14. august 2024 feirer Brasil 6-årsjubileet for personvernloven (LGPD). Denne lovgivningen markerte fremskritt innen beskyttelse av personvern og personopplysninger i landet. LGPD ble godkjent 14. august 2018 og trådte i kraft i september 2020, med sanksjoner gjeldende fra august 2021.
LGPD (Brasiliens personvernlov) definerer personopplysninger som all informasjon som kan identifisere eller gjøre en fysisk eller juridisk person identifiserbar, for eksempel navn, CPF (brasiliansk skatteregistreringsnummer), RG (brasiliansk identitetskortnummer), e-post og andre data. Hovedformålet med LGPD er å sikre at disse dataene brukes sikkert og transparent, forhindre misbruk og garantere borgernes rettslige beskyttelse og sikkerhet.
I mai 2021, to år etter at LGPD (brasiliansk personvernlov) trådte i kraft, anerkjente den brasilianske høyesterettsdomstolen (STF) beskyttelsen av personopplysninger som en grunnleggende rettighet. Denne anerkjennelsen ble inkludert i den føderale grunnloven i februar 2022, gjennom grunnlovsendring nr. 115/22. Mens retten til intimitet, privatliv og konfidensialitet i kommunikasjon allerede var nedfelt i den føderale grunnloven fra 1988, ble beskyttelsen av personopplysninger først en del av grunnlovsteksten nylig. Lover som Marco Civil da Internet (brasiliansk internettrettighetserklæring) og Lei de Acesso à Informação (lov om tilgang til informasjon) var viktige forløpere som bidro til utformingen av LGPD.
Etter at loven ble vedtatt, måtte selskaper tilpasse seg den nye lovgivningen og innføre spesifikke rutiner. Dette innebar å lage retningslinjer og prosedyrer for personvern, lære opp ansatte og implementere informasjonssikkerhetsteknologier. LGPD fastsetter bøter og sanksjoner for manglende overholdelse, noe som – teoretisk sett – oppmuntret selskaper til å overholde loven.
LGPD (Brasilias personvernlov) er imidlertid ennå ikke fullt ut overholdt i enkelte deler av landet. En undersøkelse utført av LGPD Brasil-portalen viste at selv med lovens obligatoriske karakter er det bare 16 % av selskapene i landet som overholder den. Dette viser at selv om det allerede er en viss bevissthet om loven, er den fortsatt i stor grad konsentrert i store bysentre, og det er nødvendig å bringe denne kunnskapen til andre regioner i landet.
Lucas Maldonado D. Latini, advokat og spesialist i digital rett fra FGV, påpeker at en av de største vanskelighetene med å tilpasse seg LGPD (Brasiliens personvernlov) ligger i mangelen på kunnskap om loven og hvordan den påvirker selskapers drift. Mange organisasjoner er fortsatt ikke klar over at lovgivningen gjelder for deres virkefelt. Advokaten bemerker at lovgivningen dekker selskaper i ulike sektorer, som finans, utdanning, detaljhandel osv. Alle må tilpasse seg eller er underlagt sanksjoner.
Ifølge ham var bestemmelsene om databeskyttelse spredt på tvers av ulike lover, noe som gjorde tolkningen og anvendelsen av disse rettighetene vanskelig. «Enheten som fremmes av LGPD brakte klarhet og sammenheng i det brasilianske regelverket. Videre ble det opprettet en nasjonal databeskyttelsesmyndighet (ANPD) for å sikre tilsyn og håndheving av loven», kommenterer han. I dag er ANPD ansvarlig for å utstede resolusjoner og retningslinjer som hjelper databehandlere med å forstå og overholde sine forpliktelser.
Hva kan vi forvente av en stadig mer teknologisk fremtid?
Selv om regelverket har utviklet seg betydelig siden implementeringen, er det flere problemstillinger som fortsatt må tas opp av den nasjonale databeskyttelsesmyndigheten (ANPD) for å sikre at anvendelsen forblir effektiv.
Et av temaene i fokus er reguleringen av internasjonale dataoverføringer. I 2022 lanserte ANPD (nasjonal databeskyttelsesmyndighet) en offentlig høring for å lage retningslinjer for hvordan personopplysninger kan sendes utenfor Brasil. LGPD (brasiliansk personvernlov) krever at disse overføringene utføres på en måte som garanterer tilstrekkelig databeskyttelse i andre land. For dette formålet må ANPD etablere klare regler, inkludert for land som den anser å ha beskyttelsesnivåer som er forenlige med brasiliansk lovgivning.
Et annet poeng er reguleringen av kunstig intelligens (KI). Brasiliansk lovgivning omhandler til dags dato ikke spesifikt bruken av KI i forbindelse med databeskyttelse. ANPD (National Data Protection Authority) deltar i diskusjoner om lovforslag nr. 2338/2023, som har som mål å etablere et juridisk rammeverk for KI og som for tiden evalueres av det føderale senatet.
Advokaten understreker at et av de viktigste punktene er at selskaper etablerer nødvendige tekniske og administrative sikkerhetstiltak for å beskytte personopplysninger. Disse retningslinjene kan omfatte minimumssikkerhetsstandarder, bruk av kryptering, brannmurer og tilgangsregler. Implementering av hvert av disse tiltakene er en måte å forhindre sikkerhetshendelser, som datainnbrudd, og sikre at informasjon er beskyttet mot uautorisert tilgang.
