14. augustil 2024 tähistab Brasiilia isikuandmete kaitse üldseaduse (LGPD) 6. aastapäeva. See õigusakt tähistas edasiminekut privaatsuse ja isikuandmete kaitse valdkonnas riigis. 14. augustil 2018 vastu võetud LGPD jõustus 2020. aasta septembris ning sanktsioonid hakkasid kehtima 2021. aasta augustist.
LGPD (Brasiilia isikuandmete kaitse üldseadus) määratleb isikuandmed kui mis tahes teabe, mis võimaldab tuvastada või muuta füüsilise või juriidilise isiku tuvastatavaks, näiteks nimi, CPF (Brasiilia füüsilise isiku maksumaksja registreerimisnumber), RG (Brasiilia isikutunnistuse number), e-posti aadress ja muud andmed. LGPD peamine eesmärk on tagada nende andmete turvaline ja läbipaistev kasutamine, vältides väärkasutust ning tagades kodanike õiguskaitse ja turvalisuse.
2021. aasta mais, kaks aastat pärast LGPD (Brasiilia isikuandmete kaitse üldseaduse) vastuvõtmist, tunnustas Brasiilia ülemkohus (STF) isikuandmete kaitset põhiõigusena. See tunnustus lisati föderaalsesse põhiseadusse 2022. aasta veebruaris põhiseaduse muudatusega nr 115/22. Kuigi õigused intiimsusele, privaatsusele ja suhtluse konfidentsiaalsusele olid juba sätestatud 1988. aasta föderaalses põhiseaduses, sai isikuandmete kaitse põhiseadusliku teksti osaks alles hiljuti. Sellised seadused nagu Marco Civil da Internet (Brasiilia internetiõiguste deklaratsioon) ja Lei de Acesso à Informação (teabele juurdepääsu seadus) olid olulised eelkäijad, mis aitasid kaasa LGPD väljatöötamisele.
Pärast seaduse vastuvõtmist pidid ettevõtted uue õigusaktiga kohanema, võttes kasutusele konkreetsed tavad. See hõlmas privaatsuspoliitika ja -protseduuride loomist, töötajate koolitamist ning infoturbetehnoloogiate rakendamist. LGPD kehtestab trahvid ja sanktsioonid nõuete rikkumise eest, mis – teoreetiliselt – julgustas ettevõtteid seadust järgima.
Siiski ei järgita Brasiilia isikuandmete kaitse üldseadust (LGPD) mõnes riigi osas veel täielikult. LGPD Brasil portaali läbiviidud uuring näitas, et isegi seaduse kohustusliku olemuse korral järgib seda vaid 16% riigi ettevõtetest. See näitab, et kuigi seadusest on juba teatav teadlikkus, on see siiski suures osas koondunud suurtesse linnakeskustesse ning on vaja seda teadmist levitada ka teistes riigi piirkondades.
FGV jurist ja digiõiguse spetsialist Lucas Maldonado D. Latini juhib tähelepanu sellele, et üks suurimaid raskusi LGPD-ga (Brasiilia isikuandmete kaitse üldseadus) kohanemisel seisneb teadmiste puudumises seaduse ja selle mõju kohta ettevõtete tegevusele. Paljud organisatsioonid ei ole endiselt teadlikud, et seadus kehtib ka nende tegevusvaldkonnas. Jurist märgib, et seadusandlus hõlmab ettevõtteid erinevates sektorites, nagu rahandus, haridus, jaemüük jne. Kõik peavad kohanema või neile võidakse rakendada sanktsioone.
Tema sõnul olid andmekaitsesätted hajutatud erinevate seaduste vahel, mis muutis nende õiguste tõlgendamise ja kohaldamise keeruliseks. „LGPD-ga edendatud ühtlustamine tõi Brasiilia regulatiivsesse raamistikku selgust ja sidusust. Lisaks loodi riiklik andmekaitseasutus (ANPD), et tagada seaduse järelevalve ja jõustamine,“ kommenteerib ta. Tänapäeval vastutab ANPD resolutsioonide ja suuniste väljaandmise eest, mis aitavad andmetöötlejatel oma kohustusi mõista ja täita.
Mida me võime oodata üha tehnoloogilisemalt tulevikult?
Kuigi regulatiivne raamistik on pärast selle rakendamist märkimisväärselt edasi arenenud, on riiklik andmekaitseamet (ANPD) selle tõhusa kohaldamise tagamiseks veel mitmeid küsimusi, millega see tegelema peab.
Üks fookuses olevaid teemasid on rahvusvaheliste andmeedastuste reguleerimine. 2022. aastal algatas ANPD (riiklik andmekaitseamet) avaliku konsultatsiooni, et luua suunised isikuandmete saatmise kohta väljaspool Brasiiliat. LGPD (Brasiilia isikuandmete kaitse üldseadus) nõuab, et need edastused toimuksid viisil, mis tagab piisava andmekaitse teistes riikides. Sel eesmärgil peab ANPD kehtestama selged reeglid, sealhulgas riikide kohta, mille kaitsetase on tema arvates kooskõlas Brasiilia õigusaktidega.
Teine punkt on tehisintellekti (TI) reguleerimine. Praegu ei käsitle Brasiilia õigusaktid konkreetselt tehisintellekti kasutamist seoses andmekaitsega. ANPD (riiklik andmekaitseamet) osaleb aruteludes seaduseelnõu nr 2 338/2023 üle, mille eesmärk on luua tehisintellekti õigusraamistik ja mida praegu hindab föderaalsenat.
Jurist rõhutab, et üks olulisemaid punkte on ettevõtete jaoks isikuandmete kaitsmiseks vajalike tehniliste ja administratiivsete turvameetmete kehtestamine. Need juhised võivad hõlmata minimaalseid turvastandardeid, krüpteerimise, tulemüüride ja juurdepääsupoliitika kasutamist. Kõigi nende meetmete rakendamine on viis turvaintsidentide, näiteks andmetega seotud rikkumiste, ennetamiseks ja teabe kaitsmiseks volitamata juurdepääsu eest.
