Am 14. August 2024 feiert Brasilien den sechsten Jahrestag des Allgemeinen Datenschutzgesetzes (LGPD). Dieses Gesetz markierte einen Fortschritt beim Schutz der Privatsphäre und personenbezogener Daten im Land. Das LGPD wurde am 14. August 2018 verabschiedet und trat im September 2020 in Kraft; Sanktionen gelten seit August 2021.
Das brasilianische Datenschutzgesetz (LGPD) definiert personenbezogene Daten als alle Informationen, die eine natürliche oder juristische Person identifizieren können, wie beispielsweise Name, CPF (brasilianische Steueridentifikationsnummer), RG (brasilianische Personalausweisnummer), E-Mail-Adresse und weitere Daten. Hauptzweck des LGPD ist es, die sichere und transparente Verwendung dieser Daten zu gewährleisten, Missbrauch zu verhindern und den Rechtsschutz und die Sicherheit der Bürger zu garantieren.
Im Mai 2021, zwei Jahre nach Inkrafttreten des brasilianischen Datenschutzgesetzes (LGPD), erkannte der Oberste Bundesgerichtshof Brasiliens (STF) den Schutz personenbezogener Daten als Grundrecht an. Diese Anerkennung wurde im Februar 2022 durch die Verfassungsänderung Nr. 115/22 in die Bundesverfassung aufgenommen. Während die Rechte auf Intimität, Privatsphäre und Vertraulichkeit der Kommunikation bereits in der Bundesverfassung von 1988 verankert waren, wurde der Schutz personenbezogener Daten erst später in den Verfassungstext aufgenommen. Gesetze wie die brasilianische Internet-Grundrechtecharta (Marco Civil da Internet) und das Informationsfreiheitsgesetz (Lei de Acesso à Informação) waren wichtige Vorläufer, die zur Formulierung des LGPD beitrugen.
Nach Inkrafttreten des Gesetzes mussten sich Unternehmen an die neue Gesetzgebung anpassen und bestimmte Verfahren einführen. Dies umfasste die Erstellung von Datenschutzrichtlinien und -verfahren, die Schulung von Mitarbeitern und die Implementierung von Informationssicherheitstechnologien. Das LGPD sieht Bußgelder und Sanktionen bei Nichteinhaltung vor, was Unternehmen – theoretisch – zur Einhaltung des Gesetzes anregen sollte.
Das brasilianische Datenschutzgesetz (LGPD) wird jedoch in einigen Teilen des Landes noch nicht vollständig umgesetzt. Eine Umfrage des Portals LGPD Brasil ergab, dass trotz der gesetzlichen Verpflichtung nur 16 % der Unternehmen die Bestimmungen einhalten. Dies zeigt, dass das Bewusstsein für das Gesetz zwar bereits vorhanden ist, sich aber weiterhin hauptsächlich auf große Ballungszentren konzentriert. Es ist daher notwendig, dieses Wissen auch in anderen Regionen des Landes zu verbreiten.
Lucas Maldonado D. Latini, Rechtsanwalt und Spezialist für digitales Recht bei FGV, weist darauf hin, dass eine der größten Schwierigkeiten bei der Anpassung an das brasilianische Datenschutzgesetz (LGPD) im mangelnden Wissen über das Gesetz und seine Auswirkungen auf die Geschäftstätigkeit von Unternehmen liegt. Vielen Organisationen ist noch immer nicht bewusst, dass die Gesetzgebung für ihren Tätigkeitsbereich gilt. Der Rechtsanwalt merkt an, dass das Gesetz Unternehmen verschiedenster Branchen wie Finanzen, Bildung, Einzelhandel usw. umfasst. Alle müssen sich anpassen, andernfalls drohen Sanktionen.
Seinen Angaben zufolge waren die Bestimmungen zum Datenschutz über verschiedene Gesetze verstreut, was die Auslegung und Anwendung dieser Rechte erschwerte. „Die durch das LGPD vorangetriebene Vereinheitlichung brachte Klarheit und Kohärenz in den brasilianischen Rechtsrahmen. Darüber hinaus wurde die Nationale Datenschutzbehörde (ANPD) geschaffen, um die Überwachung und Durchsetzung des Gesetzes zu gewährleisten“, erklärt er. Die ANPD ist heute für die Veröffentlichung von Beschlüssen und Richtlinien zuständig, die Datenverarbeitern helfen, ihre Pflichten zu verstehen und zu erfüllen.
Was können wir von einer zunehmend technisierten Zukunft erwarten?
Obwohl der regulatorische Rahmen seit seiner Einführung deutlich weiterentwickelt wurde, gibt es noch einige Punkte, die von der Nationalen Datenschutzbehörde (ANPD) angegangen werden müssen, um sicherzustellen, dass seine Anwendung weiterhin effektiv ist.
Ein Schwerpunktthema ist die Regulierung internationaler Datentransfers. Die brasilianische Datenschutzbehörde ANPD startete 2022 eine öffentliche Konsultation zur Erstellung von Richtlinien für die Übermittlung personenbezogener Daten außerhalb Brasiliens. Das brasilianische Datenschutzgesetz (LGPD) schreibt vor, dass diese Transfers so erfolgen müssen, dass ein angemessener Datenschutz in den Zielländern gewährleistet ist. Daher muss die ANPD klare Regeln festlegen, insbesondere für Länder, deren Datenschutzniveau ihrer Ansicht nach mit der brasilianischen Gesetzgebung vereinbar ist.
Ein weiterer Punkt ist die Regulierung von Künstlicher Intelligenz (KI). Bislang regelt die brasilianische Gesetzgebung den Einsatz von KI im Zusammenhang mit dem Datenschutz nicht explizit. Die brasilianische Datenschutzbehörde ANPD beteiligt sich an den Beratungen zum Gesetzentwurf Nr. 2.338/2023, der einen Rechtsrahmen für KI schaffen soll und derzeit vom Senat geprüft wird.
Der Anwalt betont, dass es für Unternehmen von größter Bedeutung ist, die notwendigen technischen und organisatorischen Sicherheitsmaßnahmen zum Schutz personenbezogener Daten zu implementieren. Diese Maßnahmen können Mindestsicherheitsstandards, die Verwendung von Verschlüsselung, Firewalls und Zugriffsrichtlinien umfassen. Die Umsetzung dieser Maßnahmen dient dazu, Sicherheitsvorfälle wie Datenpannen zu verhindern und sicherzustellen, dass Informationen vor unberechtigtem Zugriff geschützt sind.
