El 14 de agosto de 2024, Brasil celebrará el sexto aniversario de la Ley General de Protección de Datos (LGPD). Esta legislación marcó un avance en la protección de la privacidad y los datos personales en el país. Aprobada el 14 de agosto de 2018, la LGPD entró en vigor en septiembre de 2020, con sanciones aplicables desde agosto de 2021.
La LGPD (Ley General de Protección de Datos de Brasil) define los datos personales como cualquier información que permita identificar o hacer identificable a una persona física o jurídica, como el nombre, el CPF (número de identificación fiscal individual brasileño), el RG (número de documento nacional de identidad brasileño), el correo electrónico y otros datos. El objetivo principal de la LGPD es garantizar que estos datos se utilicen de forma segura y transparente, previniendo su uso indebido y garantizando la protección jurídica y la seguridad de los ciudadanos.
En mayo de 2021, dos años después de la promulgación de la LGPD (Ley General de Protección de Datos de Brasil), el Tribunal Supremo Federal (TSF) reconoció la protección de datos personales como un derecho fundamental. Este reconocimiento se incorporó a la Constitución Federal en febrero de 2022, mediante la Enmienda Constitucional n.º 115/22. Si bien los derechos a la intimidad, la privacidad y la confidencialidad de las comunicaciones ya estaban consagrados en la Constitución Federal de 1988, la protección de datos personales se incluyó en el texto constitucional más recientemente. Leyes como el Marco Civil da Internet (Ley de Derechos de Internet de Brasil) y la Ley de Acceso a la Información fueron precursores importantes que contribuyeron a la formulación de la LGPD.
Tras la entrada en vigor de la ley, las empresas tuvieron que adaptarse a la nueva legislación, adoptando prácticas específicas. Esto implicó la creación de políticas y procedimientos de privacidad, la capacitación de los empleados y la implementación de tecnologías de seguridad de la información. La LGPD establece multas y sanciones por incumplimiento, lo que, en teoría, incentivó a las empresas a cumplir con la ley.
Sin embargo, la LGPD (Ley General de Protección de Datos de Brasil) aún no se cumple plenamente en algunas zonas del país. Un estudio realizado por el portal LGPD Brasil reveló que, a pesar de su carácter obligatorio, solo el 16% de las empresas del país la cumplen. Esto demuestra que, si bien existe cierto conocimiento de la ley, este se concentra principalmente en los grandes centros urbanos, y es necesario extenderlo a otras regiones del país.
Lucas Maldonado D. Latini, abogado y especialista en derecho digital de la FGV, señala que una de las mayores dificultades para adaptarse a la LGPD (Ley General de Protección de Datos de Brasil) radica en el desconocimiento de la ley y su impacto en las operaciones de las empresas. Muchas organizaciones aún desconocen que la legislación se aplica a su sector. El abogado destaca que la ley abarca a empresas de diversos sectores, como finanzas, educación, comercio minorista, etc. Todas deben adaptarse o se exponen a sanciones.
Según él, las disposiciones sobre protección de datos estaban dispersas en diversas leyes, lo que dificultaba la interpretación y aplicación de estos derechos. «La unificación impulsada por la LGPD aportó claridad y cohesión al marco regulatorio brasileño. Además, se creó la Autoridad Nacional de Protección de Datos (ANPD) para garantizar la supervisión y el cumplimiento de la ley», comenta. Actualmente, la ANPD es responsable de emitir resoluciones y directrices que ayudan a los responsables del tratamiento de datos a comprender y cumplir con sus obligaciones.
¿Qué podemos esperar de un futuro cada vez más tecnológico?
Si bien el marco regulatorio ha avanzado significativamente desde su implementación, aún existen varias cuestiones que la Autoridad Nacional de Protección de Datos (ANPD) debe abordar para garantizar que su aplicación siga siendo efectiva.
Uno de los temas centrales es la regulación de las transferencias internacionales de datos. En 2022, la ANPD (Autoridad Nacional de Protección de Datos) inició una consulta pública para elaborar directrices sobre cómo se pueden enviar datos personales fuera de Brasil. La LGPD (Ley General de Protección de Datos de Brasil) exige que estas transferencias se realicen de manera que garanticen una protección de datos adecuada en otros países. Para ello, la ANPD necesita establecer normas claras, incluyendo la selección de países que considere que cuentan con niveles de protección compatibles con la legislación brasileña.
Otro aspecto importante es la regulación de la Inteligencia Artificial (IA). Hasta la fecha, la legislación brasileña no aborda específicamente el uso de la IA en relación con la protección de datos. La ANPD (Autoridad Nacional de Protección de Datos) participa en las discusiones sobre el Proyecto de Ley N° 2338/2023, que busca establecer un marco legal para la IA y que actualmente se encuentra en evaluación por el Senado Federal.
El abogado subraya que uno de los puntos más importantes es que las empresas establezcan las medidas de seguridad técnicas y administrativas necesarias para proteger los datos personales. Estas directrices pueden incluir estándares mínimos de seguridad, el uso de cifrado, cortafuegos y políticas de acceso. La implementación de cada una de estas medidas permite prevenir incidentes de seguridad, como filtraciones de datos, y garantizar que la información esté protegida contra el acceso no autorizado.
