Czy LGPD w Brazylii wypadnie lepiej niż RODO? Może nie

Europejskie RODO (ogólne rozporządzenie o ochronie danych) wprowadziło znaczenie przepisów dotyczących prywatności do świadomości publicznej na całym świecie. Zainspirowany rosnącymi obawami o prywatność Big Tech (Facebook, Google, Apple itp.) bezwstydnie naruszającymi prywatność użytkowników, projekt RODO wkrótce zainspirował inne kraje do przestrzegania własnych przepisów o ochronie danych. Stany Zjednoczone wprowadziły CCPA, Australia z poprawką dotyczącą prywatności, Japonia z poprawką do ustawy o ochronie danych osobowych, a także Tajlandia, Korea Południowa, Kanada i inne.

Najnowszym z takich przepisów inspirowanych RODO jest brazylijska ogólna ustawa o ochronie danych, Lei Geral de Proteção de Dados Pessoais (LGPD). Oczekuje się, że ustawa LGPD, która ma zostać wprowadzona w sierpniu 2020 r., ma na celu usprawnienie i ujednolicenie fragmentarycznego charakteru przepisów dotyczących prywatności w Brazylii, z około 40 takimi ustawami prawnymi, które regulują ochronę danych w tym kraju w sposób branżowy.

W tym artykule pokrótce przedstawiono główne punkty prawa, jego różnice w stosunku do RODO oraz kwestie dotyczące egzekwowania i zarządzania LGPD. Wiele z poniższych jest współautorem pana Leandro Chahde, brazylijskiego adwokata w Advogado Zona Norte, który jest bezpośrednio zaznajomiony z LGPD.

Do kogo ma zastosowanie ustawa LGPD?

Podobnie jak RODO, LGPD ma zastosowanie do każdej osoby znajdującej się w Brazylii, niezależnie od jej narodowości. Oznacza to, że każda firma lub witryna internetowa na świecie, która przetwarza dane osoby mieszkającej w Brazylii, musi przestrzegać LGPD. Eksterytorialny charakter prawa sprawia, że ​​jest ono tak samo ważne jak RODO, ponieważ wszystkie firmy, krajowe lub międzynarodowe, duże i małe, podlegają tym samym standardom i karom. na mocy LGPD.

Prawa konsumentów na mocy LGPD

LGPD składa się z 10 rozdziałów zawierających łącznie 65 artykułów. Artykuły te określają prawa i przepisy objęte LGPD. Chociaż pełne traktowanie prawa nie jest tutaj możliwe, następujące są kluczowe prawa osób objętych LGPD:

Wyraźna zgoda: osoba, której dane dotyczą, musi być wyraźnie poinformowana o przyczynie gromadzenia danych osobowych i celu ich wykorzystania.

Korekta: posiadacz może zażądać zmiany swoich danych (poprawki, uaktualnienia i usunięcia).

Prawo do bycia zapomnianym: bez względu na przyczynę, posiadacz może zażądać usunięcia swoich danych w ramach określonego systemu.

Możliwość przenoszenia: posiadacz musi mieć możliwość eksportowania swoich danych osobowych z jednego systemu do drugiego.

Prawo do wyjaśnienia:  posiadacz może zażądać informacji o wszystkich algorytmach, które wchodzą w interakcję z jego danymi, aby zrozumieć, na przykład, dlaczego odmówiono udzielenia kredytu bankowego.

Czym różni się od RODO?

RODO i LGPD mają wiele punktów wspólnych, ale różnią się także pod kilkoma ważnymi względami:

• Traktowanie danych wrażliwych: Prawo europejskie zabrania przetwarzania danych wrażliwych, ustanawiając pewne wyjątki od zakazu. Dwa z nich nie zostały uwzględnione w prawie brazylijskim: (i) Dane upublicznione przez posiadacza; (ii) Dane dotyczące obecnych lub byłych członków fundacji, stowarzyszeń lub organizacji non-profit, traktowane w uzasadnionych celach i przy zastosowaniu odpowiednich środków bezpieczeństwa.
• Marketing bezpośredni: Prawo brazylijskie stosuje ogólne zasady zgody, przejrzystości i prawa do sprzeciwu wobec posiadaczy danych osobowych. Z kolei Europejczyk przedstawia konkretne prognozy. Osoba, której dane dotyczą, ma prawo w dowolnym momencie wnieść sprzeciw wobec przetwarzania jej danych osobowych, w tym określania profili, w zakresie, w jakim jest to związane z marketingiem bezpośrednim.
• Relacja między administratorem a operatorem: Chociaż prawo brazylijskie stanowi, że operator musi przeprowadzać przetwarzanie danych zgodnie z instrukcjami administratora, nie ma wymogu sformalizowania poprzez umowę. Z kolei prawo europejskie stanowi, że przetwarzanie danych przez operatora musi być regulowane umową lub innym aktem prawnym łączącym administratora z operatorem.
• Raport Wpływu:  Prawo brazylijskie nie określiło jasno, w jakich sytuacjach administrator będzie zobowiązany do sporządzenia raportu wpływu na ochronę danych osobowych, delegując do późniejszego rozporządzenia postępowanie w tej sprawie. Prawo europejskie stanowi, że administrator musi przedstawić raport o wpływie na ochronę danych osobowych, gdy przetwarzanie wiąże się z wysokim ryzykiem naruszenia praw i wolności osób fizycznych. RODO zawiera również szczegółowy opis tego, co powinno zostać ujęte w tym raporcie.
• Międzynarodowy transfer danych: Prawo brazylijskie zezwala na przekazywanie danych osobowych do krajów lub organów międzynarodowych, które zapewniają odpowiednią ochronę danych osobowych. Prawo jest zwięzłe, jeśli chodzi o tę procedurę i elementy, które należy uznać za odpowiednie. LGPD ustanawia jedynie ogólne wytyczne, których mają przestrzegać władze krajowe. Przepisy europejskie twierdzą, że międzynarodowy transfer danych może odbywać się niezależnie od konkretnego upoważnienia, jeżeli Komisja Europejska uzna, że ​​państwo trzecie zapewnia odpowiedni poziom ochrony. Jeśli nie, transfer międzynarodowy będzie podlegał odpowiednim gwarancjom, które muszą być zagwarantowane przez Agenta. Wszystkie procedury i elementy, które są brane pod uwagę przez Komisję przy autoryzacji przeniesienia, zostały opisane w RODO.
• Nadzór nad przestrzeganiem prawa:  Projekt ustawy, który zapoczątkował LGPD, przewidywał utworzenie Krajowego Urzędu Ochrony Danych, zgodnie z tym samym tropem, co rozporządzenie europejskie. Zawetowano jednak przepisy, które przewidywały jego utworzenie i odpowiedzialność, gdyż niosą ze sobą niekonstytucyjność w procesie legislacyjnym. Przepisy europejskie ustanawiają utworzenie Europejskiego Komitetu Ochrony Danych, odpowiedzialnego za zapewnienie spójnego stosowania RODO.

Kiedy RODO weszło w życie, dostawcy VPN musieli zrewidować swoją politykę prywatności, aby dostosować ją do przepisów nowego ustawodawstwa. Ciekawe, czy LGPD będzie traktowane z takim samym szacunkiem przez branżę VPN.

Jak skuteczne będzie?

Organem odpowiedzialnym za regulacje i egzekwowanie LGPD jest Krajowy Urząd Ochrony Danych (ANPD). Jednak żaden z członków tego organu nie został jeszcze powołany. Ponadto fakt, że ANPD będzie ściśle powiązany z rządem, budzi poważne obawy co do uczciwego egzekwowania prawa.

W Brazylii główne agencje regulacyjne są własnością państwa. Konsekwencją tego jest upolitycznienie tych organów iw konsekwencji korupcja. Faworyzowanie potężnych firm i nieuczciwa ingerencja rządu, która wspiera ich polityczne interesy, nie jest zatem wykluczona.

Fakt, że samo RODO w dużej mierze nie pociągnęło firm do odpowiedzialności, po dwóch latach od jego uchwalenia, jest bardzo zniechęcające. Firma Brave, zajmująca się przeglądarką internetową, złożyła skargę do Komisji Europejskiej, twierdząc, że europejskie rządy nie zapewniły organom ochrony danych niezbędnych zasobów do wykonywania ich obowiązków.

W związku z tym obawy, że LGPD spotka taki sam los jak RODO, są całkowicie uzasadnione. Jednocześnie jednak mamy pozytywne przykłady agencji państwowych, które działają znakomicie w Brazylii, takich jak PROCON, który działa w obronie praw konsumentów.

Brazylia jest krajem znanym z tego, że prawo działa, a inne nie. Opierając się na wcześniejszych doświadczeniach, przekonanie, że prawo częściowo spełni swoją rolę, nie jest zbyt daleko idące. Rząd zainteresuje się pozyskiwaniem środków finansowych poprzez kary, które będą nakładane na firmy, które nie spełniają parametrów określonych przez Ogólne Prawo Ochrony Danych.

Wreszcie z pewnością dojdzie do wielkiego usprawiedliwienia sprawy przez firmy, które czują się niesprawiedliwie z powodu nielegalnych lub nadużycia grzywien. Pozostaje nam wiedzieć, czy brazylijskie sądownictwo będzie technicznie w stanie rozwiązać takie konflikty.