LGPDとサイバーセキュリティ：法的義務、インシデント通知の期限、実務チェックリスト

// コンプライアンス

コンプライアンス · LGPD

LGPDとサイバーセキュリティ：法的義務、インシデント通知の期限、実務チェックリスト

15.03.2026 著者 OODA Intelligence

LGPD（Lei Geral de Proteção de Dados、法律第13.709/2018号）はブラジル独自の個人データ保護法です。日々のセキュリティ実務でもっとも判断に迷う部分は、実は法律本文ではなく下位規則に書かれています。2024年4月24日のANPD理事会決議第15号により、第48条の「合理的な期間」は具体的な数字になりました。営業日で3日です。手元の参考資料がこの決議に言及していないなら、その資料はすでに失効した規律を説明しています。

以下は、公式の条文にあたって条ごとに確認した現行の規律です。法的助言ではありません。法務部門と話すときに、何の話をしているのかを分かったうえで臨むための地図です。

LGPDが情報セキュリティに求めるもの（第46条〜第49条）

LGPD第7章は短く、明快です。

第46条。 「個人データを、不正アクセスならびに偶発的または違法な破壊、滅失、改変、開示、その他の不適切もしくは違法な取扱いから保護するのに適した、技術的および管理的なセキュリティ措置」を講じること。第2項は、それらの措置が「製品またはサービスの設計段階から実施に至るまで」遵守されるべきことを求めています。法的強制力を伴うプライバシー・バイ・デザインです。
第47条。 義務は取扱いの「終了後も」続きます。停止したデータベースは、保護しなくてよいデータベースではありません。
第49条。 システムは「セキュリティ要件、グッドプラクティスおよびガバナンスの基準を満たすように構築されなければならない」。

見落とされがちな点が2つあります。

法定の必須管理策リストは存在しません。 第46条第1項は、ANPDが技術的な最低基準を定めることができると述べていますが、現時点で拘束力のあるカタログは定められていません。基準は適切性です。データの性質、量、リスク、技術水準に見合った措置であること。

措置を欠くこと自体が直接の民事責任を生みます。 第44条単項はこう定めます。「本法第46条に定めるセキュリティ措置を講じなかったことにより損害を生じさせた管理者または処理者は、データセキュリティの侵害から生じる損害について責任を負う」。これは行政上の制裁とは独立に進行します。

原則の次元（第6条）では、3つの号がこれらすべてを支えています。セキュリティ（VII）、予防（VIII）、責任と説明責任（X）。もっとも要求が厳しいのはXです。措置を講じたことと、その措置が有効であることを立証しなければなりません。記録された証拠がなければ、その管理策は規制上は存在しないのと同じです。

セキュリティインシデントとは何か、そしていつ通知義務が生じるか

決議第15/2024号は、セキュリティインシデントを「個人データのセキュリティにおける機密性、完全性、可用性および真正性の侵害に関連する、確認されたあらゆる有害事象」と定義しています（第3条XII号）。

ANPD自身が公表している解説から、実務上の帰結が3つ導かれます。

脆弱性はインシデントではありません。 欠陥が存在するだけでは何も起動しません。それが悪用された場合は、インシデントになりえます。
可用性の喪失も含まれます。 漏洩だけではありません。患者データへのアクセスを凍結するランサムウェアは、データが持ち出されていなくてもインシデントです。
匿名化されたデータは対象外です。 匿名化データのみに関わるインシデント、または識別された／識別可能な自然人に関係しないインシデントは、通知の必要がありません。

インシデントが確認された次の問いは、重大なリスクまたは損害をもたらしうるか、です。第5条は累積的なテストを定めています。データ主体の利益および基本的権利に重大な影響を及ぼしうること、かつ同時に、次の6つの基準の少なくとも1つに該当すること。

機微個人データ
児童、青少年または高齢者のデータ
金融データ
システムの認証データ
法律上、司法上または職業上の守秘義務により保護されるデータ
大規模なデータ

第1項は「重大な影響」の例を挙げています。権利の行使やサービスの利用を妨げること、あるいは差別、身体的完全性・肖像・名誉の侵害、金融詐欺、なりすましといった財産的・精神的損害を生じさせること。第2項は、「大規模」の判断がデータ主体の人数、データ量、期間、頻度、地理的範囲を考慮することを明らかにしています。

基準4に注目してください。ID とパスワードのデータベースが露出しただけで、テストの後半はすでに満たされます。残るのは前半の評価ですが、漏洩した認証情報は、まさに第1項が例示する詐欺やなりすましへの道を開くのが常です。

通知の期限、経路、記載内容

ANPDへの通知 — 第6条

営業日で3日。起算点はインシデントが個人データに影響したことを管理者が知った時点です（第6条第1項）。インシデントの発生日でも、調査完了の日でもありません。土日祝日は数えません。小規模取扱事業者は期限が2倍になります（第8項）が、忘れられがちな例外があります。ANPD理事会決議第2/2022号第14条II号により、データ主体の身体的もしくは精神的完全性、または国家安全保障が損なわれる可能性がある場合、期限の倍加は適用されません。その場合は他の事業者と同じ営業日3日です。

通知はSEI!ANPDでの電子申立てにより行い、手続種別は「ANPD – Comunicados de Incidentes」です。Encarregado（データ保護責任者。LGPDが定める窓口責任者）が（その地位を証明する文書を添えて）、または選任された代理人が提出しなければなりません。同じ期限内にその証明がなされない場合、ANPDは職権でインシデント調査手続を開始することがあります。

第2項は12項目の必須情報を列挙しています。

影響を受けたデータの性質および種別
影響を受けたデータ主体の人数（児童、青少年、高齢者を区分して記載）
インシデントの前後に講じた技術的・セキュリティ上の措置
データ主体に対するリスクおよび想定される影響
遅延があった場合はその理由
影響を反転または緩和するための措置
発生日（特定可能な場合）および認知日
Encarregadoまたは管理者を代表する者の情報
管理者の特定、および該当する場合は小規模事業者である旨の申告
該当する場合は処理者の特定
インシデントの記述（特定可能であれば主要な原因を含む）
影響を受けた業務で取り扱われているデータ主体の総数

営業日3日ですべてを揃えられない場合には予備通知の制度があり、同一手続内での中間申立てにより、営業日20日以内に理由を付して補完します（第3項）。ANPDはFAQで明確に述べています。予備通知だけでは第48条の義務を果たすには不十分であり、期限内に補完しなければなりません。

データ主体への通知 — 第9条

ANPDに通知すれば済む、ということはありません。 ANPD自身が、第48条は「セキュリティインシデントをANPDに通知するだけでは履行されない」と記しています。重大なリスクまたは損害がある場合、管理者は影響を受けたデータ主体にも必ず通知しなければなりません。義務は2つであって1つではありません。

期限は同じく認知から営業日3日、小規模取扱事業者は倍（第9条第6項）。記載内容は異なり、7項目です。影響を受けたデータの性質と種別、講じていたセキュリティ措置、リスクと想定される影響、緩和措置、認知日、そして情報を得るための連絡先（該当する場合はEncarregadoの情報）などが含まれます。

形式も内容と同じくらい重要です。

平易で理解しやすい言葉であること
データ主体を特定できる場合は常に直接かつ個別に行うこと（電話、電子メール、電子メッセージ、書面）
それが不可能な場合は、利用可能なチャンネル（ウェブサイト、アプリ、SNS）で、直接かつ容易に閲覧できる形で、最低3か月間掲示すること
通知を行ったことと使用した手段を示す申告を手続に提出すること。期限は通知期限の満了後、営業日3日以内（第4項）

第5項は具体的なインセンティブを加えています。データ主体が影響を緩和するのに役立つ推奨事項を含めることは、制裁の量定（LGPD第52条第1項IX号）においてグッドプラクティスとみなされうる、というものです。

自社が処理者（オペレーター）である場合は

法律上の通知義務は管理者にあります。インシデントが発生した場合、処理者は不当な遅滞なく管理者に報告し、通知に必要なすべての情報を提供しなければなりません。ANPDは、管理者と処理者の間のこれらの義務を契約で定めることを明示的に推奨しています。期限に翻訳するとこうなります。管理者の営業日3日のタイマーはベンダーを待ってくれないので、処理者の通知期限は管理者の期限より十分に短くなければなりません。

ほとんど誰も維持していない記録（第10条）

規則のなかでもっとも無視されている義務がこれです。管理者はすべてのセキュリティインシデントの記録を——通知しないと判断したものも含めて——最低5年間保持しなければなりません。

記録には最低限、次を含める必要があります。認知日、状況の概要、影響を受けたデータの性質と種別、影響を受けたデータ主体の人数、リスクと想定される損害の評価、是正および緩和の措置、通知を行った場合はその形式と内容、そして通知を行わなかった場合はその理由。

要するに、通知しないという判断は、文書化され、かつ弁明可能でなければなりません。ANPDが調査手続を開始した場合に求めるのはこの記録です。さらにANPDはいつでも、取扱業務の記録（第37条）、影響評価報告書（第38条）、インシデント対応の報告書の提出を求めることができます。

Encarregadoの役割

LGPD第41条は、管理者にEncarregadoを指名し、その身元と連絡先を「可能な限りウェブサイト上で」公開することを義務づけています。2024年7月16日のANPD理事会決議第18号がその職務を具体化しました。

自然人（社内・社外を問わない）でも法人でもよく、指名には書面・日付・署名を備えた正式な行為が必要です。活動の方法と内容を記載したその文書は、ANPDがいつでも提出を求めることができます。
取扱事業者は、人的・技術的・管理的な資源を提供し、技術的自律性と最上位の階層への直接のアクセスを保証しなければなりません。
Encarregadoは、インシデントの記録および通知、取扱業務の記録、影響評価報告書（RIPD）、内部の監督メカニズム、契約文書に関与する必要があります。
取扱いの方法と目的を決定する職務を兼任する場合には利益相反が生じます。ANPDが挙げる典型例は、情報システム、人事、財務、医療の各部門長です。相反が立証されると制裁の対象になりえます。
一つ安心材料もあります。Encarregadoは、取扱いの適法性についてANPDに対して責任を負う立場ではありません。責任を負うのは管理者です。

小規模取扱事業者は指名を免除されることがあります（ANPD理事会決議第2/2022号）が、高リスクの取扱いを行う場合、規則の定める上限を超える総収入がある場合、またはそれを超える経済グループに属する場合は免除されません。免除される場合でも、データ主体との連絡チャンネルは維持する必要があります。

実務上の含意はこうです。ANPDに申立てを行うのはEncarregadoです。 その人物がインシデント対応計画に組み込まれていなければ、あなたの計画は初日から機能しません。

制裁：ANPDが科しうるもの（第52条）

条文に基づく正確な内容は次のとおりです。

制裁	内容
警告	是正措置の期限を付す
単純過料	私法上の法人、グループまたはコングロマリットのブラジル国内における直近事業年度の売上高の2%まで（租税を除く）。ただし1件の違反につき総額5,000万レアル（R$ 50.000.000,00）を上限とする
日ごとの過料	同一の総額上限に服する
違反の公表	調査により確認された後
データのブロック	是正されるまで
データの削除	違反に関係するもの
データベースの一部停止	最長6か月、同期間の延長可
取扱業務の停止	最長6か月、延長可
取扱業務の一部または全部の禁止	—

最後の3つ（一部停止、業務停止、禁止）は、同一の具体的事案において、過料・公表・ブロック・削除のいずれかの制裁がすでに科された後でなければ適用できません（第52条第6項）。

上限と同じくらい重要なのが量定です。第52条第1項は、とりわけ次の基準を考慮するよう命じています。違反の重大性と性質、善意、協力、損害を最小化しうる内部メカニズムの反復的な導入、グッドプラクティスとガバナンスの方針、そして是正措置の速やかな採用。ANPD理事会決議第4/2023号は違反を軽微・中程度・重大に分類し、単純過料の算定方法を定めています。手続の進行中、ANPDは即時の予防的措置を命じ、その履行を確保するために日ごとの過料を科すこともできます（決議第15/2024号第15条）。

セキュリティ実務者にとって最も重要な細部は第48条第3項にあります。重大性の判断において、ANPDは「影響を受けた個人データを権限のない第三者にとって判読不能にする適切な技術的措置が講じられていたことの立証」を評価します。適切に実装された暗号化は、単なる技術的衛生ではなく、法が定める減軽事由です。

近年の制度変更も記録しておきます。2026年2月25日の法律第15.352号（暫定措置令第1.317/2025号の法律化）は、LGPDに第55-A条を追加し、ANPD（国家データ保護機関）を法務・公共安全省に属する特別性質の独立行政機関として設立しました。機能的・技術的・決定上・行政上・財政上の自律性、独自の財産、そして連邦区に所在地を持ちます。同法は「データ保護の規制・監督職」というキャリア職も創設しました。実務的な意味は明快です。略称は同じまま、執行力が増しました。

具体的な技術的措置

ANPDの『情報セキュリティに関するガイド』（小規模取扱事業者向けに書かれていますが、規模を問わず有用です）は、措置を管理的なものと技術的なものに整理しています。それを、第48条が営業日3日で答えられることを求める内容と突き合わせると、次のようになります。

暗号化。 転送時はすべてにTLS/HTTPSを。社内システム間の連携や、人事・健康データを含む電子メールも例外にしないでください。保存時は機微フィールドとバックアップを暗号化します。第48条第3項を思い出してください。漏洩したデータが判読不能であれば、重大性は下がります。

アクセス制御。 ANPDは制御を3つの機能に分解しています。認証（誰がアクセスするか）、認可（何ができるか）、監査（何が行われたか）。実務上は、最小権限（need to know）、個人データを扱うシステムでの多要素認証（MFA）、パスワード複雑性のポリシー、ベンダー製品の初期パスワードの変更、そしてアカウントやパスワードの共有の禁止です。ANPDはこの共有を「重大な脆弱性の経路」と呼んでいます。

監査証跡（audit trail）。 認証と認証失敗、個人データへのアクセス、権限の変更、エクスポート、管理操作を記録してください。テストは単純です。あなたは営業日3日以内に、影響を受けたデータ主体の人数、データの種別、主要な原因を答えられますか。 その答えがアプリケーションログの考古学に依存するなら、そのインシデントはすでに期限というコストを発生させています。

保持と削除。 必要なものだけを収集し（第6条III号）、有効な目的を失ったものを削除することは、次のインシデントの被害範囲と影響を受けるデータ主体の数を減らします。媒体の安全な廃棄も併せて行ってください。

ランサムウェア耐性のあるバックアップ。 ANPDの推奨は明示的です。定期的かつ完全なバックアップを、主たる保管場所とは別の場所に取り、リアルタイムでは同期させないこと。攻撃者による暗号化をそのまま複製しないためです。

脆弱性管理。 システムとアプリケーションの更新、パッチ適用、ハードニング（不要なサービスの無効化、すべての初期パスワードの変更、インターネットに露出しているものの継続的な棚卸し）、そしてマルウェア対策の導入と更新。利用者に対して、セキュリティ設定を無効化しないよう明示的に指導することも求められています。ANPDのガイドは、CERT.brがCetic.brと共同で実施した調査を引用しています。すべてを最新に保つこと、ハードニングを行うこと、識別と認証を改善すること（パスワードの使い回しをしないことを含む）が、効果の大きい3つの措置に入る、という結果です。

取引先の管理。 処理者との契約には、情報セキュリティ条項、管理者／処理者の役割の明確化、そしてあなたの営業日3日と整合する社内向けの通知期限が必要です。

実務チェックリスト

事前（恒常的な体制）

Encarregadoを指名し、連絡先をウェブサイトで公開。利益相反がなく、経営トップへの直接アクセスがあること
取扱業務の記録（第37条）を最新に保つ。第2項12号の「データ主体の総数」はここから出ます
機微データ、金融データ、認証データ、児童・青少年・高齢者のデータがどこにあるかのマップ
文書化された情報セキュリティ方針と、その定期的な見直し
MFA、最小権限、アクセス権の定期棚卸し
転送時・保存時の暗号化と鍵管理
認証・アクセス・変更・エクスポートの監査証跡。保持期間は第10条の5年と整合させる
テスト済みのバックアップ。オフライン、または非同期のコピーを持つこと
処理者との契約におけるセキュリティ条項と通知期限
インシデントと脆弱性を報告するための研修と社内窓口

発生時（最初の営業日3日）

有害事象が発生し、個人データが影響を受けたことを確認する。タイマーはここから動き出します
封じ込めと証拠の保全（環境を「きれいにする」ためにログを消さないこと）
第5条のテストを適用する。権利に重大な影響を及ぼし、かつ6基準のいずれかに該当するか
Encarregadoを招集し、第6条第2項の12項目を揃える
代表権の証明を添えてSEI!ANPDに申立てる。必要なら予備通知で
データ主体に、平易な言葉で、個別に、緩和のための推奨事項を添えて通知する
全員を特定できない場合は、広く到達するチャンネルで公表し、3か月間掲示する

事後

営業日20日以内に、理由を付して通知を補完する
データ主体への通知を行った旨の申告を手続に提出する
第10条の8項目でインシデントを記録する。通知しないと判断した場合も含めて
根本原因と是正措置を文書化したポストモーテム（量定に直接効きます）
RIPDと影響を受けた管理策を再評価する

プラットフォームが助けられる部分と、そうでない部分

ツールはガバナンスのプログラムを代替せず、あなたのEncarregadoを指名せず、あなたに代わってANPDに申立てもしません。ツールにできるのは、「何かを発見した」から「12項目が埋まった」までの距離を縮めることです。OODA Intelligenceでこの流れに関わるコンポーネントは次のとおりです。

Audit & Compliance — 50種類を超えるイベント（認証、データアクセス、設定変更、インシデント）、設定可能な保持期間、完全性のためのハッシュチェーン、改変不能なエクスポート（WORM）。
Users & Access — モジュール・操作単位のRBAC、MFA（TOTP、WebAuthn、SMS）、SAML 2.0／OIDCによるSSO、アクセスレビュー。
Incident Management — 改変不能なタイムラインと暗号化された添付を備えた対応ライフサイクル。第10条の記録を作るのに使えます。
組織単位の分離と機微フィールドの暗号化。詳細はLGPDに関するページをご覧ください。

残りの部分——取扱いのマッピング、法的根拠、処理者との契約、通知するかどうかの判断——は、これからも人間の仕事です。