Den 14. august 2024 fejrer Brasilien 6-årsdagen for den generelle lov om databeskyttelse (LGPD). Denne lovgivning markerede fremskridt inden for beskyttelse af privatlivets fred og personoplysninger i landet. LGPD blev godkendt den 14. august 2018 og trådte i kraft i september 2020 med sanktioner gældende fra august 2021.
LGPD (Brasiliens generelle databeskyttelseslov) definerer personoplysninger som enhver information, der kan identificere eller gøre en fysisk eller juridisk person identificerbar, såsom navn, CPF (brasiliansk individuelt skatteyderregistreringsnummer), RG (brasiliansk identitetskortnummer), e-mail og andre data. Hovedformålet med LGPD er at sikre, at disse data bruges sikkert og transparent, forhindre misbrug og garantere borgernes retsbeskyttelse og sikkerhed.
I maj 2021, to år efter vedtagelsen af LGPD (den brasilianske generelle lov om databeskyttelse), anerkendte den brasilianske højesteret (STF) beskyttelsen af personoplysninger som en grundlæggende rettighed. Denne anerkendelse blev inkluderet i den føderale forfatning i februar 2022 gennem forfatningsændring nr. 115/22. Mens retten til intimitet, privatliv og fortrolighed i kommunikation allerede var forankret i den føderale forfatning fra 1988, er beskyttelsen af personoplysninger først for nylig blevet en del af forfatningsteksten. Love som Marco Civil da Internet (den brasilianske internetlovgivning) og Lei de Acesso à Informação (loven om adgang til information) var vigtige forløbere, der bidrog til formuleringen af LGPD.
Efter loven blev vedtaget, skulle virksomheder tilpasse sig den nye lovgivning og indføre specifikke praksisser. Dette involverede udarbejdelse af privatlivspolitikker og -procedurer, uddannelse af medarbejdere og implementering af informationssikkerhedsteknologier. LGPD fastsætter bøder og sanktioner for manglende overholdelse, hvilket – teoretisk set – opfordrede virksomheder til at overholde loven.
LGPD (den brasilianske persondatalov) er dog endnu ikke fuldt ud overholdt i nogle dele af landet. En undersøgelse foretaget af LGPD Brasil-portalen viste, at selv med lovens obligatoriske karakter overholder kun 16 % af virksomhederne i landet den. Dette afslører, at selvom der allerede er en vis kendskab til loven, er den stadig i høj grad koncentreret i store bycentre, og det er nødvendigt at bringe denne viden til andre regioner i landet.
Lucas Maldonado D. Latini, advokat og specialist i digital jura fra FGV, påpeger, at en af de største vanskeligheder ved at tilpasse sig LGPD (den brasilianske persondatalov) ligger i manglen på viden om loven og hvordan den påvirker virksomheders drift. Mange organisationer er stadig ikke klar over, at lovgivningen gælder for deres aktivitetsområde. Advokaten bemærker, at lovgivningen dækker virksomheder i forskellige sektorer, såsom finans, uddannelse, detailhandel osv. Alle skal tilpasse sig eller er underlagt sanktioner.
Ifølge ham var bestemmelserne om databeskyttelse spredt ud over forskellige love, hvilket gjorde fortolkningen og anvendelsen af disse rettigheder vanskelig. "Den forening, som LGPD fremmer, bragte klarhed og sammenhæng i de brasilianske lovgivningsmæssige rammer. Derudover oprettede vi den nationale databeskyttelsesmyndighed (ANPD) for at sikre tilsyn med og håndhævelse af loven," kommenterer han. I dag er ANPD ansvarlig for at udstede resolutioner og retningslinjer, der hjælper databehandlere med at forstå og overholde deres forpligtelser.
Hvad kan vi forvente af en stadig mere teknologisk udviklet fremtid?
Selvom regelsættet har udviklet sig betydeligt siden dets implementering, er der flere spørgsmål, som den nationale databeskyttelsesmyndighed (ANPD) stadig skal tage stilling til for at sikre, at dets anvendelse forbliver effektiv.
Et af de emner, der er i fokus, er reguleringen af internationale dataoverførsler. I 2022 lancerede ANPD (National Data Protection Authority) en offentlig høring for at udarbejde retningslinjer for, hvordan personoplysninger kan sendes uden for Brasilien. LGPD (Brasiliens generelle databeskyttelseslov) kræver, at disse overførsler udføres på en måde, der garanterer tilstrækkelig databeskyttelse i andre lande. Med henblik herpå skal ANPD fastsætte klare regler, herunder for lande, som den anser for at have beskyttelsesniveauer, der er forenelige med brasiliansk lovgivning.
Et andet punkt er reguleringen af kunstig intelligens (AI). Brasiliansk lovgivning omhandler til dato ikke specifikt brugen af AI i forbindelse med databeskyttelse. ANPD (National Data Protection Authority) deltager i drøftelser om lovforslag nr. 2.338/2023, som har til formål at etablere en juridisk ramme for AI, og som i øjeblikket evalueres af det føderale senat.
Advokaten understreger, at et af de vigtigste punkter er, at virksomheder etablerer de nødvendige tekniske og administrative sikkerhedsforanstaltninger for at beskytte personoplysninger. Disse retningslinjer kan omfatte minimumssikkerhedsstandarder, brug af kryptering, firewalls og adgangspolitikker. Implementering af hver af disse foranstaltninger er en måde at forhindre sikkerhedshændelser, såsom databrud, og sikre, at oplysninger er beskyttet mod uautoriseret adgang.
