Kas Brasiilia LGPD läheb paremini kui GDPR? Võib-olla mitte

Euroopa GDPR (General Data Protection Regulation) on toonud eraelu puutumatust käsitlevate õigusaktide tähtsuse avalikkuse teadvusse kogu maailmas. Ajendatuna kasvavatest privaatsusprobleemidest Big Techi (Facebook, Google, Apple jne) tõttu, mis häbitult riivab kasutajate privaatsust, inspireeris GDPR-i koostamine peagi teisi riike järgima oma andmekaitseseadusi. USA tuli CCPA-ga, Austraalia privaatsusmuudatusega, Jaapan isikuandmete kaitse seaduse muudatusega, samuti Tai, Lõuna-Korea, Kanada ja teised.

Värskeim sellistest GDPR-ist inspireeritud seadustest on Brasiilia andmekaitse üldseadus Lei Geral de Proteção de Dados Pessoais (LGPD). LGPD, mis kehtestatakse 2020 aasta augustis, peaks sujuvamaks muutma ja ühtlustama Brasiilia privaatsusseaduste killustatud olemust ning umbes 40 sellist seaduslikku põhikirja, mis reguleerivad andmekaitset riigis tööstuslikult.

Selles artiklis kirjeldatakse lühidalt seaduse põhipunkte, selle erinevusi GDPR-ist ning LGPD jõustamise ja valitsemisega seotud probleeme. Suure osa järgnevast on kaasautor Leandro Chahde, Brasiilia Advogado Zona Norte advokaat, kes on LGPD-ga vahetult tuttav.

Kellele LGPD kehtib?

Sarnaselt GDPR-iga kehtib LGPD kõigile Brasiilias asuvatele isikutele sõltumata kodakondsusest. See tähendab, et kõik ettevõtted või veebisaidid maailmas, mis töötlevad Brasiilias elava üksikisiku andmeid, peavad järgima LGPD-d. Seaduse ekstraterritoriaalne olemus muudab selle sama oluliseks kui GDPR, kuna kõik riiklikud või rahvusvahelised ettevõtted, nii suured kui väikesed, peavad järgima samu standardeid ja karistusi. LGPD alusel.

Tarbijate õigused LGPD alusel

LGPD koosneb 10 peatükist, milles on kokku 65 artiklit. Nendes artiklites määratletakse LGPDga hõlmatud õigused ja sätted. Kuigi seaduse täielik käsitlemine pole siin võimalik, on LGPD alla kuuluvate inimeste peamised õigused järgmised:

Selgesõnaline nõusolek: andmesubjekti tuleb selgelt teavitada isikuandmete kogumise põhjusest ja kasutamise eesmärgist.

Parandus: omanik saab taotleda oma andmete muutmist (parandusi, uuendamist ja kustutamist).

Õigus olla unustatud: olenemata põhjusest saab valdaja teatud süsteemis nõuda oma andmete kustutamist.

Kaasaskantavus: omanikul peab olema võimalik eksportida oma isikuandmeid ühest süsteemist teise.

Õigus selgitustele:  omanik võib küsida teavet kõigi algoritmide kohta, mis tema andmetega suhtlevad, et mõista näiteks, miks pangalaenu andmisest keelduti.

Kuidas see erineb GDPR-ist?

GDPR-il ja LGPD-l on palju sarnasusi, kuid need erinevad ka mitmel olulisel viisil:

• Tundlike andmete töötlemine: Euroopa seadus keelab delikaatsete andmete töötlemise, kehtestades keelust mõned erandid. Kaks neist ei sisaldunud Brasiilia seadustes: (i) andmed, mille omanik on avalikustanud; (ii) Andmed, mis on seotud sihtasutuste, ühenduste või mittetulundusühingute praeguste või endiste liikmetega ja mida töödeldakse seaduslikel eesmärkidel ja asjakohaste turvameetmetega.
• Otseturundus: Brasiilia seadused kohaldavad isikuandmete valdajate suhtes nõusoleku, läbipaistvuse ja vastulause esitamise üldreegleid. Eurooplane seevastu esitab konkreetseid prognoose. Andmesubjektil on igal ajal õigus esitada vastuväiteid oma isikuandmete töötlemisele, mis hõlmab profiilide määratlemist ulatuses, mis on seotud otseturundusega.
• Vastutava töötleja ja operaatori vaheline suhe: kuigi Brasiilia seaduste kohaselt peab operaator andmetöötlust teostama vastutava töötleja juhiste kohaselt, ei nõuta lepinguga vormistamist. Euroopa seadus omakorda sätestab, et operaatori poolt teostatav andmetöötlus peab olema reguleeritud lepingu või muu õigusaktiga, mis seob vastutava töötleja käitlejaga.
• Mõjuaruanne:  Brasiilia seadustes ei ole selgeks tehtud, millistel juhtudel peab vastutav töötleja koostama mõjuaruande isikuandmete kaitse kohta, delegeerides selle küsimuse käsitlemise hilisemasse regulatsiooni. Euroopa seadus näeb ette, et vastutav töötleja peab esitama mõjuaruande isikuandmete kaitse kohta, kui töötlemisega kaasneb suur oht üksikisikute õigustele ja vabadusele. GDPR annab ka üksikasjaliku kirjelduse selle kohta, mida see aruanne peaks hõlmama.
• Rahvusvaheline andmeedastus: Brasiilia seadused lubavad edastada isikuandmeid riikidele või rahvusvahelistele asutustele, mis tagavad isikuandmete piisava kaitse. Seadus on selle protseduuri ja piisavateks elementide osas lühike. LGPD kehtestab ainult üldised juhised, mida riiklikud ametiasutused peavad järgima. Euroopa regulatsioonid väidavad, et rahvusvahelist andmete edastamist saab teostada konkreetsest loast sõltumatult, kui Euroopa Komisjon tunnistab, et kolmas riik tagab piisava kaitsetaseme. Vastasel korral kehtivad rahvusvahelisele üleandmisele piisavad tagatised, mille peab tagama agent. Kõik protseduurid ja elemendid, mida komisjon ülekande loa andmisel arvesse võtab, on kirjeldatud GDPR-is.
• Korrakaitsejärelevalve :  LGPD algatanud seaduseelnõu nägi ette riikliku andmekaitseameti loomise, järgides Euroopa määrusega sama joont. Selle loomist ja vastutust ette näinud sätted on aga saanud veto, kuna need toovad seadusandlikus protsessis kaasa põhiseadusega vastuolu. Euroopa määrustega luuakse Euroopa andmekaitsekomitee, mis vastutab GDPR-i järjepideva kohaldamise eest.

Kui GDPR jõustus, pidid VPN-i pakkujad oma privaatsuspoliitikat uuendama, et need vastaksid uute õigusaktide sätetele. Huvitav on näha, kas VPN-tööstus kohtleb LGPD-d sama lugupidavalt.

Kui tõhus see saab olema?

LGPD reguleerimise ja jõustamise eest vastutav asutus on riiklik andmekaitseamet (ANPD). Ühtegi organi liiget pole aga veel määratud. Veelgi enam, tõsiasi, et ANPD on valitsusega tihedalt seotud, tekitab tõsist muret seaduse õiglase jõustamise pärast.

Brasiilias on peamised reguleerivad asutused riigi omanduses. Selle tagajärjeks on nende organite politiseerumine ja sellest tulenevalt korruptsioon. Seetõttu ei ole mõjuvõimsate ettevõtete eelistamine ja valitsuse ebaõiglane sekkumine, mis edendab nende poliitilisi huve.

Asjaolu, et GDPR ise ei ole pärast kaheaastast möödumist suures osas suutnud ettevõtteid vastutusele võtta, on väga heidutav. Veebibrauserite ettevõte Brave esitas Euroopa Komisjonile kaebuse, milles nendib, et Euroopa valitsused ei ole andnud andmekaitseasutustele oma ülesannete täitmiseks vajalikke ressursse.

Seetõttu on kartused, et LGPD-d tabab GDPR-iga sama saatus, täiesti põhjendatud. Samal ajal on meil aga positiivseid näiteid Brasiilias suurepäraselt töötavatest riigiasutustest, näiteks PROCON, mis tegutseb tarbijate õiguste kaitsel.

Brasiilia on riik, mis on tuntud oma seaduste poolest, mis töötavad ja teised, mis mitte. Varasemate kogemuste põhjal ei ole usk, et seadus täidab osaliselt oma rolli, liiga kaugeleulatuv. Valitsus tunneb huvi saada raha trahvide kaudu, mida kohaldatakse ettevõtetele, kes ei järgi üldise andmekaitseseadusega kehtestatud parameetreid.

Lõpetuseks tuleb märkida, et ettevõtted, kes tunnevad end ebaseaduslike või kuritahtlike trahvide tõttu ebaõiglaselt, hakkavad seda küsimust kindlasti laialdaselt kohtumõistma. Jääb teada, kas Brasiilia kohtusüsteem on tehniliselt suuteline selliseid konflikte lahendama.