Brezilya, 14 Ağustos 2024'te Genel Veri Koruma Kanunu'nun (LGPD) 6. yıldönümünü kutlayacak. Bu yasa, ülkede gizliliğin ve kişisel verilerin korunmasında önemli bir ilerlemeyi işaret etti. 14 Ağustos 2018'de onaylanan LGPD, Eylül 2020'de yürürlüğe girdi ve yaptırımlar Ağustos 2021'den itibaren uygulanmaya başlandı.
Brezilya Genel Veri Koruma Yasası (LGPD), kişisel verileri, isim, CPF (Brezilya bireysel vergi mükellefi kayıt numarası), RG (Brezilya kimlik kartı numarası), e-posta ve diğer veriler gibi gerçek veya tüzel kişiyi tanımlayabilen veya tanımlanabilir hale getirebilen her türlü bilgi olarak tanımlar. LGPD'nin temel amacı, bu verilerin güvenli ve şeffaf bir şekilde kullanılmasını sağlamak, kötüye kullanımı önlemek ve vatandaşların yasal korumasını ve güvenliğini garanti altına almaktır.
Mayıs 2021'de, Brezilya Genel Veri Koruma Yasası'nın (LGPD) yürürlüğe girmesinden iki yıl sonra, Brezilya Yüksek Federal Mahkemesi (STF), kişisel verilerin korunmasını temel bir hak olarak tanıdı. Bu tanıma, Şubat 2022'de 115/22 sayılı Anayasa Değişikliği ile Federal Anayasaya dahil edildi. Mahremiyet, gizlilik ve iletişim gizliliği hakları 1988 Federal Anayasasında zaten yer alırken, kişisel verilerin korunması anayasa metnine daha yakın bir zamanda eklendi. Brezilya İnternet Hakları Yasası (Marco Civil da Internet) ve Bilgiye Erişim Yasası (Lei de Acesso à Informação) gibi yasalar, LGPD'nin formüle edilmesine katkıda bulunan önemli öncüllerdi.
Yasa yürürlüğe girdikten sonra, şirketlerin yeni mevzuata uyum sağlamaları ve belirli uygulamaları benimsemeleri gerekiyordu. Bu, gizlilik politikaları ve prosedürleri oluşturmayı, çalışanları eğitmeyi ve bilgi güvenliği teknolojilerini uygulamayı içeriyordu. LGPD, uyumsuzluk için para cezaları ve yaptırımlar öngörüyor; bu da teorik olarak şirketleri yasaya uymaya teşvik ediyordu.
Ancak, Brezilya Genel Veri Koruma Yasası (LGPD) ülkenin bazı bölgelerinde henüz tam olarak uygulanmamaktadır. LGPD Brasil portalı tarafından yapılan bir anket, yasanın zorunlu niteliğine rağmen, ülkedeki şirketlerin yalnızca %16'sının uyumlu olduğunu göstermiştir. Bu durum, yasa hakkında bir miktar farkındalık olmasına rağmen, bunun büyük ölçüde büyük şehir merkezlerinde yoğunlaştığını ve bu bilginin ülkenin diğer bölgelerine de yayılması gerektiğini ortaya koymaktadır.
FGV'den avukat ve dijital hukuk uzmanı Lucas Maldonado D. Latini, Brezilya Genel Veri Koruma Yasası'na (LGPD) uyum sağlamanın en büyük zorluklarından birinin, yasa ve şirketlerin faaliyetlerini nasıl etkilediği konusunda bilgi eksikliği olduğunu belirtiyor. Birçok kuruluş, mevzuatın kendi faaliyet alanlarını etkilediğinin hala farkında değil. Avukat, mevzuatın finans, eğitim, perakende vb. çeşitli sektörlerdeki şirketleri kapsadığını ve hepsinin uyum sağlaması gerektiğini, aksi takdirde yaptırımlara maruz kalacaklarını kaydediyor.
Ona göre, veri koruma hükümleri çeşitli yasalara dağılmış durumdaydı ve bu da bu hakların yorumlanmasını ve uygulanmasını zorlaştırıyordu. “LGPD'nin teşvik ettiği birleşme, Brezilya düzenleyici çerçevesine açıklık ve tutarlılık getirdi. Ayrıca, yasanın denetimini ve uygulanmasını sağlamak için Ulusal Veri Koruma Kurumu (ANPD) kuruldu,” diye belirtiyor. Bugün ANPD, veri işleme aktörlerinin yükümlülüklerini anlamalarına ve bunlara uymalarına yardımcı olan kararlar ve yönergeler yayınlamaktan sorumludur.
Giderek daha teknolojik hale gelen bir gelecekten neler bekleyebiliriz?
Yürürlüğe girmesinden bu yana düzenleyici çerçeve önemli ölçüde gelişmiş olsa da, uygulamasının etkili kalmasını sağlamak için Ulusal Veri Koruma Kurumu (ANPD) tarafından ele alınması gereken çeşitli konular hala mevcuttur.
Odak noktalarından biri de uluslararası veri transferlerinin düzenlenmesidir. 2022 yılında ANPD (Ulusal Veri Koruma Kurumu), kişisel verilerin Brezilya dışına nasıl gönderilebileceğine dair yönergeler oluşturmak için kamuoyu istişaresi başlattı. LGPD (Brezilya Genel Veri Koruma Yasası), bu transferlerin diğer ülkelerde yeterli veri korumasını garanti edecek şekilde gerçekleştirilmesini gerektirmektedir. Bu amaçla, ANPD'nin, Brezilya mevzuatıyla uyumlu koruma seviyelerine sahip olduğunu düşündüğü ülkeler de dahil olmak üzere, net kurallar belirlemesi gerekmektedir.
Bir diğer nokta ise Yapay Zeka (YZ) düzenlemesidir. Bugüne kadar Brezilya mevzuatı, veri korumasıyla ilgili olarak YZ kullanımını özel olarak ele almamaktadır. ANPD (Ulusal Veri Koruma Kurumu), YZ için yasal bir çerçeve oluşturmayı amaçlayan ve şu anda Federal Senato tarafından değerlendirilmekte olan 2338/2023 sayılı Kanun Tasarısı hakkındaki görüşmelere katılmaktadır.
Avukat, şirketlerin kişisel verileri korumak için gerekli teknik ve idari güvenlik önlemlerini almasının en önemli noktalardan biri olduğunu vurguluyor. Bu yönergeler, minimum güvenlik standartlarını, şifreleme kullanımını, güvenlik duvarlarını ve erişim politikalarını içerebilir. Bu önlemlerin her birinin uygulanması, veri ihlali gibi güvenlik olaylarını önlemenin ve bilgilerin yetkisiz erişime karşı korunmasını sağlamanın bir yoludur.
