Op 14 augustus 2024 viert Brazilië de zesde verjaardag van de Algemene Verordening Gegevensbescherming (LGPD). Deze wetgeving betekende een vooruitgang in de bescherming van privacy en persoonsgegevens in het land. De LGPD werd goedgekeurd op 14 augustus 2018 en trad in werking in september 2020, met sancties die van toepassing zijn vanaf augustus 2021.
De LGPD (Braziliaanse Algemene Verordening Gegevensbescherming) definieert persoonsgegevens als alle informatie die een natuurlijke of rechtspersoon kan identificeren of identificeerbaar kan maken, zoals naam, CPF (Braziliaans belastingnummer), RG (Braziliaans identiteitskaartnummer), e-mailadres en andere gegevens. Het hoofddoel van de LGPD is ervoor te zorgen dat deze gegevens veilig en transparant worden gebruikt, misbruik te voorkomen en de rechtsbescherming en veiligheid van burgers te garanderen.
In mei 2021, twee jaar na de inwerkingtreding van de LGPD (Braziliaanse Algemene Verordening Gegevensbescherming), erkende het Braziliaanse Hooggerechtshof (STF) de bescherming van persoonsgegevens als een fundamenteel recht. Deze erkenning werd in februari 2022 opgenomen in de federale grondwet, middels grondwetswijziging nr. 115/22. Hoewel de rechten op privacy, vertrouwelijkheid en vertrouwelijkheid van communicatie al waren vastgelegd in de federale grondwet van 1988, werd de bescherming van persoonsgegevens pas recenter onderdeel van de grondwettelijke tekst. Wetten zoals de Marco Civil da Internet (Braziliaanse Internetrechtenwet) en de Lei de Acesso à Informação (Wet op de Toegang tot Informatie) waren belangrijke voorlopers die hebben bijgedragen aan de totstandkoming van de LGPD.
Na de invoering van de wet moesten bedrijven zich aanpassen aan de nieuwe wetgeving en specifieke procedures invoeren. Dit hield onder meer in dat ze privacybeleid en -procedures moesten opstellen, werknemers moesten trainen en technologieën voor informatiebeveiliging moesten implementeren. De LGPD voorziet in boetes en sancties voor niet-naleving, wat bedrijven – in theorie – zou moeten aanmoedigen om de wet na te leven.
De LGPD (Braziliaanse Algemene Verordening Gegevensbescherming) wordt echter nog niet volledig nageleefd in sommige delen van het land. Een onderzoek van het LGPD Brasil-portaal toonde aan dat, ondanks het verplichte karakter van de wet, slechts 16% van de bedrijven in Brazilië eraan voldoet. Dit laat zien dat, hoewel er al enige bekendheid met de wet bestaat, deze nog grotendeels geconcentreerd is in grote stedelijke centra. Het is daarom noodzakelijk om deze kennis ook in andere regio's van het land te verspreiden.
Lucas Maldonado D. Latini, advocaat en specialist in digitaal recht bij FGV, wijst erop dat een van de grootste moeilijkheden bij de implementatie van de LGPD (Braziliaanse Algemene Verordening Gegevensbescherming) ligt in het gebrek aan kennis over de wet en de gevolgen ervan voor de bedrijfsvoering. Veel organisaties zijn zich er nog steeds niet van bewust dat de wetgeving van toepassing is op hun sector. De advocaat merkt op dat de wetgeving bedrijven in diverse sectoren omvat, zoals de financiële sector, het onderwijs, de detailhandel, enzovoort. Al deze bedrijven moeten zich aanpassen, anders riskeren ze sancties.
Volgens hem waren de bepalingen over gegevensbescherming verspreid over verschillende wetten, waardoor de interpretatie en toepassing van deze rechten moeilijk was. "De unificatie die de LGPD heeft bewerkstelligd, heeft duidelijkheid en samenhang gebracht in het Braziliaanse regelgevingskader. Bovendien is de Nationale Autoriteit voor Gegevensbescherming (ANPD) opgericht om toezicht te houden op en de handhaving van de wet te waarborgen", aldus hij. De ANPD is tegenwoordig verantwoordelijk voor het uitvaardigen van resoluties en richtlijnen die gegevensverwerkers helpen hun verplichtingen te begrijpen en na te komen.
Wat kunnen we verwachten van een steeds technologischer wordende toekomst?
Hoewel het regelgevingskader sinds de invoering ervan aanzienlijk is verbeterd, zijn er nog steeds diverse kwesties die de Nationale Autoriteit voor Gegevensbescherming (ANPD) moet aanpakken om ervoor te zorgen dat de toepassing ervan effectief blijft.
Een van de aandachtspunten is de regulering van internationale gegevensoverdracht. In 2022 lanceerde de ANPD (Nationale Autoriteit voor Gegevensbescherming) een openbare raadpleging om richtlijnen op te stellen voor de overdracht van persoonsgegevens buiten Brazilië. De LGPD (Braziliaanse Algemene Verordening Gegevensbescherming) vereist dat deze overdrachten plaatsvinden op een manier die adequate gegevensbescherming in andere landen garandeert. Hiertoe moet de ANPD duidelijke regels vaststellen, ook voor landen waarvan zij van mening is dat ze een beschermingsniveau bieden dat verenigbaar is met de Braziliaanse wetgeving.
Een ander punt betreft de regulering van kunstmatige intelligentie (AI). Tot op heden behandelt de Braziliaanse wetgeving het gebruik van AI in relatie tot gegevensbescherming niet specifiek. De ANPD (Nationale Autoriteit voor Gegevensbescherming) neemt deel aan de besprekingen over wetsvoorstel nr. 2338/2023, dat een wettelijk kader voor AI beoogt en momenteel door de Senaat wordt behandeld.
De advocaat benadrukt dat een van de belangrijkste punten is dat bedrijven de nodige technische en administratieve beveiligingsmaatregelen treffen om persoonsgegevens te beschermen. Deze richtlijnen kunnen bestaan uit minimale beveiligingsnormen, het gebruik van encryptie, firewalls en toegangsbeleid. Het implementeren van elk van deze maatregelen is een manier om beveiligingsincidenten, zoals datalekken, te voorkomen en ervoor te zorgen dat informatie beschermd is tegen ongeautoriseerde toegang.
