2024. augusztus 14-én Brazília ünnepli az Általános Adatvédelmi Törvény (LGPD) 6. évfordulóját. Ez a jogszabály előrelépést jelentett az országban a magánélet és a személyes adatok védelme terén. A 2018. augusztus 14-én jóváhagyott LGPD 2020 szeptemberében lépett hatályba, a szankciók pedig 2021 augusztusától alkalmazandók.
Az LGPD (brazil általános adatvédelmi törvény) a személyes adatot minden olyan információként határozza meg, amely azonosíthat vagy azonosíthatóvá tehet egy természetes vagy jogi személyt, például a név, a CPF (brazil adófizetői regisztrációs szám), az RG (brazil személyi igazolvány száma), az e-mail cím és egyéb adatok. Az LGPD fő célja annak biztosítása, hogy ezeket az adatokat biztonságosan és átláthatóan használják, megakadályozva a visszaéléseket, és garantálva a polgárok jogi védelmét és biztonságát.
2021 májusában, két évvel az LGPD (brazil általános adatvédelmi törvény) hatálybalépése után, a brazil Legfelsőbb Szövetségi Bíróság (STF) alapvető jogként ismerte el a személyes adatok védelmét. Ez az elismerés 2022 februárjában, a 115/22. számú alkotmánymódosítással került be a szövetségi alkotmányba. Míg az intimitáshoz, a magánélethez és a kommunikáció titkosságához való jogot már az 1988-as szövetségi alkotmány is rögzítette, a személyes adatok védelme csak a közelmúltban vált az alkotmányos szöveg részévé. Az olyan törvények, mint a Marco Civil da Internet (brazil internetes jogok törvénye) és a Lei de Acesso à Informação (információhoz való hozzáférésről szóló törvény), fontos előfutárai voltak az LGPD megfogalmazásának.
A törvény elfogadása után a vállalatoknak alkalmazkodniuk kellett az új jogszabályokhoz, és speciális gyakorlatokat kellett alkalmazniuk. Ez magában foglalta az adatvédelmi irányelvek és eljárások kidolgozását, az alkalmazottak képzését és az információbiztonsági technológiák bevezetését. Az LGPD bírságokat és szankciókat ír elő a meg nem felelés esetén, ami – elméletileg – ösztönözte a vállalatokat a törvény betartására.
Az LGPD-t (brazil általános adatvédelmi törvény) azonban az ország egyes részein még nem tartják be teljes mértékben. Az LGPD Brasil portál által végzett felmérés szerint a törvény kötelező jellege ellenére az országban a vállalatoknak csak 16%-a felel meg a követelményeknek. Ez azt mutatja, hogy bár már van némi ismeret a törvénnyel kapcsolatban, az még mindig nagyrészt a nagyvárosi központokban koncentrálódik, és ezt a tudást az ország más régióiba is el kell juttatni.
Lucas Maldonado D. Latini, az FGV ügyvédje és digitális jogi szakértője rámutat, hogy az LGPD-hez (brazil általános adatvédelmi törvény) való alkalmazkodás egyik legnagyobb nehézsége a törvény ismeretének hiánya és annak a vállalatok működését befolyásoló hatása. Sok szervezet még mindig nincs tisztában azzal, hogy a jogszabály a tevékenységi területükre vonatkozik. Az ügyvéd megjegyzi, hogy a jogszabály különböző ágazatokban működő vállalatokra vonatkozik, például a pénzügy, az oktatás, a kiskereskedelem stb. Mindegyiküknek alkalmazkodnia kell, különben szankciók vonatkoznak rájuk.
Szerinte az adatvédelemmel kapcsolatos rendelkezések szétszórva voltak a különböző törvényekben, ami megnehezítette ezen jogok értelmezését és alkalmazását. „Az LGPD által elősegített egységesítés egyértelművé és koherenciát hozott a brazil szabályozási keretrendszerbe. Ezenkívül létrehoztuk a Nemzeti Adatvédelmi Hatóságot (ANPD), hogy biztosítsa a törvény felügyeletét és végrehajtását” – jegyzi meg. Ma az ANPD felelős olyan állásfoglalások és iránymutatások kiadásáért, amelyek segítik az adatfeldolgozókat kötelezettségeik megértésében és betartásában.
Mit várhatunk egy egyre inkább technológiailag fejlett jövőtől?
Bár a szabályozási keretrendszer jelentősen fejlődött a végrehajtása óta, a Nemzeti Adatvédelmi Hatóságnak (ANPD) még számos kérdéssel kell foglalkoznia annak érdekében, hogy alkalmazása továbbra is hatékony legyen.
Az egyik fókuszban álló téma a nemzetközi adattovábbítások szabályozása. 2022-ben az ANPD (Nemzeti Adatvédelmi Hatóság) nyilvános konzultációt indított, hogy iránymutatásokat dolgozzon ki a személyes adatok Brazílián kívülre küldésére vonatkozóan. Az LGPD (brazil általános adatvédelmi törvény) előírja, hogy ezeket az adattovábbításokat olyan módon kell végrehajtani, amely garantálja a megfelelő adatvédelmet más országokban. Ennek érdekében az ANPD-nek egyértelmű szabályokat kell megállapítania, többek között azokra az országokra vonatkozóan is, amelyekről úgy véli, hogy a brazil jogszabályokkal összeegyeztethető védelmi szinttel rendelkeznek.
Egy másik szempont a mesterséges intelligencia (MI) szabályozása. A brazil jogszabályok a mai napig nem foglalkoznak konkrétan a MI adatvédelmi vonatkozásaival. Az ANPD (Nemzeti Adatvédelmi Hatóság) részt vesz a 2338/2023. számú törvényjavaslat megvitatásában, amelynek célja a MI jogi keretének létrehozása, és amelyet jelenleg a Szövetségi Szenátus értékel.
Az ügyvéd hangsúlyozza, hogy az egyik legfontosabb pont, hogy a vállalatok létrehozzák a személyes adatok védelméhez szükséges technikai és adminisztratív biztonsági intézkedéseket. Ezek az irányelvek tartalmazhatják a minimális biztonsági szabványokat, a titkosítás, a tűzfalak és a hozzáférési szabályzatok használatát. Ezen intézkedések mindegyikének végrehajtása a biztonsági incidensek, például az adatvédelmi incidensek megelőzésének, és annak biztosításának egyik módja, hogy az információk védve legyenek a jogosulatlan hozzáféréssel szemben.
