14 sierpnia 2024 roku Brazylia będzie obchodzić 6. rocznicę uchwalenia Ogólnego Prawa o Ochronie Danych (LGPD). Ustawa ta stanowiła krok naprzód w ochronie prywatności i danych osobowych w kraju. Zatwierdzona 14 sierpnia 2018 roku, ustawa LGPD weszła w życie we wrześniu 2020 roku, a sankcje zaczną obowiązywać od sierpnia 2021 roku.
LGPD (brazylijska ustawa o ochronie danych osobowych) definiuje dane osobowe jako wszelkie informacje, które mogą identyfikować lub umożliwiać identyfikację osoby fizycznej lub prawnej, takie jak imię i nazwisko, CPF (brazylijski numer rejestracyjny podatnika), RG (brazylijski numer dowodu osobistego), adres e-mail i inne dane. Głównym celem LGPD jest zapewnienie bezpiecznego i transparentnego wykorzystywania tych danych, zapobieganie nadużyciom oraz zagwarantowanie ochrony prawnej i bezpieczeństwa obywateli.
W maju 2021 roku, dwa lata po uchwaleniu LGPD (brazylijskiej ustawy o ochronie danych osobowych), brazylijski Sąd Najwyższy Federalny (STF) uznał ochronę danych osobowych za prawo podstawowe. Uznanie to zostało włączone do Konstytucji Federalnej w lutym 2022 roku poprzez poprawkę do Konstytucji nr 115/22. Chociaż prawo do intymności, prywatności i poufności komunikacji zostało już zapisane w Konstytucji Federalnej z 1988 roku, ochrona danych osobowych stała się częścią tekstu konstytucyjnego dopiero niedawno. Ustawy takie jak Marco Civil da Internet (brazylijska Karta Praw Internetowych) i Lei de Acesso à Informação (ustawa o dostępie do informacji) były ważnymi prekursorami, które przyczyniły się do sformułowania LGPD.
Po wejściu w życie ustawy firmy musiały dostosować się do nowych przepisów, przyjmując określone praktyki. Wiązało się to z opracowaniem polityk i procedur ochrony prywatności, przeszkoleniem pracowników oraz wdrożeniem technologii bezpieczeństwa informacji. Ustawa LGPD ustanawia grzywny i sankcje za nieprzestrzeganie przepisów, co – teoretycznie – miało zachęcić firmy do ich przestrzegania.
Jednak w niektórych częściach kraju LGPD (brazylijskie ogólne prawo o ochronie danych) nie jest jeszcze w pełni przestrzegane. Badanie przeprowadzone przez portal LGPD Brasil wykazało, że nawet przy obowiązkowym charakterze ustawy, jedynie 16% firm w kraju ją przestrzega. Świadczy to o tym, że chociaż świadomość istnienia prawa jest już pewna, to nadal koncentruje się ono głównie w dużych ośrodkach miejskich i konieczne jest przeniesienie tej wiedzy do innych regionów kraju.
Lucas Maldonado D. Latini, prawnik i specjalista ds. prawa cyfrowego w FGV, zwraca uwagę, że jedną z największych trudności w dostosowaniu się do LGPD (brazylijskiej ustawy o ochronie danych osobowych) jest brak wiedzy na temat prawa i jego wpływu na działalność firm. Wiele organizacji wciąż nie zdaje sobie sprawy, że przepisy te mają zastosowanie w ich obszarze działalności. Prawnik zauważa, że przepisy te dotyczą firm z różnych sektorów, takich jak finanse, edukacja, handel detaliczny itp. Wszystkie muszą się dostosować, w przeciwnym razie grożą im sankcje.
Według niego przepisy dotyczące ochrony danych były rozproszone w różnych ustawach, co utrudniało interpretację i stosowanie tych praw. „Ujednolicenie promowane przez LGPD zapewniło jasność i spójność brazylijskim ramom regulacyjnym. Ponadto powołano Krajowy Urząd Ochrony Danych (ANPD), aby zapewnić nadzór i egzekwowanie prawa” – komentuje. Obecnie ANPD jest odpowiedzialny za wydawanie rezolucji i wytycznych, które pomagają podmiotom przetwarzającym dane zrozumieć i wypełniać swoje obowiązki.
Czego możemy oczekiwać od coraz bardziej technologicznej przyszłości?
Chociaż ramy regulacyjne poczyniły znaczące postępy od momentu ich wdrożenia, istnieje nadal kilka kwestii, którymi Krajowy Urząd Ochrony Danych (ANPD) musi się zająć, aby zapewnić skuteczność ich stosowania.
Jednym z tematów, na których skupia się uwaga, jest regulacja międzynarodowego transferu danych. W 2022 roku ANPD (Krajowy Urząd Ochrony Danych) rozpoczął konsultacje społeczne w celu opracowania wytycznych dotyczących sposobu przesyłania danych osobowych poza Brazylię. LGPD (brazylijska ustawa o ochronie danych osobowych) wymaga, aby transfery te odbywały się w sposób gwarantujący odpowiednią ochronę danych w innych krajach. W tym celu ANPD musi ustanowić jasne zasady, w tym dotyczące krajów, które jej zdaniem zapewniają poziom ochrony zgodny z brazylijskim prawodawstwem.
Kolejnym punktem jest regulacja sztucznej inteligencji (AI). Do tej pory brazylijskie prawodawstwo nie odnosiło się konkretnie do wykorzystania AI w kontekście ochrony danych. ANPD (Krajowy Urząd Ochrony Danych) uczestniczy w dyskusjach nad projektem ustawy nr 2338/2023, który ma na celu ustanowienie ram prawnych dla AI i jest obecnie rozpatrywany przez Senat Federalny.
Prawnik podkreśla, że jednym z najważniejszych punktów jest wdrożenie przez firmy niezbędnych technicznych i administracyjnych środków bezpieczeństwa w celu ochrony danych osobowych. Wytyczne te mogą obejmować minimalne standardy bezpieczeństwa, stosowanie szyfrowania, zapór sieciowych i polityk dostępu. Wdrożenie każdego z tych środków zapobiega incydentom bezpieczeństwa, takim jak naruszenia bezpieczeństwa danych, oraz zapewnia ochronę informacji przed nieautoryzowanym dostępem.
