في 14 أغسطس/آب 2024، احتفلت البرازيل بالذكرى السنوية السادسة لقانون حماية البيانات العامة (LGPD). وقد مثّل هذا التشريع تقدماً ملحوظاً في حماية الخصوصية والبيانات الشخصية في البلاد. وقد أُقرّ القانون في 14 أغسطس/آب 2018، ودخل حيز التنفيذ في سبتمبر/أيلول 2020، على أن تُطبّق العقوبات اعتباراً من أغسطس/آب 2021.
يُعرّف قانون حماية البيانات العامة البرازيلي (LGPD) البيانات الشخصية بأنها أي معلومات تُمكن من تحديد هوية شخص طبيعي أو اعتباري، مثل الاسم، ورقم تسجيل دافع الضرائب البرازيلي (CPF)، ورقم بطاقة الهوية البرازيلية (RG)، والبريد الإلكتروني، وغيرها من البيانات. ويهدف قانون حماية البيانات العامة البرازيلي بشكل أساسي إلى ضمان استخدام هذه البيانات بشكل آمن وشفاف، ومنع إساءة استخدامها، وضمان الحماية القانونية والأمن للمواطنين.
في مايو/أيار 2021، وبعد عامين من سنّ قانون حماية البيانات العامة البرازيلي (LGPD)، أقرت المحكمة الاتحادية العليا البرازيلية حماية البيانات الشخصية كحق أساسي. وقد أُدرج هذا الاعتراف في الدستور الاتحادي في فبراير/شباط 2022، بموجب التعديل الدستوري رقم 115/22. وبينما كانت حقوق الخصوصية وسرية الاتصالات مكفولة بالفعل في دستور عام 1988، لم تُدرج حماية البيانات الشخصية في النص الدستوري إلا مؤخرًا. وكانت قوانين مثل قانون حقوق الإنترنت البرازيلي (Marco Civil da Internet) وقانون الوصول إلى المعلومات (Lei de Acesso à Informação) من أهم القوانين التي ساهمت في صياغة قانون حماية البيانات العامة البرازيلي.
بعد سنّ القانون، كان على الشركات التكيف مع التشريعات الجديدة، واعتماد ممارسات محددة. وشمل ذلك وضع سياسات وإجراءات لحماية الخصوصية، وتدريب الموظفين، وتطبيق تقنيات أمن المعلومات. وينص قانون حماية البيانات العامة (LGPD) على غرامات وعقوبات لعدم الامتثال، مما شجع الشركات - نظرياً - على الالتزام بالقانون.
مع ذلك، لا يزال تطبيق قانون حماية البيانات العامة البرازيلي (LGPD) غير مكتمل في بعض مناطق البلاد. فقد أظهر استطلاع رأي أجراه موقع LGPD Brasil الإلكتروني أنه على الرغم من إلزامية القانون، فإن 16% فقط من الشركات في البرازيل ملتزمة به. وهذا يدل على أنه بالرغم من وجود بعض الوعي بالقانون، إلا أنه لا يزال محصوراً إلى حد كبير في المراكز الحضرية الكبرى، ومن الضروري نشر هذه المعرفة في مناطق أخرى من البلاد.
يشير لوكاس مالدونادو د. لاتيني، المحامي والمتخصص في القانون الرقمي لدى مؤسسة جيتوليو فارغاس (FGV)، إلى أن إحدى أكبر الصعوبات في التكيف مع قانون حماية البيانات العامة البرازيلي (LGPD) تكمن في نقص المعرفة بهذا القانون وكيفية تأثيره على عمليات الشركات. لا تزال العديد من المؤسسات غير مدركة أن هذا التشريع ينطبق على مجال نشاطها. ويشير المحامي إلى أن التشريع يشمل شركات في قطاعات متنوعة، مثل التمويل والتعليم والتجزئة، وغيرها. ويتعين على جميعها التكيف معه وإلا ستتعرض للعقوبات.
بحسب قوله، كانت أحكام حماية البيانات متناثرة بين قوانين مختلفة، مما صعّب تفسير هذه الحقوق وتطبيقها. ويضيف: "لقد أضفى التوحيد الذي روج له قانون حماية البيانات العامة (LGPD) وضوحًا وتماسكًا على الإطار التنظيمي البرازيلي. علاوة على ذلك، أنشأنا الهيئة الوطنية لحماية البيانات (ANPD) لضمان الإشراف على القانون وإنفاذه". واليوم، تتولى الهيئة الوطنية لحماية البيانات مسؤولية إصدار القرارات والتوجيهات التي تساعد الجهات المعنية بمعالجة البيانات على فهم التزاماتها والامتثال لها.
ما الذي يمكن أن نتوقعه من مستقبل يزداد اعتماده على التكنولوجيا؟
على الرغم من أن الإطار التنظيمي قد تقدم بشكل كبير منذ تنفيذه، إلا أن هناك العديد من القضايا التي لا تزال بحاجة إلى معالجة من قبل الهيئة الوطنية لحماية البيانات (ANPD) لضمان استمرار فعالية تطبيقه.
من بين المواضيع التي تحظى باهتمام خاص تنظيم عمليات نقل البيانات الدولية. ففي عام ٢٠٢٢، أطلقت الهيئة الوطنية لحماية البيانات (ANPD) استشارة عامة لوضع مبادئ توجيهية حول كيفية إرسال البيانات الشخصية خارج البرازيل. وينص قانون حماية البيانات العامة البرازيلي (LGPD) على ضرورة أن تتم عمليات النقل هذه بطريقة تضمن حماية كافية للبيانات في البلدان الأخرى. ولتحقيق هذه الغاية، تحتاج الهيئة الوطنية لحماية البيانات إلى وضع قواعد واضحة، بما في ذلك تحديد البلدان التي تعتبر مستويات الحماية فيها متوافقة مع التشريعات البرازيلية.
ومن النقاط الأخرى تنظيم الذكاء الاصطناعي. فحتى الآن، لا يتناول التشريع البرازيلي استخدام الذكاء الاصطناعي بشكل صريح فيما يتعلق بحماية البيانات. وتشارك الهيئة الوطنية لحماية البيانات في المناقشات حول مشروع القانون رقم 2338/2023، الذي يهدف إلى وضع إطار قانوني للذكاء الاصطناعي، ويخضع حاليًا لتقييم مجلس الشيوخ الاتحادي.
يؤكد المحامي على أن من أهم النقاط التي يجب على الشركات اتخاذها هي وضع التدابير الأمنية التقنية والإدارية اللازمة لحماية البيانات الشخصية. قد تشمل هذه التدابير الحد الأدنى من معايير الأمان، واستخدام التشفير، وجدران الحماية، وسياسات الوصول. ويُعدّ تطبيق كلٍّ من هذه التدابير وسيلةً لمنع الحوادث الأمنية، مثل اختراقات البيانات، وضمان حماية المعلومات من الوصول غير المصرح به.
