14 августа 2024 года Бразилия отметит 6-ю годовщину принятия Общего регламента по защите персональных данных (ОБПД). Этот закон ознаменовал прогресс в защите частной жизни и персональных данных в стране. Принятый 14 августа 2018 года, ОБПД вступил в силу в сентябре 2020 года, а санкции начали действовать с августа 2021 года.
Закон Бразилии о защите персональных данных (LGPD) определяет персональные данные как любую информацию, которая может идентифицировать или позволить идентифицировать физическое или юридическое лицо, например, имя, CPF (бразильский индивидуальный налоговый регистрационный номер), RG (бразильский номер удостоверения личности), адрес электронной почты и другие данные. Главная цель LGPD — обеспечить безопасное и прозрачное использование этих данных, предотвратить злоупотребления и гарантировать правовую защиту и безопасность граждан.
В мае 2021 года, спустя два года после принятия Закона Бразилии о защите персональных данных (LGPD), Верховный федеральный суд Бразилии (STF) признал защиту персональных данных основополагающим правом. Это признание было включено в Федеральную конституцию в феврале 2022 года посредством поправки № 115/22. Хотя права на неприкосновенность частной жизни, неприкосновенность частной жизни и конфиденциальность сообщений были закреплены в Федеральной конституции 1988 года, защита персональных данных стала частью конституционного текста сравнительно недавно. Важными предшественниками, способствовавшими формированию LGPD, стали такие законы, как «Закон о гражданских правах в интернете» (Marco Civil da Internet) и «Закон о доступе к информации» (Lei de Acesso à Informação).
После принятия закона компаниям потребовалось адаптироваться к новым требованиям, внедрив определенные практики. Это включало разработку политик и процедур защиты конфиденциальности, обучение сотрудников и внедрение технологий информационной безопасности. Закон о защите конфиденциальности предусматривает штрафы и санкции за несоблюдение требований, что – теоретически – стимулировало компании к соблюдению закона.
Однако в некоторых регионах страны действие Закона о защите персональных данных (LGPD) еще не полностью соблюдается. Опрос, проведенный порталом LGPD Brasil, показал, что, несмотря на обязательный характер закона, его соблюдают лишь 16% компаний в стране. Это свидетельствует о том, что, хотя некоторая осведомленность о законе уже существует, она по-прежнему в основном сосредоточена в крупных городских центрах, и необходимо распространить эти знания на другие регионы страны.
Лукас Мальдонадо Д. Латини, юрист и специалист по цифровому праву из FGV, отмечает, что одна из самых больших трудностей в адаптации к Закону о защите персональных данных Бразилии (LGPD) заключается в недостаточной осведомленности о законе и о том, как он влияет на деятельность компаний. Многие организации до сих пор не знают, что законодательство распространяется на их сферу деятельности. Юрист отмечает, что законодательство охватывает компании в различных секторах, таких как финансы, образование, розничная торговля и т. д. Всем им необходимо адаптироваться, иначе они могут подвергнуться санкциям.
По его словам, положения о защите данных были разбросаны по различным законам, что затрудняло толкование и применение этих прав. «Унификация, достигнутая благодаря Закону о защите персональных данных (LGPD), внесла ясность и согласованность в бразильскую нормативно-правовую базу. Кроме того, было создано Национальное управление по защите данных (ANPD) для обеспечения надзора и соблюдения закона», — отмечает он. Сегодня ANPD отвечает за издание постановлений и руководящих принципов, которые помогают компаниям, занимающимся обработкой данных, понимать и соблюдать свои обязательства.
Чего нам ожидать от будущего, в котором технологии играют все более важную роль?
Несмотря на то, что нормативно-правовая база значительно продвинулась с момента ее внедрения, Национальному управлению по защите данных (ANPD) все еще необходимо решить ряд проблем, чтобы обеспечить эффективность ее применения.
Одна из актуальных тем — регулирование международной передачи данных. В 2022 году Национальное управление по защите данных (ANPD) начало публичные консультации по разработке руководящих принципов передачи персональных данных за пределы Бразилии. Закон Бразилии о защите персональных данных (LGPD) требует, чтобы эти передачи осуществлялись таким образом, чтобы гарантировать надлежащую защиту данных в других странах. Для этого ANPD необходимо установить четкие правила, в том числе в отношении стран, уровень защиты которых, по его мнению, соответствует бразильскому законодательству.
Ещё один важный аспект — регулирование искусственного интеллекта (ИИ). На сегодняшний день бразильское законодательство не содержит конкретных положений, касающихся использования ИИ в контексте защиты данных. Национальное управление по защите данных (ANPD) участвует в обсуждении законопроекта № 2338/2023, направленного на создание правовой основы для ИИ, и в настоящее время находится на рассмотрении в Федеральном сенате.
Юрист подчеркивает, что одним из важнейших моментов является внедрение компаниями необходимых технических и административных мер безопасности для защиты персональных данных. Эти меры могут включать минимальные стандарты безопасности, использование шифрования, межсетевых экранов и политик доступа. Внедрение каждой из этих мер позволяет предотвратить инциденты безопасности, такие как утечки данных, и обеспечить защиту информации от несанкционированного доступа.
