Þann 14. ágúst 2024 fagnar Brasilía 6 ára afmæli almennra laga um gagnavernd (e. General Data Protection Law, LGPD). Þessi löggjöf markaði framfarir í verndun friðhelgi einkalífs og persónuupplýsinga í landinu. Lögin voru samþykkt 14. ágúst 2018 og tóku gildi í september 2020, með refsiaðgerðum sem gilda frá ágúst 2021.
Í brasilískum gagnaverndarlögum (LGPD) eru persónuupplýsingar skilgreindar sem allar upplýsingar sem geta auðkennt eða gert persónugreinanlegar einstaklinga eða lögaðila, svo sem nafn, CPF (skráningarnúmer skattgreiðanda í Brasilíu), RG (auðkennisnúmer í Brasilíu), netfang og aðrar upplýsingar. Megintilgangur LGPD er að tryggja að þessum gögnum sé beitt á öruggan og gagnsæjan hátt, koma í veg fyrir misnotkun og tryggja lögvernd og öryggi borgaranna.
Í maí 2021, tveimur árum eftir að brasilíska gagnaverndarlögin (LGPD) tóku gildi, viðurkenndi hæstiréttur Brasilíu (STF) vernd persónuupplýsinga sem grundvallarrétt. Þessi viðurkenning var felld inn í stjórnarskrána í febrúar 2022, með stjórnarskrárbreytingu nr. 115/22. Þó að rétturinn til nálægðar, friðhelgi einkalífs og trúnaðar í samskiptum hafi þegar verið festur í stjórnarskránni frá 1988, varð vernd persónuupplýsinga ekki hluti af stjórnarskránni fyrr en nýlega. Lög eins og Marco Civil da Internet (brasilíska internetréttindaskráin) og Lei de Acesso à Informação (lög um aðgang að upplýsingum) voru mikilvægir undanfarar sem lögðu sitt af mörkum við mótun LGPD.
Eftir að lögin voru sett þurftu fyrirtæki að aðlagast nýju löggjöfinni og taka upp sérstakar starfsvenjur. Þetta fól í sér að móta persónuverndarstefnu og verklagsreglur, þjálfa starfsmenn og innleiða upplýsingaöryggistækni. Lög um persónuvernd kveða á um sektir og viðurlög við brotum á lögum, sem – í orði kveðnu – hvöttu fyrirtæki til að fara að lögunum.
Hins vegar er LGPD (Brasilíska almenna persónuverndarlögin) ekki enn að fullu uppfyllt í sumum landshlutum. Könnun sem LGPD Brasil vefsíðan framkvæmdi sýndi að jafnvel þótt lögin séu skyldubundin eru aðeins 16% fyrirtækja í landinu í samræmi við þau. Þetta leiðir í ljós að þótt einhver vitund sé þegar til staðar um lögin er hún enn að mestu leyti einbeitt í stórum þéttbýlum og nauðsynlegt er að miðla þessari þekkingu til annarra landshluta.
Lucas Maldonado D. Latini, lögfræðingur og sérfræðingur í stafrænum lögum frá FGV, bendir á að einn stærsti erfiðleikinn við að aðlagast LGPD (brasilísku almennu persónuverndarlögunum) liggi í skorti á þekkingu á lögunum og hvernig þau hafa áhrif á rekstur fyrirtækja. Margar stofnanir vita enn ekki að löggjöfin á við um starfssvið þeirra. Lögfræðingurinn bendir á að löggjöfin nái til fyrirtækja í ýmsum geirum, svo sem fjármálageiranum, menntakerfinu, smásölu o.s.frv. Öll þurfa þau að aðlagast eða verða fyrir refsiaðgerðum.
Samkvæmt honum voru ákvæði um gagnavernd dreifð um ýmis lög, sem gerði túlkun og beitingu þessara réttinda erfiða. „Sameiningin sem LGPD stuðlaði að færði skýrleika og samræmi í brasilíska regluverkið. Ennfremur var stofnað Persónuverndarstofnun (ANPD) til að tryggja eftirlit og framfylgd laganna,“ segir hann. Í dag ber ANPD ábyrgð á að gefa út ályktanir og leiðbeiningar sem hjálpa gagnavinnsluaðilum að skilja og uppfylla skyldur sínar.
Hvað getum við búist við af sífellt tæknivæddri framtíð?
Þótt regluverkið hafi þróast verulega frá því að það var tekið í notkun, eru nokkur atriði sem Persónuverndarstofnunin (ANPD) þarf enn að taka á til að tryggja að beiting þess sé áfram skilvirk.
Eitt af þeim efnum sem fjallað er um er reglugerð um alþjóðlega gagnaflutninga. Árið 2022 hóf ANPD (Þjóðargagnaverndarstofnunin) opinbert samráð til að semja leiðbeiningar um hvernig hægt er að senda persónuupplýsingar út fyrir Brasilíu. Samkvæmt brasilískum almennum gagnaverndarlögum (LGPD) er krafist þess að þessar flutningar fari fram á þann hátt að fullnægjandi gagnavernd sé tryggð í öðrum löndum. Í þessu skyni þarf ANPD að setja skýrar reglur, þar á meðal um lönd sem hún telur að hafi verndarstig sem samrýmast brasilískri löggjöf.
Annað atriði er reglugerð um gervigreind (AI). Brasilísk löggjöf fjallar ekki sérstaklega um notkun gervigreindar í tengslum við gagnavernd til þessa. Persónuverndarstofnun Bandaríkjanna (ANPD) tekur þátt í umræðum um frumvarp nr. 2.338/2023, sem miðar að því að setja lagalegan ramma fyrir gervigreind og er nú til mats hjá alríkisþinginu.
Lögmaðurinn leggur áherslu á að eitt mikilvægasta atriðið sé að fyrirtæki komi á fót nauðsynlegum tæknilegum og stjórnsýslulegum öryggisráðstöfunum til að vernda persónuupplýsingar. Þessar leiðbeiningar geta falið í sér lágmarksöryggisstaðla, notkun dulkóðunar, eldveggja og aðgangsstefnu. Innleiðing hverrar þessara ráðstafana er leið til að koma í veg fyrir öryggisatvik, svo sem gagnaleka, og tryggja að upplýsingar séu varðar gegn óheimilum aðgangi.
