Il 14 agosto 2024 il Brasile celebrerà il sesto anniversario della Legge generale sulla protezione dei dati (LGPD). Questa normativa ha segnato un passo avanti nella tutela della privacy e dei dati personali nel Paese. Approvata il 14 agosto 2018, la LGPD è entrata in vigore nel settembre 2020, con sanzioni applicabili a partire dall'agosto 2021.
La LGPD (Legge generale sulla protezione dei dati) definisce i dati personali come qualsiasi informazione che possa identificare o rendere identificabile una persona fisica o giuridica, come nome, codice fiscale (CPF), numero di carta d'identità (RG), indirizzo email e altri dati. Lo scopo principale della LGPD è garantire che questi dati vengano utilizzati in modo sicuro e trasparente, prevenendo abusi e garantendo la tutela e la sicurezza giuridica dei cittadini.
Nel maggio 2021, due anni dopo l'entrata in vigore della LGPD (Legge generale brasiliana sulla protezione dei dati), la Corte suprema federale brasiliana (STF) ha riconosciuto la protezione dei dati personali come diritto fondamentale. Tale riconoscimento è stato poi inserito nella Costituzione federale nel febbraio 2022, tramite l'emendamento costituzionale n. 115/22. Mentre i diritti alla privacy, alla riservatezza e alla confidenzialità delle comunicazioni erano già sanciti dalla Costituzione federale del 1988, la protezione dei dati personali è entrata a far parte del testo costituzionale solo più recentemente. Leggi come il Marco Civil da Internet (Carta dei diritti di Internet) e la Lei de Acesso à Informação (Legge sull'accesso alle informazioni) sono state importanti precursori che hanno contribuito alla formulazione della LGPD.
Dopo l'entrata in vigore della legge, le aziende hanno dovuto adeguarsi alla nuova normativa, adottando pratiche specifiche. Ciò ha comportato la creazione di politiche e procedure sulla privacy, la formazione dei dipendenti e l'implementazione di tecnologie per la sicurezza delle informazioni. La LGPD prevede multe e sanzioni per l'inosservanza, il che – in teoria – dovrebbe incentivare le aziende a conformarsi alla legge.
Tuttavia, la LGPD (Legge generale sulla protezione dei dati personali) non è ancora pienamente rispettata in alcune zone del Paese. Un'indagine condotta dal portale LGPD Brasil ha mostrato che, nonostante la natura obbligatoria della legge, solo il 16% delle aziende in Brasile la rispetta. Ciò rivela che, sebbene vi sia già una certa consapevolezza della legge, questa è ancora in gran parte concentrata nei grandi centri urbani, ed è necessario diffondere tale conoscenza anche in altre regioni del Paese.
Lucas Maldonado D. Latini, avvocato e specialista in diritto digitale presso FGV, sottolinea che una delle maggiori difficoltà nell'adattamento alla LGPD (Legge generale brasiliana sulla protezione dei dati) risiede nella scarsa conoscenza della legge e del suo impatto sulle attività aziendali. Molte organizzazioni non sono ancora consapevoli che la normativa si applichi al loro settore di attività. L'avvocato osserva che la legge riguarda aziende di diversi settori, come finanza, istruzione, commercio al dettaglio, ecc. Tutte devono adeguarsi o sono soggette a sanzioni.
Secondo lui, le disposizioni sulla protezione dei dati erano sparse in diverse leggi, rendendo difficile l'interpretazione e l'applicazione di questi diritti. "L'unificazione promossa dalla LGPD ha portato chiarezza e coesione al quadro normativo brasiliano. Inoltre, abbiamo assistito alla creazione dell'Autorità Nazionale per la Protezione dei Dati (ANPD) per garantire la supervisione e l'applicazione della legge", commenta. Oggi, l'ANPD è responsabile dell'emanazione di risoluzioni e linee guida che aiutano i soggetti responsabili del trattamento dei dati a comprendere e rispettare i propri obblighi.
Cosa possiamo aspettarci da un futuro sempre più tecnologico?
Sebbene il quadro normativo abbia compiuto progressi significativi dalla sua implementazione, l'Autorità nazionale per la protezione dei dati (ANPD) deve ancora affrontare diverse questioni per garantirne l'efficacia.
Uno dei temi centrali è la regolamentazione dei trasferimenti internazionali di dati. Nel 2022, l'ANPD (Autorità Nazionale per la Protezione dei Dati) ha avviato una consultazione pubblica per definire le linee guida su come i dati personali possono essere trasferiti al di fuori del Brasile. La LGPD (Legge Generale sulla Protezione dei Dati del Brasile) prevede che tali trasferimenti debbano essere effettuati in modo da garantire un'adeguata protezione dei dati negli altri Paesi. A tal fine, l'ANPD deve stabilire norme chiare, anche per quanto riguarda i Paesi che ritiene offrano livelli di protezione compatibili con la legislazione brasiliana.
Un altro punto riguarda la regolamentazione dell'Intelligenza Artificiale (IA). Ad oggi, la legislazione brasiliana non disciplina specificamente l'uso dell'IA in relazione alla protezione dei dati. L'ANPD (Autorità Nazionale per la Protezione dei Dati) sta partecipando alle discussioni sul disegno di legge n. 2.338/2023, che mira a stabilire un quadro giuridico per l'IA ed è attualmente in fase di valutazione da parte del Senato Federale.
L'avvocato sottolinea che uno dei punti più importanti è che le aziende stabiliscano le necessarie misure di sicurezza tecniche e amministrative per proteggere i dati personali. Queste linee guida possono includere standard minimi di sicurezza, l'uso della crittografia, firewall e politiche di accesso. L'implementazione di ciascuna di queste misure è un modo per prevenire incidenti di sicurezza, come le violazioni dei dati, e garantire che le informazioni siano protette contro gli accessi non autorizzati.
