Le 14 août 2024, le Brésil célébrera le 6e anniversaire de la Loi générale sur la protection des données (LGPD). Cette législation a marqué une avancée majeure en matière de protection de la vie privée et des données personnelles dans le pays. Approuvée le 14 août 2018, la LGPD est entrée en vigueur en septembre 2020, les sanctions étant applicables depuis août 2021.
La LGPD (Loi générale brésilienne sur la protection des données) définit les données personnelles comme toute information permettant d'identifier ou de rendre identifiable une personne physique ou morale, telle que le nom, le CPF (numéro d'identification fiscale brésilien), le RG (numéro de carte d'identité brésilienne), l'adresse électronique et d'autres données. L'objectif principal de la LGPD est de garantir que ces données soient utilisées de manière sécurisée et transparente, de prévenir les abus et de garantir la protection juridique et la sécurité des citoyens.
En mai 2021, deux ans après la promulgation de la LGPD (Loi générale brésilienne sur la protection des données), la Cour suprême fédérale (STF) a reconnu la protection des données personnelles comme un droit fondamental. Cette reconnaissance a été intégrée à la Constitution fédérale en février 2022, par l'amendement constitutionnel n° 115/22. Si les droits à l'intimité, à la vie privée et à la confidentialité des communications étaient déjà consacrés par la Constitution fédérale de 1988, la protection des données personnelles n'y a été inscrite que plus récemment. Des lois telles que le Marco Civil da Internet (Charte civile d'Internet) et la Lei de Acesso à Informação (Loi sur l'accès à l'information) ont constitué d'importants précurseurs ayant contribué à l'élaboration de la LGPD.
Après l'entrée en vigueur de la loi, les entreprises ont dû s'adapter à la nouvelle législation en adoptant des pratiques spécifiques. Cela impliquait la création de politiques et de procédures de protection des données, la formation des employés et la mise en œuvre de technologies de sécurité informatique. La LGPD prévoit des amendes et des sanctions en cas de non-conformité, ce qui, en théorie, incitait les entreprises à respecter la loi.
Cependant, la LGPD (Loi générale brésilienne sur la protection des données) n'est pas encore pleinement respectée dans certaines régions du pays. Une enquête menée par le portail LGPD Brasil a révélé que, malgré le caractère obligatoire de la loi, seulement 16 % des entreprises brésiliennes s'y conforment. Cela montre que, bien qu'il existe déjà une certaine sensibilisation à la loi, celle-ci reste largement concentrée dans les grands centres urbains, et il est nécessaire de diffuser cette information dans les autres régions du pays.
Lucas Maldonado D. Latini, avocat et spécialiste du droit numérique chez FGV, souligne que l'une des principales difficultés d'adaptation à la LGPD (Loi générale brésilienne sur la protection des données) réside dans la méconnaissance de cette loi et de son impact sur les activités des entreprises. Nombre d'organisations ignorent encore que cette législation s'applique à leur secteur d'activité. L'avocat précise que la LGPD concerne des entreprises de divers secteurs, tels que la finance, l'éducation, le commerce de détail, etc. Toutes doivent s'y conformer sous peine de sanctions.
Selon lui, les dispositions relatives à la protection des données étaient dispersées dans différentes lois, ce qui rendait leur interprétation et leur application difficiles. « L’unification promue par la LGPD a apporté clarté et cohérence au cadre réglementaire brésilien. De plus, la création de l’Autorité nationale de protection des données (ANPD) a permis d’assurer le contrôle et l’application de la loi », explique-t-il. Aujourd’hui, l’ANPD est chargée d’émettre des résolutions et des lignes directrices afin d’aider les responsables du traitement des données à comprendre et à respecter leurs obligations.
À quoi pouvons-nous nous attendre d'un avenir de plus en plus technologique ?
Bien que le cadre réglementaire ait considérablement évolué depuis sa mise en œuvre, plusieurs points doivent encore être abordés par l'Autorité nationale de protection des données (ANPD) afin de garantir son application effective.
L'un des sujets prioritaires est la réglementation des transferts internationaux de données. En 2022, l'ANPD (Autorité nationale de protection des données) a lancé une consultation publique afin d'établir des lignes directrices sur les modalités de transfert des données personnelles hors du Brésil. La LGPD (Loi générale brésilienne sur la protection des données) exige que ces transferts soient effectués de manière à garantir un niveau de protection des données adéquat dans les autres pays. À cette fin, l'ANPD doit définir des règles claires, notamment concernant les pays dont le niveau de protection est jugé compatible avec la législation brésilienne.
Un autre point important concerne la réglementation de l'intelligence artificielle (IA). À ce jour, la législation brésilienne n'aborde pas spécifiquement l'utilisation de l'IA en matière de protection des données. L'ANPD (Autorité nationale de protection des données) participe aux discussions sur le projet de loi n° 2338/2023, qui vise à établir un cadre juridique pour l'IA et qui est actuellement examiné par le Sénat fédéral.
L'avocat souligne qu'il est primordial pour les entreprises de mettre en place les mesures de sécurité techniques et administratives nécessaires à la protection des données personnelles. Ces mesures peuvent inclure des normes de sécurité minimales, le recours au chiffrement, des pare-feu et des politiques d'accès. Leur application permet de prévenir les incidents de sécurité, tels que les violations de données, et de garantir la protection des informations contre tout accès non autorisé.
