Pada tanggal 14 Agustus 2024, Brasil akan merayakan ulang tahun ke-6 Undang-Undang Perlindungan Data Umum (UU PPK). Peraturan ini menandai kemajuan dalam perlindungan privasi dan data pribadi di negara tersebut. Disetujui pada tanggal 14 Agustus 2018, UU PPK mulai berlaku pada bulan September 2020, dengan sanksi yang berlaku mulai Agustus 2021.
LGPD (Undang-Undang Perlindungan Data Umum Brasil) mendefinisikan data pribadi sebagai informasi apa pun yang dapat mengidentifikasi atau membuat seseorang atau badan hukum dapat diidentifikasi, seperti nama, CPF (nomor registrasi wajib pajak perorangan Brasil), RG (nomor kartu identitas Brasil), email, dan data lainnya. Tujuan utama LGPD adalah untuk memastikan bahwa data ini digunakan secara aman dan transparan, mencegah penyalahgunaan dan menjamin perlindungan hukum serta keamanan warga negara.
Pada Mei 2021, dua tahun setelah diberlakukannya LGPD (Undang-Undang Perlindungan Data Umum Brasil), Mahkamah Agung Federal Brasil (STF) mengakui perlindungan data pribadi sebagai hak fundamental. Pengakuan ini dimasukkan ke dalam Konstitusi Federal pada Februari 2022, melalui Amandemen Konstitusi No. 115/22. Meskipun hak atas keintiman, privasi, dan kerahasiaan komunikasi telah diabadikan dalam Konstitusi Federal 1988, perlindungan data pribadi baru menjadi bagian dari teks konstitusional baru-baru ini. Undang-undang seperti Marco Civil da Internet (Undang-Undang Hak Internet Brasil) dan Lei de Acesso à Informação (Undang-Undang Akses Informasi) merupakan pendahulu penting yang berkontribusi pada perumusan LGPD.
Setelah undang-undang tersebut diberlakukan, perusahaan perlu menyesuaikan diri dengan peraturan baru, mengadopsi praktik-praktik tertentu. Hal ini meliputi pembuatan kebijakan dan prosedur privasi, pelatihan karyawan, dan penerapan teknologi keamanan informasi. LGPD menetapkan denda dan sanksi untuk ketidakpatuhan, yang secara teoritis mendorong perusahaan untuk mematuhi undang-undang tersebut.
Namun, LGPD (Undang-Undang Perlindungan Data Umum Brasil) belum sepenuhnya dipatuhi di beberapa wilayah negara. Survei yang dilakukan oleh portal LGPD Brasil menunjukkan bahwa, meskipun undang-undang tersebut bersifat wajib, hanya 16% perusahaan di negara itu yang mematuhinya. Hal ini menunjukkan bahwa, meskipun sudah ada kesadaran tentang undang-undang tersebut, kesadaran itu masih sebagian besar terkonsentrasi di pusat-pusat kota besar, dan perlu untuk menyebarkan pengetahuan ini ke wilayah lain di negara tersebut.
Lucas Maldonado D. Latini, seorang pengacara dan spesialis hukum digital dari FGV, menunjukkan bahwa salah satu kesulitan terbesar dalam beradaptasi dengan LGPD (Undang-Undang Perlindungan Data Umum Brasil) terletak pada kurangnya pengetahuan tentang hukum tersebut dan bagaimana pengaruhnya terhadap operasional perusahaan. Banyak organisasi masih belum menyadari bahwa undang-undang tersebut berlaku untuk bidang kegiatan mereka. Pengacara tersebut mencatat bahwa undang-undang tersebut mencakup perusahaan di berbagai sektor, seperti keuangan, pendidikan, ritel, dan lain-lain. Semuanya perlu beradaptasi atau akan dikenakan sanksi.
Menurutnya, ketentuan tentang perlindungan data tersebar di berbagai undang-undang, sehingga interpretasi dan penerapan hak-hak tersebut menjadi sulit. “Penyatuan yang dipromosikan oleh LGPD membawa kejelasan dan kohesi pada kerangka peraturan Brasil. Selain itu, kita juga memiliki pembentukan Otoritas Perlindungan Data Nasional (ANPD) untuk memastikan pengawasan dan penegakan hukum,” komentarnya. Saat ini, ANPD bertanggung jawab untuk mengeluarkan resolusi dan pedoman yang membantu pelaku pengolahan data memahami dan mematuhi kewajiban mereka.
Apa yang dapat kita harapkan dari masa depan yang semakin berteknologi?
Meskipun kerangka peraturan telah mengalami kemajuan signifikan sejak implementasinya, masih ada beberapa masalah yang perlu ditangani oleh Otoritas Perlindungan Data Nasional (ANPD) untuk memastikan penerapannya tetap efektif.
Salah satu topik yang menjadi fokus adalah regulasi transfer data internasional. Pada tahun 2022, ANPD (Otoritas Perlindungan Data Nasional) meluncurkan konsultasi publik untuk membuat pedoman tentang bagaimana data pribadi dapat dikirim ke luar Brasil. LGPD (Undang-Undang Perlindungan Data Umum Brasil) mensyaratkan bahwa transfer ini dilakukan dengan cara yang menjamin perlindungan data yang memadai di negara lain. Untuk tujuan ini, ANPD perlu menetapkan aturan yang jelas, termasuk tentang negara-negara yang dianggap memiliki tingkat perlindungan yang sesuai dengan undang-undang Brasil.
Poin lainnya adalah regulasi Kecerdasan Buatan (AI). Hingga saat ini, undang-undang Brasil belum secara spesifik mengatur penggunaan AI dalam kaitannya dengan perlindungan data. ANPD (Otoritas Perlindungan Data Nasional) sedang berpartisipasi dalam diskusi mengenai Rancangan Undang-Undang No. 2.338/2023, yang bertujuan untuk menetapkan kerangka hukum untuk AI dan saat ini sedang dievaluasi oleh Senat Federal.
Pengacara tersebut menekankan bahwa salah satu poin terpenting adalah bagi perusahaan untuk menetapkan langkah-langkah keamanan teknis dan administratif yang diperlukan untuk melindungi data pribadi. Pedoman ini dapat mencakup standar keamanan minimum, penggunaan enkripsi, firewall, dan kebijakan akses. Menerapkan setiap langkah ini merupakan cara untuk mencegah insiden keamanan, seperti pelanggaran data, dan memastikan bahwa informasi terlindungi dari akses yang tidak sah.
