ב-14 באוגוסט 2024, ברזיל תחגוג 6 שנים לחוק הגנת המידע הכללי (LGPD). חקיקה זו סימנה התקדמות בהגנה על הפרטיות והנתונים האישיים במדינה. חוק זה אושר ב-14 באוגוסט 2018 ונכנס לתוקף בספטמבר 2020, עם סנקציות החלות מאוגוסט 2021.
חוק הגנת המידע הכללי של ברזיל (LGPD) מגדיר מידע אישי ככל מידע שיכול לזהות או להפוך אדם משפטי לבר זיהוי, כגון שם, CPF (מספר רישום משלם מסים ברזילאי), RG (מספר תעודת זהות ברזילאי), דוא"ל ונתונים אחרים. המטרה העיקרית של חוק הגנת המידע הכללי של ברזיל (LGPD) היא להבטיח כי מידע זה ייעשה בו שימוש מאובטח ושקוף, תוך מניעת שימוש לרעה והבטחת ההגנה המשפטית והביטחון של האזרחים.
במאי 2021, שנתיים לאחר חקיקת חוק הגנת המידע הכללי של ברזיל (LGPD), בית המשפט הפדרלי העליון של ברזיל (STF) הכיר בהגנה על מידע אישי כזכות יסוד. הכרה זו נכללה בחוקה הפדרלית בפברואר 2022, באמצעות תיקון חוקתי מס' 115/22. בעוד שהזכויות לאינטימיות, פרטיות וסודיות של תקשורת כבר עוגנו בחוקה הפדרלית משנת 1988, ההגנה על מידע אישי הפכה לחלק מהטקסט החוקתי רק לאחרונה. חוקים כמו Marco Civil da Internet (מגילת זכויות האינטרנט הברזילאית) ו-Lei de Acesso à Informação (חוק הגישה למידע) היו קודמים חשובים שתרמו לניסוח חוק הגנת המידע הכללי של ברזיל (LGPD).
לאחר חקיקת החוק, חברות היו צריכות להסתגל לחקיקה החדשה ולאמץ נהלים ספציפיים. הדבר כלל יצירת מדיניות ונהלי פרטיות, הכשרת עובדים ויישום טכנולוגיות אבטחת מידע. חוק הפרטיות (LGPD) קובע קנסות וסנקציות על אי ציות, מה שעודד - תיאורטית - חברות לציית לחוק.
עם זאת, חוק הגנת המידע הכללי של ברזיל (LGPD) עדיין אינו מקויים במלואו בחלקים מסוימים של המדינה. סקר שנערך על ידי פורטל LGPD Brasil הראה כי למרות אופיו המחייב של החוק, רק 16% מהחברות במדינה פועלות לפיו. ממצא זה מגלה כי למרות שכבר קיימת מודעות מסוימת לחוק, הוא עדיין מרוכז בעיקר במרכזים עירוניים גדולים, ויש צורך להביא ידע זה לאזורים אחרים במדינה.
לוקאס מלדונדו ד. לטיני, עורך דין ומומחה למשפט דיגיטלי מ-FGV, מציין כי אחת הקשיים הגדולים ביותר בהסתגלות לחוק הגנת המידע הכללי של ברזיל (LGPD) טמונה בחוסר הידע לגבי החוק וכיצד הוא משפיע על פעילותן של חברות. ארגונים רבים עדיין אינם מודעים לכך שהחקיקה חלה על תחום פעילותם. עורך הדין מציין כי החקיקה מכסה חברות במגזרים שונים, כגון פיננסים, חינוך, קמעונאות וכו'. כולן צריכות להסתגל או להיות כפופות לסנקציות.
לדבריו, ההוראות בנוגע להגנת מידע היו מפוזרות על פני חוקים שונים, מה שהקשה על פרשנותן ויישומן של זכויות אלו. "האיחוד שקידם חוק הגנת המידע הלאומי (LGPD) הביא בהירות ולכידות למסגרת הרגולטורית הברזילאית. יתר על כן, הקמנו את הרשות הלאומית להגנת מידע (ANPD) כדי להבטיח את הפיקוח והאכיפה של החוק", הוא מעיר. כיום, ה-ANPD אחראית על פרסום החלטות והנחיות המסייעות לגורמי עיבוד נתונים להבין ולעמוד בחובותיהם.
למה אנו יכולים לצפות מעתיד טכנולוגי יותר ויותר?
למרות שהמסגרת הרגולטורית התקדמה משמעותית מאז יישומה, ישנן מספר סוגיות שעדיין צריכות להתייחס אליהן על ידי הרשות הלאומית להגנת מידע (ANPD) כדי להבטיח שיישומה יישאר יעיל.
אחד הנושאים העומדים במוקד הוא הרגולציה של העברות נתונים בינלאומיות. בשנת 2022, ANPD (רשות הגנת המידע הלאומית) פתחה בהתייעצות ציבורית כדי ליצור הנחיות כיצד ניתן לשלוח נתונים אישיים מחוץ לברזיל. LGPD (חוק הגנת המידע הכללי הברזילאי) דורש שהעברות אלו יבוצעו באופן המבטיח הגנה נאותה על נתונים במדינות אחרות. לשם כך, ה-ANPD צריכה לקבוע כללים ברורים, כולל לגבי מדינות שלדעתה יש להן רמות הגנה התואמות את החקיקה הברזילאית.
נקודה נוספת היא הרגולציה של בינה מלאכותית (AI). נכון להיום, החקיקה הברזילאית אינה מתייחסת באופן ספציפי לשימוש בבינה מלאכותית בקשר להגנה על מידע. הרשות הלאומית להגנת מידע (ANPD) משתתפת בדיונים על הצעת חוק מס' 2,338/2023, שמטרתה ליצור מסגרת משפטית לבינה מלאכותית ונמצאת כעת בהערכה על ידי הסנאט הפדרלי.
עורך הדין מדגיש כי אחת הנקודות החשובות ביותר היא שחברות יקבעו את אמצעי האבטחה הטכניים והמנהליים הנדרשים כדי להגן על מידע אישי. הנחיות אלו עשויות לכלול סטנדרטים מינימליים של אבטחה, שימוש בהצפנה, חומות אש ומדיניות גישה. יישום כל אחד מהאמצעים הללו הוא דרך למנוע אירועי אבטחה, כגון פרצות נתונים, ולהבטיח שהמידע מוגן מפני גישה בלתי מורשית.
