ในวันที่ 14 สิงหาคม 2567 ประเทศบราซิลจะฉลองครบรอบ 6 ปีของกฎหมายคุ้มครองข้อมูลส่วนบุคคลทั่วไป (GDPR) กฎหมายฉบับนี้ถือเป็นความก้าวหน้าในการคุ้มครองความเป็นส่วนตัวและข้อมูลส่วนบุคคลในประเทศ LGPD ได้รับการอนุมัติเมื่อวันที่ 14 สิงหาคม 2561 และมีผลบังคับใช้ในเดือนกันยายน 2563 โดยมีบทลงโทษบังคับใช้ตั้งแต่เดือนสิงหาคม 2564.
กฎหมายคุ้มครองข้อมูลส่วนบุคคลของบราซิล (LGPD) นิยามข้อมูลส่วนบุคคลว่าคือข้อมูลใดๆ ที่สามารถระบุตัวตนหรือทำให้สามารถระบุตัวตนของบุคคลธรรมดาหรือนิติบุคคลได้ เช่น ชื่อ หมายเลขประจำตัวผู้เสียภาษีบุคคลธรรมดาของบราซิล (CPF) หมายเลขบัตรประจำตัวประชาชนของบราซิล (RG) อีเมล และข้อมูลอื่นๆ วัตถุประสงค์หลักของ LGPD คือการรับรองว่าข้อมูลเหล่านี้ถูกนำไปใช้อย่างปลอดภัยและโปร่งใส ป้องกันการใช้ในทางที่ผิด และรับประกันการคุ้มครองทางกฎหมายและความปลอดภัยของพลเมือง.
ในเดือนพฤษภาคม 2021 สองปีหลังจากที่กฎหมายคุ้มครองข้อมูลส่วนบุคคลทั่วไปของบราซิล (LGPD) มีผลบังคับใช้ ศาลฎีกาแห่งสหพันธรัฐบราซิล (STF) ได้รับรองการคุ้มครองข้อมูลส่วนบุคคลว่าเป็นสิทธิขั้นพื้นฐาน การรับรองนี้ได้ถูกรวมไว้ในรัฐธรรมนูญแห่งสหพันธรัฐในเดือนกุมภาพันธ์ 2022 ผ่านการแก้ไขรัฐธรรมนูญฉบับที่ 115/22 ในขณะที่สิทธิในความเป็นส่วนตัว การรักษาความลับ และการสื่อสารได้รับการบัญญัติไว้แล้วในรัฐธรรมนูญแห่งสหพันธรัฐปี 1988 การคุ้มครองข้อมูลส่วนบุคคลเพิ่งเข้ามาเป็นส่วนหนึ่งของข้อความในรัฐธรรมนูญเมื่อไม่นานมานี้ กฎหมายต่างๆ เช่น Marco Civil da Internet (กฎหมายว่าด้วยสิทธิทางอินเทอร์เน็ตของบราซิล) และ Lei de Acesso à Informação (กฎหมายว่าด้วยการเข้าถึงข้อมูล) เป็นพื้นฐานสำคัญที่นำไปสู่การร่าง LGPD.
หลังจากที่กฎหมายมีผลบังคับใช้ บริษัทต่างๆ จำเป็นต้องปรับตัวให้เข้ากับกฎหมายใหม่ โดยการนำแนวปฏิบัติเฉพาะมาใช้ ซึ่งรวมถึงการจัดทำนโยบายและขั้นตอนด้านความเป็นส่วนตัว การฝึกอบรมพนักงาน และการนำเทคโนโลยีด้านความปลอดภัยของข้อมูลมาใช้ กฎหมาย LGPD กำหนดค่าปรับและบทลงโทษสำหรับการไม่ปฏิบัติตาม ซึ่งในทางทฤษฎีแล้วเป็นการกระตุ้นให้บริษัทต่างๆ ปฏิบัติตามกฎหมาย.
อย่างไรก็ตาม กฎหมายคุ้มครองข้อมูลส่วนบุคคลทั่วไปของบราซิล (LGPD) ยังไม่ได้รับการปฏิบัติตามอย่างครบถ้วนในบางพื้นที่ของประเทศ การสำรวจที่จัดทำโดยเว็บไซต์ LGPD Brasil แสดงให้เห็นว่า แม้กฎหมายจะมีผลบังคับใช้ แต่มีเพียง 16% ของบริษัทในประเทศเท่านั้นที่ปฏิบัติตาม ซึ่งแสดงให้เห็นว่า แม้จะมีการรับรู้ถึงกฎหมายอยู่บ้างแล้ว แต่การรับรู้ดังกล่าวยังคงกระจุกตัวอยู่ในเมืองใหญ่เป็นส่วนใหญ่ และจำเป็นต้องเผยแพร่ความรู้ความเข้าใจนี้ไปยังภูมิภาคอื่นๆ ของประเทศ.
ลูคัส มัลโดนาโด ดี. ลาตินี ทนายความและผู้เชี่ยวชาญด้านกฎหมายดิจิทัลจาก FGV ชี้ให้เห็นว่า หนึ่งในความยากลำบากที่สุดในการปรับตัวให้เข้ากับกฎหมายคุ้มครองข้อมูลส่วนบุคคลทั่วไปของบราซิล (LGPD) คือ การขาดความรู้เกี่ยวกับกฎหมายและผลกระทบต่อการดำเนินงานของบริษัทต่างๆ หลายองค์กรยังไม่ทราบว่ากฎหมายนี้มีผลบังคับใช้กับธุรกิจของตน ทนายความกล่าวว่า กฎหมายนี้ครอบคลุมบริษัทในหลากหลายภาคส่วน เช่น การเงิน การศึกษา การค้าปลีก เป็นต้น ทุกภาคส่วนจำเป็นต้องปรับตัว มิฉะนั้นอาจถูกลงโทษ.
เขากล่าวว่า บทบัญญัติเกี่ยวกับการคุ้มครองข้อมูลกระจัดกระจายอยู่ในกฎหมายต่างๆ ทำให้การตีความและการบังคับใช้สิทธิเหล่านี้เป็นเรื่องยาก “การรวมกฎหมายที่ส่งเสริมโดย LGPD นำมาซึ่งความชัดเจนและความสอดคล้องกันในกรอบกฎหมายของบราซิล นอกจากนี้ เรายังได้จัดตั้งหน่วยงานคุ้มครองข้อมูลแห่งชาติ (ANPD) เพื่อให้มั่นใจถึงการกำกับดูแลและการบังคับใช้กฎหมาย” เขากล่าว ปัจจุบัน ANPD มีหน้าที่รับผิดชอบในการออกมติและแนวทางปฏิบัติที่ช่วยให้ผู้ประมวลผลข้อมูลเข้าใจและปฏิบัติตามภาระผูกพันของตน.
เราคาดหวังอะไรได้บ้างจากอนาคตที่เต็มไปด้วยเทคโนโลยีมากขึ้นเรื่อยๆ?
แม้ว่ากรอบการกำกับดูแลจะมีความก้าวหน้าอย่างมากนับตั้งแต่เริ่มบังคับใช้ แต่ก็ยังมีประเด็นหลายประการที่หน่วยงานคุ้มครองข้อมูลแห่งชาติ (ANPD) ยังคงต้องแก้ไขเพื่อให้มั่นใจว่าการบังคับใช้ยังคงมีประสิทธิภาพ.
หนึ่งในหัวข้อที่ได้รับความสนใจคือการกำกับดูแลการโอนย้ายข้อมูลระหว่างประเทศ ในปี 2022 หน่วยงานคุ้มครองข้อมูลแห่งชาติของบราซิล (ANPD) ได้เปิดการปรึกษาหารือสาธารณะเพื่อจัดทำแนวทางเกี่ยวกับการส่งข้อมูลส่วนบุคคลออกนอกประเทศบราซิล กฎหมายคุ้มครองข้อมูลทั่วไปของบราซิล (LGPD) กำหนดให้การโอนย้ายเหล่านี้ต้องดำเนินการในลักษณะที่รับประกันการคุ้มครองข้อมูลที่เพียงพอในประเทศอื่น ๆ ดังนั้น ANPD จึงจำเป็นต้องกำหนดกฎเกณฑ์ที่ชัดเจน รวมถึงเกี่ยวกับประเทศที่ ANPD พิจารณาว่ามีระดับการคุ้มครองที่สอดคล้องกับกฎหมายของบราซิล.
อีกประเด็นหนึ่งคือการกำกับดูแลปัญญาประดิษฐ์ (AI) ปัจจุบัน กฎหมายของบราซิลยังไม่ได้กล่าวถึงการใช้ AI ในส่วนที่เกี่ยวข้องกับการคุ้มครองข้อมูลโดยเฉพาะ หน่วยงานคุ้มครองข้อมูลแห่งชาติ (ANPD) กำลังมีส่วนร่วมในการหารือเกี่ยวกับร่างพระราชบัญญัติฉบับที่ 2,338/2023 ซึ่งมีเป้าหมายเพื่อวางกรอบกฎหมายสำหรับ AI และขณะนี้อยู่ระหว่างการพิจารณาของวุฒิสภาแห่งสหพันธรัฐ.
ทนายความเน้นย้ำว่าประเด็นสำคัญประการหนึ่งคือ บริษัทต่างๆ ต้องจัดตั้งมาตรการรักษาความปลอดภัยทางเทคนิคและบริหารจัดการที่จำเป็นเพื่อปกป้องข้อมูลส่วนบุคคล แนวทางเหล่านี้อาจรวมถึงมาตรฐานความปลอดภัยขั้นต่ำ การใช้การเข้ารหัส ไฟร์วอลล์ และนโยบายการเข้าถึง การนำมาตรการเหล่านี้ไปใช้เป็นวิธีหนึ่งในการป้องกันเหตุการณ์ด้านความปลอดภัย เช่น การรั่วไหลของข้อมูล และทำให้มั่นใจได้ว่าข้อมูลได้รับการปกป้องจากการเข้าถึงโดยไม่ได้รับอนุญาต.
