La Ley General de Protección de Datos de Brasil (LGPD, Ley 13.709/2018) entró en vigor en septiembre de 2020, y sus sanciones administrativas comenzaron a ser aplicadas por la ANPD (Agencia Nacional de Protección de Datos, nombre que la Ley 15.352/2026 dio a la antigua Autoridad Nacional) a partir de agosto de 2021. Desde entonces, la ANPD fiscaliza y aplica sanciones, y el correo entra en esa cuenta siempre que lleva datos personales.
El correo corporativo es, para la mayoría de las empresas, el mayor repositorio de datos personales no estructurados. Nombres, números de documento, direcciones, datos de salud, información financiera y correspondencia confidencial circulan a diario por buzones de correo sin un control adecuado.
Esta guía detalla cómo adecuar el correo corporativo a la LGPD, con orientaciones prácticas para gestores de TI, DPOs (Data Protection Officers) y tomadores de decisión.
Qué exige la LGPD y cómo impacta en el correo
La LGPD establece reglas para el tratamiento de datos personales por personas físicas y jurídicas, de derecho público o privado. "Tratamiento" incluye cualquier operación con datos personales: recolección, almacenamiento, uso, compartición, eliminación.
Cómo encaja el correo en la LGPD
El correo corporativo involucra múltiples operaciones de tratamiento de datos personales:
- Recolección: recepción de correos con datos personales de clientes, proveedores, candidatos
- Almacenamiento: mantenimiento de mensajes en el buzón, en respaldos y en archivado
- Uso: lectura, reenvío, respuesta de correos con datos personales
- Compartición: envío de datos personales por correo a terceros
- Eliminación: borrado de mensajes que contienen datos personales
Principios de la LGPD aplicados al correo
- Finalidad: los datos personales en correos solo pueden usarse para la finalidad informada al titular
- Adecuación: el tratamiento debe ser compatible con la finalidad
- Necesidad: limitar el tratamiento al mínimo necesario (no solicitar datos excesivos por correo)
- Libre acceso: el titular puede consultar qué datos suyos están en los correos de la empresa
- Calidad de los datos: mantener los datos actualizados y correctos
- Transparencia: informar al titular cómo se tratan sus datos
- Seguridad: medidas técnicas y administrativas para proteger los datos personales
- Prevención: medidas para prevenir daños al titular
- No discriminación: no usar datos personales con fines discriminatorios
- Responsabilización: capacidad de demostrar conformidad
Requisitos de seguridad para el correo corporativo
La LGPD exige (Art. 46) que las empresas adopten "medidas de seguridad, técnicas y administrativas aptas para proteger los datos personales de accesos no autorizados y de situaciones accidentales o ilícitas de destrucción, pérdida, alteración, comunicación o cualquier forma de tratamiento inadecuado o ilícito."
Medidas técnicas obligatorias
Cifrado:- TLS 1.2 o superior en todas las conexiones de correo (envío, recepción, acceso vía webmail y aplicaciones)
- Cifrado en reposo para los datos almacenados (se recomienda AES-256)
- Considerar el cifrado de extremo a extremo para los datos sensibles
- Contraseñas con requisitos de complejidad (mínimo 12 caracteres)
- Autenticación en dos pasos (2FA) para todas las cuentas
- Bloqueo automático tras intentos fallidos de inicio de sesión
- Política de rotación de contraseñas
- Principio del mínimo privilegio (acceso solo a lo necesario)
- Segregación de funciones (administradores, usuarios, auditores)
- Revisión periódica de accesos y permisos
- Desactivación inmediata de las cuentas de ex empleados
- Registros de acceso a los buzones
- Registros de envío y recepción de mensajes
- Alertas ante actividades anómalas
- Retención de registros por un período adecuado
Medidas administrativas necesarias
- Política de uso del correo: reglas claras sobre uso aceptable, datos sensibles, compartición
- Capacitación de los empleados: concientización sobre la LGPD y buenas prácticas de seguridad
- Procedimientos de respuesta a incidentes: plan documentado para violaciones de datos
- Gestión de terceros: contratos con proveedores que incluyan cláusulas de protección de datos
- Evaluación de impacto: RIPD (Informe de Impacto a la Protección de Datos) para tratamientos de alto riesgo
Archivado de correo y LGPD
El archivado de correo es uno de los pilares del compliance con la LGPD: permite a la empresa demostrar conformidad, atender solicitudes de titulares y responder a auditorías.
Por qué archivar correos
- Obligación legal: diversas leyes exigen la retención de comunicaciones por períodos específicos
- Defensa en procesos: los correos se usan con frecuencia como prueba en litigios
- Auditoría: demostración de conformidad ante reguladores (ANPD, auditorías internas)
- Derechos de los titulares: capacidad de ubicar y entregar datos personales a pedido del titular
- Continuidad del negocio: preservación del conocimiento institucional
Plazos de retención por tipo de dato
La LGPD no define plazos fijos de retención, pero otras legislaciones brasileñas sí:
Datos contables y fiscales:- Código Civil (Art. 1.194): 5 años como mínimo
- Legislación tributaria: 5 años (plazo de caducidad)
- Recomendación práctica: 6 años
- Legislación laboral (CLT): 5 años durante la vigencia del contrato, 2 años tras la rescisión
- Previsional: 10 años (comprobantes de aportes)
- Recomendación práctica: 10 años
- Consejo Federal de Medicina (historias clínicas): 20 años como mínimo
- ANVISA (farmacovigilancia): 15 años
- Recomendación práctica: 20 años
- Banco Central: 5 a 10 años según la regulación específica
- CVM (regulador del mercado de valores): 5 años como mínimo
- COAF (prevención del lavado de dinero): 10 años
- Sin obligación legal específica
- Recomendación práctica: 3 a 5 años, según la necesidad del negocio
Meile Archiving: compliance simplificado
Meile Archiving es la solución de archivado de correo de Meile, diseñada específicamente para cumplir con los requisitos de compliance:- Archivado automático: todos los mensajes se archivan en tiempo real, sin intervención del usuario
- Inmutabilidad: los mensajes archivados no pueden ser alterados ni eliminados por los usuarios
- Búsqueda indexada: ubicación de mensajes por remitente, destinatario, fecha, asunto o contenido en segundos
- Políticas de retención: configuración granular por departamento, tipo de dato o base legal
- Exportación: generación de reportes en formatos estándar (PST, EML, PDF)
- Eliminación selectiva: borrado de datos con certificado de descarte para atender solicitudes de titulares
- Chain of custody: registro inviolable de la cadena de custodia de cada mensaje
Derechos de los titulares y correo
La LGPD garantiza al titular de los datos una serie de derechos (Art. 18) que la empresa debe poder atender, incluidos los datos en correos.
Derecho de acceso (Art. 18, II)
El titular puede solicitar acceso a todos los datos personales suyos que posee la empresa. Para los correos, esto significa:
Sin una herramienta de búsqueda indexada, atender esta solicitud puede tomar semanas. Con Meile Archiving, la búsqueda se hace en segundos.
Derecho de eliminación (Art. 18, VI)
El titular puede solicitar la eliminación de sus datos personales. Para los correos:
Derecho de portabilidad (Art. 18, V)
El titular puede solicitar la transferencia de sus datos a otro proveedor. Para los correos, esto puede implicar la exportación de mensajes en un formato estándar.
Derecho a la información sobre la compartición (Art. 18, VII)
El titular puede preguntar con quién se compartieron sus datos. Los registros del correo permiten rastrear reenvíos y copias de mensajes.
Decisión automatizada en el correo: ¿qué exige el Art. 20 de la LGPD?
Además del acceso, la corrección y la eliminación, el titular tiene un derecho menos recordado: pedir la revisión de decisiones automatizadas. En el correo aparece poco, porque la mayor parte de las decisiones automáticas del buzón son de seguridad y, en general, no afectan los intereses de nadie de forma relevante. Algunas prácticas alrededor del correo, sin embargo, se acercan a la línea.
Qué dice el Art. 20 y qué no dice
El Art. 20 de la Ley 13.709/2018 (en portugués) le da al titular el derecho de "solicitar la revisión de decisiones tomadas únicamente con base en el tratamiento automatizado de datos personales que afecten sus intereses, incluidas las decisiones destinadas a definir su perfil personal, profesional, de consumo y de crédito o los aspectos de su personalidad". La redacción vigente es la de la Ley 13.853/2019.
Tres puntos del texto de la ley:- El § 1º obliga al controlador a proporcionar, cuando se le soliciten, "información clara y adecuada sobre los criterios y los procedimientos utilizados para la decisión automatizada", respetando los secretos comercial e industrial
- El § 2º permite que la autoridad nacional realice una auditoría para verificar aspectos discriminatorios cuando esa información se niegue con base en el secreto comercial e industrial
- La redacción vigente no dice que la revisión deba hacerla una persona: el caput habla de "revisión", sin decir quién revisa. La expresión "por persona natural" estaba en el texto original y fue retirada, y el § 3º, que trataba el tema, fue vetado. Si la ANPD va a exigir revisión humana es un punto abierto
¿Qué prácticas de correo pueden entrar en esta regla?
El criterio es el del caput: decisión únicamente automatizada, con datos personales, que afecte los intereses del titular.
En la práctica:- La clasificación automática de currículums recibidos por correo es el caso más cercano, porque define un perfil profesional y puede eliminar a un candidato. En principio, quien responde como controlador es la empresa que usa la clasificación. El proveedor de correo suele actuar como operador, pero eso depende de quién define la finalidad y los criterios
- La puntuación de leads y la segmentación en email marketing pueden entrar cuando generan un perfil de consumo con efecto sobre la persona, como una oferta o una condición distinta. Segmentar solo para enviar un newsletter es un caso débil
- El bloqueo de envío por regla de fuga de datos y las alertas de monitoreo dependen del efecto. Frenar un mensaje es una cosa. Aplicar una medida disciplinaria sin que nadie decida es otra
- El filtro antispam y la cuarentena clasifican mensajes y, en principio, no producen un efecto relevante sobre el titular, que suele tener cómo liberar el mensaje o usar otro canal. Por eso tienden a quedar fuera del alcance del artículo, aunque la ley no trate el caso de forma expresa
Notificación de incidentes
La LGPD exige (Art. 48) que el controlador comunique a la ANPD y al titular en caso de un incidente de seguridad que pueda acarrear riesgo o daño relevante.
Qué constituye un incidente de correo
- Intrusión en una cuenta de correo con acceso a datos personales
- Envío accidental de datos personales a un destinatario equivocado
- Filtración de una lista de correos con datos personales
- Ransomware que cifra buzones de correo con datos personales
- Acceso no autorizado al sistema de archivado
Plazo de notificación
La ANPD recomienda (Resolución CD/ANPD nº 15/2024) notificar en hasta 3 días hábiles tras tomar conocimiento del incidente.
Contenido de la notificación
- Descripción de la naturaleza de los datos afectados
- Información sobre los titulares involucrados
- Medidas técnicas y de seguridad utilizadas
- Riesgos relacionados con el incidente
- Medidas adoptadas para mitigar los efectos
- Justificación del retraso, si corresponde
Cómo ayuda Meile
- Monitoreo 24/7: detección rápida de incidentes
- Registros detallados: información precisa para la notificación
- Equipo de respuesta: apoyo en la investigación y la contención
- Reportes de incidente: documentación estandarizada para la ANPD
Auditoría y demostración de conformidad
La LGPD exige que la empresa sea capaz de demostrar conformidad (principio de responsabilización, Art. 6, X). Para el correo corporativo, esto significa:
Documentación necesaria
- Registro de actividades de tratamiento: mapeo de todos los tratamientos de datos personales por correo
- Política de uso del correo: reglas internas para el uso del correo corporativo
- Política de retención: definición de plazos de retención por tipo de dato
- Procedimiento de respuesta a incidentes: plan documentado
- RIPD: Informe de Impacto a la Protección de Datos para tratamientos de alto riesgo
- Contratos con encargados del tratamiento: cláusulas de protección de datos con los proveedores de correo
Evidencias técnicas
- Registros de acceso y autenticación
- Configuración del cifrado (TLS, AES)
- Registros de capacitación de empleados
- Resultados de simulaciones de phishing
- Reportes de auditoría de permisos
- Certificados de eliminación de datos
Herramientas de Meile para auditoría
- Panel administrativo: visión completa de todas las cuentas y configuraciones
- Registros exportables: registros de acceso, envío y recepción en formato CSV
- Reportes de compliance: reportes preformateados para auditores
- Meile Archiving: búsqueda y exportación de mensajes para investigación
Protección de datos empresariales: lo que la LGPD no cubre
La adecuación a la LGPD y la protección de datos empresariales no son lo mismo, y confundir ambas es el error más caro de quien arma el programa por primera vez. La LGPD protege el dato personal: el Art. 5º, inciso I, define el término como "información relacionada con una persona natural identificada o identificable". La persona jurídica queda fuera. Facturación, tabla de precios negociada, propuesta comercial, contrato, proyecto técnico, memoria de cálculo, lista de proveedores, estrategia de expansión: nada de eso es dato personal, y ningún control diseñado solo con la lente de la ley protege ese acervo.
El problema es que ambos acervos viven en la misma bandeja de entrada. Muchas veces en el mismo mensaje.
Dos regímenes jurídicos, un único repositorio
La empresa brasileña opera bajo dos regímenes de protección que casi nunca se diseñan juntos:
- Dato personal: LGPD (Ley 13.709/2018). El titular es la persona. Quien responde es la empresa, ante la ANPD y ante el propio titular. Exige base legal, plazo de retención, trazabilidad y derecho de eliminación.
- Información confidencial de la empresa: Ley de Propiedad Industrial (Ley 9.279/1996), Art. 195, incisos XI y XII, que trata como competencia desleal la divulgación o la explotación de conocimiento e información confidencial obtenidos por relación contractual o laboral. No hay titular externo, no hay ANPD, no hay plazo legal: la protección depende enteramente de que el control exista y de que la empresa pueda probar que existía.
Qué cubre un plan de protección de datos empresariales además de la adecuación
Si tu documento de adecuación responde solo "dónde están los datos personales", no es un plan de protección de datos empresariales: es la mitad. El plan completo responde también:
- Clasificación por sensibilidad comercial, no solo por categoría legal: qué causa daño si se filtra hoy, qué causa daño si se filtra en seis meses, qué es público de todas formas
- Salida de personas: adónde va el acervo de un buzón desactivado, quién hereda el acceso, por cuánto tiempo el archivo permanece consultable y bajo qué justificación
- Terceros con acceso legítimo: contador, estudio de abogados, agencia, consultora; el correo es el canal por donde el dato sale de la empresa sin salir nunca del buzón de nadie
- Adjunto, que es la unidad real de filtración: el mensaje desaparece de la vista, el archivo sigue en el dispositivo, en el celular personal y en la carpeta de descargas
- Prueba: la capacidad de demostrar, después del incidente, qué existía, quién accedió y cuándo; en ambos regímenes, quien no puede probar no tiene defensa
El correo es donde se encuentran los dos acervos
Una propuesta comercial con nombre, cargo y teléfono del contacto del cliente es, en la misma página, información confidencial de la empresa y dato personal de un tercero. Un adjunto de nómina es dato personal de los empleados e información estratégica sobre la estructura de costos. Esa superposición no existe en el ERP, ni en el CRM, ni en el sistema contable, donde cada tipo de registro tiene su propia tabla. Existe en el buzón de correo, y por eso tratar el correo como canal, y no como repositorio, es el punto ciego más común de los programas de protección de datos empresariales.
En la práctica, los controles que resuelven ambos de una vez son los mismos que Meile entrega de fábrica: archivado con política de retención por categoría, registro de acceso exportable, cifrado en tránsito y en reposo, y desactivación de cuenta que preserva el acervo sin mantener el acceso. Un control diseñado dos veces, por dos equipos, sobre el mismo buzón, cuesta el doble y protege a medias.
Checklist de compliance con la LGPD para el correo
Usa esta lista para evaluar la conformidad del correo corporativo de tu empresa:
Seguridad técnica:- Cifrado TLS en todas las conexiones
- Cifrado en reposo para los datos almacenados
- Autenticación en dos pasos activa
- Política de contraseñas implementada
- Antispam y antivirus en operación
- SPF, DKIM y DMARC configurados
- Política de retención documentada
- Herramienta de archivado implementada
- Proceso para atender solicitudes de titulares
- Proceso de eliminación de datos con certificado
- DPO designado y accesible
- Registro de actividades de tratamiento actualizado
- Política de uso del correo publicada y firmada
- Capacitación de empleados realizada anualmente
- Plan de respuesta a incidentes documentado y probado
- Contratos con proveedores que incluyan cláusulas de protección de datos
- Registros de acceso activos y retenidos
- Alertas para actividades anómalas configuradas
- Revisión periódica de permisos agendada
- Simulaciones de phishing realizadas con regularidad
Por qué elegir Meile para el compliance con la LGPD
Meile es la única proveedora brasileña de correo corporativo que ofrece una suite completa de herramientas para el compliance con la LGPD en una única plataforma:
- Meile Mail: correo corporativo con seguridad nativa (TLS, 2FA, registros)
- Meile Antispam: protección contra amenazas que pueden causar una violación de datos
- Meile Archiving: archivado automático con búsqueda indexada y políticas de retención
- Meile Phishing Educativo: capacitación de usuarios para reducir el riesgo humano
- Datos en Brasil: toda la infraestructura en datacenters brasileños
- Soporte humano: equipo especializado en compliance y LGPD
Para revendedores y socios
La conformidad con la LGPD es uno de los argumentos más fuertes que usan los revendedores para convencer a sus clientes de migrar desde proveedores internacionales. Con el programa de reventa white label de Meile, ofreces correo con datos 100% en Brasil, archivado y auditoría nativos, y usas la LGPD como diferencial competitivo en tu propuesta comercial.