2024 m. rugpjūčio 14 d. Brazilija švęs 6-ąsias Bendrojo duomenų apsaugos įstatymo (LGPD) metines. Šis teisės aktas žymi pažangą privatumo ir asmens duomenų apsaugos srityje šalyje. 2018 m. rugpjūčio 14 d. patvirtintas LGPD įsigaliojo 2020 m. rugsėjį, o sankcijos taikomos nuo 2021 m. rugpjūčio mėn.
LGPD (Brazilijos bendrasis duomenų apsaugos įstatymas) apibrėžia asmens duomenis kaip bet kokią informaciją, pagal kurią galima identifikuoti fizinį ar juridinį asmenį arba padaryti jį identifikuojamą, pavyzdžiui, vardą, pavardę, CPF (Brazilijos individualaus mokesčių mokėtojo registracijos numerį), RG (Brazilijos asmens tapatybės kortelės numerį), el. pašto adresą ir kitus duomenis. Pagrindinis LGPD tikslas – užtikrinti, kad šie duomenys būtų naudojami saugiai ir skaidriai, užkertant kelią piktnaudžiavimui ir garantuojant piliečių teisinę apsaugą bei saugumą.
2021 m. gegužės mėn., praėjus dvejiems metams po LGPD (Brazilijos bendrojo duomenų apsaugos įstatymo) priėmimo, Brazilijos Aukščiausiasis Federalinis Teismas (STF) pripažino asmens duomenų apsaugą pagrindine teise. Šis pripažinimas buvo įtrauktas į federalinę konstituciją 2022 m. vasario mėn., priėmus Konstitucijos pataisą Nr. 115/22. Nors teisės į intymumą, privatumą ir komunikacijos konfidencialumą jau buvo įtvirtintos 1988 m. federalinėje konstitucijoje, asmens duomenų apsauga konstitucijos teksto dalimi tapo tik neseniai. Tokie įstatymai kaip Marco Civil da Internet (Brazilijos interneto teisių bilis) ir Lei de Acesso à Informação (Informacijos prieinamumo įstatymas) buvo svarbūs LGPD formulavimo pirmtakai.
Priėmus įstatymą, įmonės turėjo prisitaikyti prie naujų teisės aktų, diegdamos konkrečias praktikas. Tai apėmė privatumo politikos ir procedūrų kūrimą, darbuotojų mokymą ir informacijos saugumo technologijų diegimą. LGPD nustato baudas ir sankcijas už nesilaikymą, kurios – teoriškai – paskatino įmones laikytis įstatymo.
Tačiau kai kuriose šalies dalyse dar nėra iki galo laikomasi LGPD (Brazilijos bendrojo duomenų apsaugos įstatymo). LGPD Brasil portalo atlikta apklausa parodė, kad net ir esant privalomam įstatymo pobūdžiui, tik 16 % šalies įmonių jo laikosi. Tai rodo, kad nors apie įstatymą jau yra tam tikrų žinių, jis vis dar daugiausia sutelktas dideliuose miestuose, todėl būtina šias žinias perduoti kitiems šalies regionams.
Teisininkas ir skaitmeninės teisės specialistas iš FGV Lucas Maldonado D. Latini atkreipia dėmesį, kad vienas didžiausių sunkumų prisitaikant prie LGPD (Brazilijos bendrojo duomenų apsaugos įstatymo) yra žinių apie įstatymą ir jo poveikį įmonių veiklai stoka. Daugelis organizacijų vis dar nežino, kad teisės aktai taikomi jų veiklos sričiai. Teisininkas pažymi, kad teisės aktai taikomi įvairių sektorių, pavyzdžiui, finansų, švietimo, mažmeninės prekybos ir kt., įmonėms. Visoms joms reikia prisitaikyti arba joms taikomos sankcijos.
Pasak jo, duomenų apsaugos nuostatos buvo išsklaidytos įvairiuose įstatymuose, todėl šias teises buvo sunku aiškinti ir taikyti. „LGPD skatinamas suvienijimas suteikė Brazilijos reguliavimo sistemai aiškumo ir darnos. Be to, buvo įsteigta Nacionalinė duomenų apsaugos institucija (ANPD), siekiant užtikrinti įstatymo priežiūrą ir vykdymą“, – komentuoja jis. Šiandien ANPD yra atsakinga už rezoliucijų ir gairių, kurios padeda duomenų tvarkymo agentams suprasti ir laikytis savo įsipareigojimų, leidimą.
Ko galime tikėtis iš vis labiau technologiškai besivystančios ateities?
Nors reguliavimo sistema nuo jos įgyvendinimo gerokai patobulėjo, Nacionalinė duomenų apsaugos institucija (ANPD) vis dar turi išspręsti keletą klausimų, kad užtikrintų jos veiksmingą taikymą.
Viena iš temų, į kurias atkreipiamas dėmesys, yra tarptautinių duomenų perdavimų reguliavimas. 2022 m. ANPD (Nacionalinė duomenų apsaugos institucija) pradėjo viešas konsultacijas, siekdama parengti gaires, kaip asmens duomenys gali būti siunčiami už Brazilijos ribų. LGPD (Brazilijos bendrasis duomenų apsaugos įstatymas) reikalauja, kad šie perdavimai būtų atliekami taip, kad būtų užtikrinta tinkama duomenų apsauga kitose šalyse. Šiuo tikslu ANPD turi nustatyti aiškias taisykles, įskaitant šalis, kuriose, jos manymu, apsaugos lygis atitinka Brazilijos teisės aktus.
Kitas aspektas – dirbtinio intelekto (DI) reguliavimas. Iki šiol Brazilijos teisės aktuose nėra konkrečiai aptariamas DI naudojimas duomenų apsaugos kontekste. ANPD (Nacionalinė duomenų apsaugos tarnyba) dalyvauja diskusijose dėl įstatymo projekto Nr. 2 338/2023, kuriuo siekiama sukurti DI teisinę sistemą ir kurį šiuo metu vertina Federalinis Senatas.
Teisininkas pabrėžia, kad vienas svarbiausių punktų yra tai, jog įmonės nustatytų būtinas technines ir administracines saugumo priemones asmens duomenims apsaugoti. Šios gairės gali apimti minimalius saugumo standartus, šifravimo naudojimą, užkardas ir prieigos politiką. Kiekvienos iš šių priemonių įgyvendinimas yra būdas užkirsti kelią saugumo incidentams, tokiems kaip duomenų nutekėjimas, ir užtikrinti, kad informacija būtų apsaugota nuo neteisėtos prieigos.
