Brasilia juhlii 14. elokuuta 2024 yleisen tietosuojalain (LGPD) 6-vuotispäivää. Tämä lainsäädäntö merkitsi edistystä yksityisyyden ja henkilötietojen suojassa maassa. LGPD hyväksyttiin 14. elokuuta 2018, ja se tuli voimaan syyskuussa 2020, ja pakotteita alettiin soveltaa elokuusta 2021.
Brasilian yleinen tietosuojalaki (LGPD) määrittelee henkilötiedoksi kaikki tiedot, jotka voivat tunnistaa tai tehdä tunnistettavaksi luonnollisen tai oikeushenkilön, kuten nimi, CPF (Brasilian yksityishenkilön veronmaksajan rekisteröintinumero), RG (Brasilian henkilökortin numero), sähköpostiosoite ja muut tiedot. LGPD:n päätarkoituksena on varmistaa, että näitä tietoja käytetään turvallisesti ja läpinäkyvästi, estää väärinkäyttö ja taata kansalaisten oikeusturva ja turvallisuus.
Toukokuussa 2021, kaksi vuotta Brasilian yleisen tietosuojalain (LGPD) säätämisen jälkeen, Brasilian korkein liittovaltion oikeus (STF) tunnusti henkilötietojen suojan perusoikeudeksi. Tämä tunnustus sisällytettiin liittovaltion perustuslakiin helmikuussa 2022 perustuslain muutoksella nro 115/22. Vaikka viestinnän yksityisyydensuoja, salassapito ja luottamuksellisuus olivat jo kirjattu vuoden 1988 liittovaltion perustuslakiin, henkilötietojen suojasta tuli osa perustuslain tekstiä vasta äskettäin. Lait, kuten Marco Civil da Internet (Brasilian internet-oikeuslaki) ja Lei de Acesso à Informação (tiedonsaantilaki), olivat tärkeitä LGPD:n muotoilun edeltäjiä.
Lain voimaantulon jälkeen yritysten oli sopeuduttava uuteen lainsäädäntöön ja otettava käyttöön tiettyjä käytäntöjä. Tämä sisälsi tietosuojakäytäntöjen ja -menettelyjen luomisen, työntekijöiden kouluttamisen ja tietoturvateknologioiden käyttöönoton. LGPD säätää sakkoja ja seuraamuksia noudattamatta jättämisestä, mikä – teoriassa – kannusti yrityksiä noudattamaan lakia.
Brasilian yleistä tietosuojalakia (LGPD) ei kuitenkaan vielä noudateta täysin kaikissa osissa maata. LGPD Brasil -portaalin tekemän kyselyn mukaan lain pakollisesta luonteesta huolimatta vain 16 % maan yrityksistä noudattaa sitä. Tämä paljastaa, että vaikka lakia tunnetaan jo jonkin verran, se keskittyy edelleen pääosin suuriin kaupunkikeskuksiin, ja on tarpeen tuoda tämä tietoisuus maan muille alueille.
FGV:n lakimies ja digitaalisen oikeuden asiantuntija Lucas Maldonado D. Latini huomauttaa, että yksi suurimmista vaikeuksista Brasilian yleisen tietosuojalain (LGPD) noudattamisessa on tiedon puute laista ja sen vaikutuksista yritysten toimintaan. Monet organisaatiot eivät vieläkään tiedä, että lainsäädäntö koskee heidän toimialaansa. Lakimies huomauttaa, että lainsäädäntö kattaa yrityksiä eri aloilla, kuten rahoitus-, koulutus- ja vähittäiskauppa-aloilla. Kaikkien on sopeuduttava tai niihin voidaan kohdistaa seuraamuksia.
Hänen mukaansa tietosuojaa koskevat säännökset olivat hajallaan eri laeissa, mikä vaikeutti näiden oikeuksien tulkintaa ja soveltamista. ”LGPD:n edistämä yhtenäistäminen toi selkeyttä ja yhtenäisyyttä Brasilian sääntelykehykseen. Lisäksi perustettiin kansallinen tietosuojaviranomainen (ANPD) lain valvonnan ja täytäntöönpanon varmistamiseksi”, hän kommentoi. Nykyään ANPD on vastuussa päätöslauselmien ja ohjeiden antamisesta, jotka auttavat tietojenkäsittelyn edustajia ymmärtämään ja noudattamaan velvoitteitaan.
Mitä voimme odottaa yhä teknologisoituneemmalta tulevaisuudelta?
Vaikka sääntelykehys on edennyt merkittävästi sen käyttöönoton jälkeen, kansallisen tietosuojaviranomaisen (ANPD) on vielä käsiteltävä useita kysymyksiä sen varmistamiseksi, että sen soveltaminen pysyy tehokkaana.
Yksi painopistealueista on kansainvälisten tiedonsiirtojen sääntely. Vuonna 2022 ANPD (kansallinen tietosuojaviranomainen) käynnisti julkisen kuulemisen ohjeiden laatimiseksi siitä, miten henkilötietoja voidaan lähettää Brasilian ulkopuolelle. LGPD (Brasilian yleinen tietosuojalaki) edellyttää, että nämä siirrot suoritetaan tavalla, joka takaa riittävän tietosuojan muissa maissa. Tätä varten ANPD:n on laadittava selkeät säännöt, myös maista, joiden se katsoo tarjoavan Brasilian lainsäädännön kanssa yhteensopivia suojan tasoja.
Toinen huomioitava seikka on tekoälyn (AI) sääntely. Tähän mennessä Brasilian lainsäädäntö ei käsittele erityisesti tekoälyn käyttöä tietosuojan yhteydessä. ANPD (Kansallinen tietosuojaviranomainen) osallistuu keskusteluihin lakiesityksestä nro 2 338/2023, jonka tarkoituksena on luoda tekoälylle oikeudellinen kehys ja jota liittovaltion senaatti parhaillaan arvioi.
Lakimies korostaa, että yksi tärkeimmistä asioista on, että yritykset ottavat käyttöön tarvittavat tekniset ja hallinnolliset turvatoimenpiteet henkilötietojen suojaamiseksi. Näihin ohjeisiin voivat sisältyä vähimmäisturvallisuusstandardit, salauksen käyttö, palomuurit ja käyttöoikeuskäytännöt. Kunkin näistä toimenpiteistä toteuttaminen on tapa estää tietoturvaloukkauksia, kuten tietomurtoja, ja varmistaa, että tiedot on suojattu luvattomalta käytöltä.
