Brazilija bo 14. avgusta 2024 praznovala 6. obletnico Splošnega zakona o varstvu podatkov (LGPD). Ta zakonodaja je pomenila napredek pri varstvu zasebnosti in osebnih podatkov v državi. LGPD, ki je bil sprejet 14. avgusta 2018, je začel veljati septembra 2020, sankcije pa so začele veljati od avgusta 2021.
LGPD (brazilski splošni zakon o varstvu podatkov) opredeljuje osebne podatke kot vse informacije, ki lahko identificirajo ali omogočijo prepoznavnost fizične ali pravne osebe, kot so ime, CPF (brazilska davčna številka posameznika), RG (brazilska številka osebne izkaznice), e-pošta in drugi podatki. Glavni namen LGPD je zagotoviti varno in pregledno uporabo teh podatkov, preprečiti zlorabo ter zagotoviti pravno varstvo in varnost državljanov.
Maja 2021, dve leti po sprejetju LGPD (brazilskega splošnega zakona o varstvu podatkov), je brazilsko vrhovno zvezno sodišče (STF) priznalo varstvo osebnih podatkov kot temeljno pravico. To priznanje je bilo vključeno v zvezno ustavo februarja 2022 z ustavnim amandmajem št. 115/22. Medtem ko so bile pravice do intimnosti, zasebnosti in zaupnosti komunikacij že zapisane v zvezni ustavi iz leta 1988, je varstvo osebnih podatkov postalo del ustavnega besedila šele pred kratkim. Zakoni, kot sta Marco Civil da Internet (brazilski zakon o pravicah do interneta) in Lei de Acesso à Informação (zakon o dostopu do informacij), so bili pomembni predhodniki, ki so prispevali k oblikovanju LGPD.
Po sprejetju zakona so se morala podjetja prilagoditi novi zakonodaji in sprejeti posebne prakse. To je vključevalo oblikovanje politik in postopkov za zasebnost, usposabljanje zaposlenih in uvajanje tehnologij informacijske varnosti. Zakon o varstvu podatkov LGPD določa globe in sankcije za neupoštevanje predpisov, kar je – teoretično – spodbujalo podjetja k upoštevanju zakona.
Vendar pa se LGPD (brazilski splošni zakon o varstvu podatkov) v nekaterih delih države še ne upošteva v celoti. Raziskava, ki jo je izvedel portal LGPD Brasil, je pokazala, da kljub obvezni naravi zakona le 16 % podjetij v državi izpolnjuje zahteve. To kaže, da je sicer že nekaj ozaveščenosti o zakonu, vendar je ta še vedno v veliki meri skoncentrirana v velikih urbanih središčih in da je treba to znanje prenesti v druge regije države.
Lucas Maldonado D. Latini, odvetnik in specialist za digitalno pravo iz FGV, poudarja, da je ena največjih težav pri prilagajanju na LGPD (brazilski splošni zakon o varstvu podatkov) pomanjkanje znanja o zakonu in o tem, kako ta vpliva na poslovanje podjetij. Številne organizacije se še vedno ne zavedajo, da se zakonodaja uporablja za njihovo področje delovanja. Odvetnik ugotavlja, da zakonodaja zajema podjetja v različnih sektorjih, kot so finance, izobraževanje, trgovina na drobno itd. Vsa se morajo prilagoditi, sicer bodo podvržena sankcijam.
Po njegovih besedah so bile določbe o varstvu podatkov razpršene po različnih zakonih, zaradi česar je bila razlaga in uporaba teh pravic težka. »Poenotenje, ki ga je spodbudil LGPD, je v brazilski regulativni okvir prineslo jasnost in skladnost. Poleg tega smo ustanovili Nacionalni organ za varstvo podatkov (ANPD), ki zagotavlja nadzor in izvrševanje zakona,« komentira. Danes je ANPD odgovoren za izdajanje resolucij in smernic, ki obdelovalcem podatkov pomagajo razumeti in izpolnjevati svoje obveznosti.
Kaj lahko pričakujemo od vse bolj tehnološke prihodnosti?
Čeprav se je regulativni okvir od začetka izvajanja znatno izboljšal, mora Nacionalni organ za varstvo podatkov (ANPD) še vedno obravnavati več vprašanj, da bi zagotovil njegovo učinkovitost.
Ena od tem v središču pozornosti je regulacija mednarodnega prenosa podatkov. Leta 2022 je ANPD (Nacionalni organ za varstvo podatkov) začel javno posvetovanje za pripravo smernic o tem, kako se lahko osebni podatki pošiljajo izven Brazilije. LGPD (Brazilski splošni zakon o varstvu podatkov) zahteva, da se ti prenosi izvajajo na način, ki zagotavlja ustrezno varstvo podatkov v drugih državah. V ta namen mora ANPD določiti jasna pravila, vključno z državami, za katere meni, da imajo ravni varstva, ki so združljive z brazilsko zakonodajo.
Druga točka je regulacija umetne inteligence (UI). Brazilska zakonodaja do danes ne obravnava posebej uporabe UI v zvezi z varstvom podatkov. ANPD (Nacionalni organ za varstvo podatkov) sodeluje v razpravah o zakonu št. 2,338/2023, katerega cilj je vzpostaviti pravni okvir za UI in ga trenutno ocenjuje zvezni senat.
Odvetnik poudarja, da je ena najpomembnejših točk, da podjetja vzpostavijo potrebne tehnične in administrativne varnostne ukrepe za zaščito osebnih podatkov. Te smernice lahko vključujejo minimalne varnostne standarde, uporabo šifriranja, požarne zidove in politike dostopa. Izvajanje vsakega od teh ukrepov je način za preprečevanje varnostnih incidentov, kot so kršitve podatkov, in zagotavljanje zaščite informacij pred nepooblaščenim dostopom.
