.629 solicitudes; 723 incidentes; 28,3% sin respuesta de las empresas
ANPD, Nota Técnica n.º 1/2026, balance del MTP 2024-2025	2024 y 2025	Evaluación interna de las actividades de fiscalización	84 actividades de fiscalización; equipo de 8 personas a fines de 2025
ANPD, Panel de Fiscalización (planilla de oct/2026)	2020 a 2026	Base de procesos de fiscalización y sanción, proyecto piloto	37 procesos sancionadores, 25 en 2026, 23 con el art. 41
ANPD, Resolución CD/ANPD n.º 30/2025	2026 y 2027	Acto normativo	Metas de fiscalización sobre perfilado para publicidad (5) e IA (20)

Qué significan estos números para quien guarda leads en el CRM y usa IA

El CRM concentra los datos que aparecen en los reclamos a la ANPD. En la operación comercial, la dificultad de eliminación, segundo reclamo más frecuente del ciclo, tiene una forma conocida: el contacto que pide salir y sigue recibiendo correos de nutrición o llamadas de prospección. Si la empresa no registra en el CRM el origen del lead, la base legal del contacto y la solicitud del titular, el equipo comercial no puede demostrar lo que hizo ni atender la solicitud en todas las listas e integraciones donde aparece ese contacto. Por eso trato la solicitud del titular como un proceso del CRM, con responsable, plazo y registro, y no como un correo reenviado al área legal.

El segundo punto es el origen de la base. Los agregadores de datos están entre los sectores más reclamados y formaron un tema entero de fiscalización en el bienio pasado, con procesos todavía abiertos. Quien compra una lista para prospección hereda sus problemas de origen, y la importación sin reglas se vuelve una pregunta de cumplimiento: de dónde vino cada contacto y con qué finalidad entró al CRM.

El tercero es la IA. La encuesta del Cetic.br con usuarios de internet muestra que el 37% de quienes usaron herramientas de IA en 2025 ya compartió datos personales como nombre, dirección o CPF (el número de contribuyente en Brasil), y que el 66% está preocupado o muy preocupado por el uso que hacen de esos datos las empresas de IA. Con la ANPD prometiendo 20 actividades de fiscalización sobre IA y 5 sobre perfilado para publicidad hasta 2027, el agente que puntúa leads, personaliza campañas o resume conversaciones con clientes necesita un criterio escrito, una lista de campos que puede leer y un registro en el inventario del encargado. Las reglas de uso para el equipo van en la política de uso de IA, y el diseño de la puntuación, en lead scoring.

Lo que estos datos no dicen

Los números del Cetic.br son autodeclarados por un encuestado de la empresa, que puede no conocer lo que hacen otras áreas. La caída del encargado del 19% al 14% entre 2023 y 2025 debe leerse con cuidado: las tablas del Cetic.br no informan si la diferencia es estadísticamente significativa, cada edición tiene su propia muestra y la pregunta mide la designación formal, sin decir si el encargado nombrado trabaja en el tema. La encuesta tampoco separa empresas B2B de B2C ni informa si el dato del cliente está en un CRM, en una planilla o en un ERP.

Los números de la ANPD son registros administrativos y dependen de la capacidad de la propia agencia. El equipo que conduce la mayor parte de las fiscalizaciones tenía 7 personas a inicios de 2024 y 8 a fines de 2025, según el balance, y el panel es un proyecto piloto, con datos sujetos a corrección. Pocas sanciones no significan bajo incumplimiento, y el salto de las solicitudes acompaña el cambio de canal de atención, lo que impide leer la serie como un aumento de infracciones. El número de incidentes comunicados mide la disposición de las empresas a comunicar, que creció después del reglamento de 2024; el total de incidentes en el país sigue siendo desconocido.

Tampoco hay una relación causal establecida entre tener encargado y sufrir menos incidentes o reclamos, y la multa de agosto de 2026 todavía puede cambiar en el recurso.

Qué hace el liderazgo con estos números

La hoja de ruta empieza por lo que la fiscalización ya exige.

1. Confirma el encargado y su página en el sitio. Verifica que exista un acto formal de designación, que el nombre y el contacto aparezcan en un lugar destacado, como pide la Resolución n.º 18, y que alguien lea y responda la bandeja de entrada de ese canal.
2. Define quién responde al titular y en cuánto tiempo. Ventas, marketing, servicio al cliente y CS reciben la solicitud primero; escribe el camino hasta el encargado, el plazo y el registro de cada solicitud en el CRM.
3. Haz el inventario del CRM. Lista los campos con datos personales, las integraciones que escriben en la base, las listas importadas y la finalidad de cada uso, incluidos los agentes de IA que leen el historial.
4. Escribe la regla de retención y descarte. Decide con el encargado y el área legal cuándo un contacto sin interacción sale de la base, cuándo se anonimiza y qué se conserva por obligación legal.
5. Revisa el origen de las bases de prospección. Antes de la próxima compra de lista o importación, pide al proveedor el origen de los datos y registra en el CRM la fuente de cada contacto.
6. Prueba la respuesta a incidentes con el equipo comercial. Simula un acceso al CRM comprometido y verifica si la persona sabe a quién avisar, porque el plazo para comunicar a la ANPD es de tres días hábiles.

LGPD y formación: lo que RR. HH. necesita evaluar

Para RR. HH., el dato útil es este: el encargado interno suele venir de TI, del área administrativa o del área legal, y la capacitación sobre protección de datos ofrecida por la propia empresa llega al 35% de las empresas (Cetic.br, XP04). Quien atiende al titular en el día a día, sin embargo, es el vendedor, el analista de marketing y el equipo de CS, que registran, importan, exportan y envían mensajes desde el CRM. La señal de necesidad aparece cuando la solicitud de eliminación queda detenida en la bandeja de un vendedor o cuando nadie sabe quién aprobó la última importación.

La formación necesita reunir a los liderazgos comerciales, al administrador del CRM y al encargado, con el área legal ayudando a construir las reglas. Para medir, registra antes y después el tiempo de respuesta a las solicitudes de titulares, la proporción de contactos con origen completado en el CRM y el número de importaciones hechas fuera del flujo aprobado.

La LGPD en números muestra empresas que guardan datos de clientes para vender y comunicarse, con poca estructura para responder por ellos, y una agencia que empezó a exigir esa estructura. Ese trabajo pasa por el CRM y por las personas que lo operan, y es el foco del capacitación in company de adopción de CRM, hecho sobre la base y los procesos de tu empresa. El grupo sale con la guía de buenas prácticas de CRM, que incluye origen del lead, registro de solicitudes del titular y reglas de importación, y con el manual de gestión de cartera y base, con la rutina de retención y descarte acordada con el encargado.

Preguntas frecuentes

¿Cuántas empresas brasileñas tienen encargado de datos?

Según la TIC Empresas 2025 del Cetic.br, el 14% de las empresas con diez o más personas ocupadas que guardan datos de personas físicas nombró un encargado. La proporción es del 40% en las grandes, del 21% en las medianas y del 12% en las pequeñas.

¿Cuántas multas aplicó la ANPD?

Hasta octubre de 2026, la ANPD multó a dos empresas privadas: Telekall Infoservice, con R$ 14.400 en 2023, y ByteDance Brasil, con R$ 153,7 millones en agosto de 2026, decisión de primera instancia con recurso presentado. Las otras siete decisiones con sanción alcanzaron a órganos públicos, que según la LGPD reciben advertencias y otras medidas, sin multa.

¿Cuántos incidentes de seguridad se comunican a la ANPD por año?

La ANPD recibió 186 comunicaciones en 2021, 275 en 2022, 352 en 2023, 336 en 2024 y 198 en el primer semestre de 2025. El número mide los incidentes que las empresas decidieron comunicar, no el total de incidentes en el país.

¿Una empresa pequeña necesita encargado?

La ANPD prevé reglas simplificadas para los agentes de tratamiento de pequeño porte, incluida la dispensa de designar encargado en algunos casos, siempre que la empresa mantenga un canal de comunicación con el titular. Su aplicación a tu caso depende del encuadre y debe validarse con el área legal.

¿Qué exige la LGPD del CRM?

La ley no menciona el CRM, pero se aplica a los datos personales guardados en él: finalidad definida, base legal, solo los datos necesarios, atención a los derechos del titular y seguridad. En la práctica, eso pide registrar el origen de cada contacto, un flujo para solicitudes de eliminación y corrección, una regla de retención y control de acceso.

¿Cómo preparar al equipo para manejar la LGPD en el día a día?

Empieza por las situaciones que vive el equipo: el lead que pide salir de la lista, la planilla comprada, el cliente que pregunta qué datos guarda la empresa. Capacita a ventas, marketing y CS en el flujo de la empresa para cada caso, con el encargado en la construcción del contenido, y mide el tiempo de respuesta a las solicitudes después de la formación.