Brazílie oslaví 14. srpna 2024 6. výročí přijetí Obecného zákona o ochraně osobních údajů (LGPD). Tato legislativa znamenala pokrok v ochraně soukromí a osobních údajů v zemi. LGPD byl schválen 14. srpna 2018 a vstoupil v platnost v září 2020, přičemž sankce se uplatňují od srpna 2021.
LGPD (Brazilský obecný zákon o ochraně osobních údajů) definuje osobní údaje jako jakékoli informace, které mohou identifikovat nebo učinit identifikovatelnou fyzickou nebo právnickou osobu, jako je jméno, CPF (brazilské daňové registrační číslo), RG (brazilské číslo občanského průkazu), e-mail a další údaje. Hlavním účelem LGPD je zajistit, aby tyto údaje byly používány bezpečně a transparentně, aby se zabránilo zneužití a zaručila právní ochrana a bezpečnost občanů.
V květnu 2021, dva roky po přijetí LGPD (brazilského obecného zákona o ochraně osobních údajů), uznal brazilský Nejvyšší federální soud (STF) ochranu osobních údajů jako základní právo. Toto uznání bylo zahrnuto do federální ústavy v únoru 2022 prostřednictvím ústavního dodatku č. 115/22. Zatímco práva na intimitu, soukromí a důvěrnost komunikace byla zakotvena již ve federální ústavě z roku 1988, ochrana osobních údajů se stala součástí ústavního textu až nedávno. Důležitými předchůdci, kteří přispěli k formulaci LGPD, byly zákony jako Marco Civil da Internet (brazilská listina práv k internetu) a Lei de Acesso à Informação (zákon o přístupu k informacím).
Poté, co byl zákon přijat, se společnosti musely přizpůsobit nové legislativě a zavést specifické postupy. To zahrnovalo vytvoření zásad a postupů ochrany osobních údajů, školení zaměstnanců a implementaci technologií informační bezpečnosti. LGPD stanoví pokuty a sankce za nedodržování předpisů, což – teoreticky – společnosti povzbuzovalo k dodržování zákona.
LGPD (Brazilský obecný zákon o ochraně osobních údajů) však v některých částech země dosud není plně dodržován. Průzkum provedený portálem LGPD Brasil ukázal, že i přes závaznou povahu zákona jej dodržuje pouze 16 % společností v zemi. To ukazuje, že ačkoliv o zákonu již existuje určité povědomí, stále je z velké části soustředěno ve velkých městských centrech a je nutné tyto znalosti přenést do dalších regionů země.
Lucas Maldonado D. Latini, právník a specialista na digitální právo z FGV, poukazuje na to, že jednou z největších obtíží při adaptaci na LGPD (brazilský obecný zákon o ochraně osobních údajů) je nedostatek znalostí o zákoně a o tom, jak ovlivňuje činnost společností. Mnoho organizací si stále neuvědomuje, že se legislativa vztahuje na jejich oblast působnosti. Právník poznamenává, že legislativa se vztahuje na společnosti v různých odvětvích, jako jsou finance, vzdělávání, maloobchod atd. Všechny se musí adaptovat, jinak budou vystaveny sankcím.
Podle něj byla ustanovení o ochraně údajů rozptýlena v různých zákonech, což ztěžovalo výklad a uplatňování těchto práv. „Sjednocení, které prosazuje LGPD, vneslo do brazilského regulačního rámce jasnost a soudržnost. Dále jsme měli za úkol vytvořit Národní úřad pro ochranu osobních údajů (ANPD), který má zajistit dohled nad zákonem a jeho vymáhání,“ poznamenává. Dnes je ANPD zodpovědný za vydávání usnesení a pokynů, které pomáhají zpracovatelům údajů pochopit a plnit jejich povinnosti.
Co můžeme očekávat od stále technologicky propracovanější budoucnosti?
Přestože se regulační rámec od svého zavedení výrazně posunul vpřed, Národní úřad pro ochranu osobních údajů (ANPD) stále musí řešit několik otázek, aby byla zajištěna jeho účinnost.
Jedním z témat, na která se zaměřujeme, je regulace mezinárodního předávání údajů. V roce 2022 zahájil Národní úřad pro ochranu osobních údajů (ANPD) veřejnou konzultaci s cílem vytvořit pokyny k tomu, jak lze osobní údaje odesílat mimo Brazílii. LGPD (Brazilský obecný zákon o ochraně osobních údajů) vyžaduje, aby tyto předávání probíhaly způsobem, který zaručuje odpovídající ochranu údajů v jiných zemích. Za tímto účelem musí ANPD stanovit jasná pravidla, a to i pro země, u kterých je úroveň ochrany podle jeho názoru slučitelná s brazilskou legislativou.
Dalším bodem je regulace umělé inteligence (AI). Brazilská legislativa dosud konkrétně neřeší používání AI v souvislosti s ochranou údajů. ANPD (Národní úřad pro ochranu osobních údajů) se účastní diskusí o návrhu zákona č. 2 338/2023, jehož cílem je vytvořit právní rámec pro AI a který v současné době projednává federální senát.
Právník zdůrazňuje, že jedním z nejdůležitějších bodů je, aby společnosti zavedly nezbytná technická a administrativní bezpečnostní opatření na ochranu osobních údajů. Tato pravidla mohou zahrnovat minimální bezpečnostní standardy, používání šifrování, firewally a zásady přístupu. Implementace každého z těchto opatření je způsobem, jak předcházet bezpečnostním incidentům, jako jsou úniky dat, a zajistit ochranu informací před neoprávněným přístupem.
