14 серпня 2024 року Бразилія святкуватиме 6-ту річницю Загального закону про захист даних (LGPD). Це законодавство ознаменувало прогрес у захисті конфіденційності та персональних даних у країні. Затверджений 14 серпня 2018 року, LGPD набув чинності у вересні 2020 року, а санкції застосовуються з серпня 2021 року.
LGPD (Загальний закон Бразилії про захист даних) визначає персональні дані як будь-яку інформацію, яка може ідентифікувати або зробити ідентифікованою фізичну чи юридичну особу, таку як ім'я, CPF (бразильський реєстраційний номер платника податків), RG (бразильський номер посвідчення особи), електронна пошта та інші дані. Головною метою LGPD є забезпечення безпечного та прозорого використання цих даних, запобігання зловживанням та гарантування правового захисту та безпеки громадян.
У травні 2021 року, через два роки після прийняття LGPD (Загального закону Бразилії про захист даних), Верховний федеральний суд Бразилії (STF) визнав захист персональних даних основоположним правом. Це визнання було включено до Федеральної конституції в лютому 2022 року шляхом внесення Конституційної поправки № 115/22. Хоча права на інтимність, недоторканність приватного життя та конфіденційність комунікацій вже були закріплені у Федеральній конституції 1988 року, захист персональних даних став частиною конституційного тексту лише нещодавно. Такі закони, як Marco Civil da Internet (Бразильський білль про права в Інтернеті) та Lei de Acesso à Informação (Закон про доступ до інформації), були важливими попередниками, що сприяли формулюванню LGPD.
Після прийняття закону компаніям потрібно було адаптуватися до нового законодавства, запроваджуючи певні практики. Це включало створення політик та процедур конфіденційності, навчання співробітників та впровадження технологій інформаційної безпеки. LGPD встановлює штрафи та санкції за недотримання вимог, що – теоретично – заохочує компанії дотримуватися закону.
Однак, у деяких частинах країни LGPD (Загальний закон Бразилії про захист даних) ще не повністю дотримується. Опитування, проведене порталом LGPD Brasil, показало, що навіть за умови обов'язкового характеру закону, лише 16% компаній у країні дотримуються його. Це свідчить про те, що, хоча певна обізнаність про закон вже існує, вона все ще здебільшого зосереджена у великих міських центрах, і необхідно донести ці знання до інших регіонів країни.
Лукас Мальдонадо Д. Латіні, юрист і спеціаліст з цифрового права з FGV, зазначає, що одна з найбільших труднощів у адаптації до LGPD (Загального закону Бразилії про захист даних) полягає у браку знань про закон та про те, як він впливає на діяльність компаній. Багато організацій досі не знають, що законодавство застосовується до їхньої сфери діяльності. Юрист зазначає, що законодавство охоплює компанії з різних секторів, таких як фінанси, освіта, роздрібна торгівля тощо. Усім їм потрібно адаптуватися, інакше вони підлягатимуть санкціям.
За його словами, положення про захист даних були розпорошені по різних законах, що ускладнювало тлумачення та застосування цих прав. «Уніфікація, запропонована LGPD, принесла ясність та узгодженість бразильській нормативній базі. Крім того, ми створили Національний орган із захисту даних (ANPD) для забезпечення нагляду та виконання закону», – коментує він. Сьогодні ANPD відповідає за видачу резолюцій та інструкцій, які допомагають агентам з обробки даних розуміти та виконувати свої зобов’язання.
Чого нам очікувати від дедалі технологічнішого майбутнього?
Хоча нормативно-правова база значно просунулася з моменту її впровадження, Національному органу із захисту даних (ANPD) все ще потрібно вирішити кілька питань, щоб забезпечити її ефективність.
Однією з тем, що перебувають у центрі уваги, є регулювання міжнародної передачі даних. У 2022 році ANPD (Національний орган із захисту даних) розпочав публічні консультації для розробки рекомендацій щодо того, як персональні дані можуть надсилатися за межі Бразилії. LGPD (Загальний закон Бразилії про захист даних) вимагає, щоб ці передачі здійснювалися таким чином, щоб гарантувати належний захист даних в інших країнах. З цією метою ANPD має встановити чіткі правила, зокрема щодо країн, рівні захисту яких, на його думку, відповідають бразильському законодавству.
Ще один момент – це регулювання штучного інтелекту (ШІ). На сьогоднішній день бразильське законодавство не розглядає конкретно використання ШІ у зв'язку із захистом даних. ANPD (Національний орган із захисту даних) бере участь в обговоренні законопроекту № 2,338/2023, який має на меті створити правову базу для ШІ та наразі розглядається Федеральним сенатом.
Юрист наголошує, що одним із найважливіших моментів є встановлення компаніями необхідних технічних та адміністративних заходів безпеки для захисту персональних даних. Ці рекомендації можуть включати мінімальні стандарти безпеки, використання шифрування, брандмауери та політики доступу. Впровадження кожного з цих заходів є способом запобігання інцидентам безпеки, таким як витоки даних, та забезпечення захисту інформації від несанкціонованого доступу.
