Undang-Undang Umum Perlindungan Data Brasil

Dalam upaya terbarunya untuk mewujudkan ketertiban dan kemajuan, Brasil mengesahkan Lei Geral de Proteção de Dados (LGPD), atau Undang-Undang Umum Perlindungan Data Pribadi. Undang-undang ini bertujuan untuk melindungi informasi pribadi dan privasi warga Brasil dengan memberikan panduan tentang bagaimana data tersebut dapat diproses dan dikumpulkan oleh organisasi. (Catatan: Hanya dengan izin.) Undang-undang ini membantu menstandardisasi dan memperjelas lebih dari 40 peraturan sebelumnya (yang terkadang saling bertentangan) yang mengatur data pribadi, dan berlaku bagi bisnis serta organisasi baik dari Brasil maupun internasional.

Istilah penting dalam LGPD Brasil 

• Data Pribadi: Segala informasi yang mengidentifikasi atau bersifat spesifik terhadap seseorang, seperti nama depan, nama belakang, nama panggilan, nomor identitas, dan sebagainya.
• Pemilik Data atau Subjek Data: Individu yang menjadi subjek dari data pribadi tersebut.
• Pemrosesan Data: Segala operasi yang dilakukan menggunakan data pribadi, seperti mengumpulkan, menyimpan, menggunakan, atau mengungkapkan informasi.
• Pengendali Data: Pihak yang bertanggung jawab atas keputusan tentang bagaimana data pribadi digunakan atau diproses. Pihak ini pada akhirnya bertanggung jawab atas kepatuhan atau kegagalan perusahaannya dalam memenuhi standar LGPD.
• Persetujuan: izin atau kesepakatan yang diberikan secara bebas dan dengan pemahaman penuh. Dalam hal ini, izin dari pemilik data agar informasinya diproses untuk tujuan tertentu.
• Autoridade Nacional de Proteção de Dados (ANPD) atau Otoritas Nasional Perlindungan Data: Lembaga pemerintah federal Brasil yang bertugas mengawasi regulasi, kepatuhan, dan penegakan LGPD.
• Petugas Pelindungan Data: Orang yang mewakili organisasi pemroses data pribadi dan bertanggung jawab atas komunikasi antara bisnisnya, ANPD, dan pemilik data. Mereka biasanya memiliki latar belakang di bidang hukum atau TI.

Apa yang dilakukan LGPD 

LGPD mewajibkan Pengendali Data untuk menerapkan praktik teknis dan administratif yang mengatur bagaimana dan mengapa data pribadi dapat diproses (secara elektronik maupun fisik), serta melindungi data pribadi yang mereka proses dari akses tanpa izin, kehilangan, perubahan, dan/atau kebocoran.

Sepuluh hak subjek data

LGPD Brasil menetapkan sepuluh hak subjek data, yang menjadi dasar bagi seluruh persyaratan pemrosesan data yang dikenakan kepada bisnis atau organisasi:

1. Hak untuk memastikan bahwa data mereka telah diproses;
2. Hak untuk mengakses data mereka;
3. Hak untuk memperbaiki data yang tidak lengkap, tidak akurat, atau sudah tidak berlaku;
4. Hak untuk menganonimkan, memblokir, atau menghapus data yang tidak diperlukan atau berlebihan, atau data yang diproses tidak sesuai dengan LGPD;
5. Hak untuk memindahkan data mereka ke penyedia layanan atau produk lain;
6. Hak untuk menghapus data pribadi yang diproses berdasarkan persetujuan mereka;
7. Hak untuk mendapatkan informasi tentang pihak ketiga publik maupun swasta yang telah menerima data mereka dari pengendali data;
8. Hak untuk mendapatkan informasi tentang apa yang terjadi jika mereka menolak memberikan persetujuan;
9. Hak untuk menarik kembali persetujuan mereka.
10. Hak atas portabilitas data, yang memungkinkan pemilik data meminta salinan lengkap data mereka dalam format yang dapat digunakan oleh pesaing.

Persyaratan bagi pengendali data/organisasi

LGPD mewajibkan pengendali data/organisasi untuk:

• Menunjuk Petugas Pelindungan Data untuk mengelola permintaan atau keluhan dari pelanggan, dengan identitas dan informasi kontak yang jelas dan tersedia untuk publik, sebaiknya di situs web mereka;
• Menyimpan catatan atas operasi pemrosesan data yang mereka lakukan;
• Menginformasikan, memperbaiki, menghapus, menganonimkan, atau memindahkan data pribadi sesuai permintaan subjek data;
• Menghapus data setelah hubungan berakhir;
• Menerapkan langkah-langkah administratif dan keamanan untuk melindungi keamanan data dari pencurian, akses tanpa izin, kecelakaan, atau masalah lainnya;
• Melaporkan setiap pelanggaran data kepada subjek data, otoritas setempat, dan ANPD.

Terdapat sepuluh dasar hukum yang memungkinkan perusahaan memproses data pribadi secara legal. Data dapat diproses:

1. Untuk tujuan yang sah, spesifik, dan jelas yang telah disetujui oleh subjek data;
2. Untuk memenuhi kewajiban hukum atau regulasi;
3. Untuk menjalankan kebijakan publik berdasarkan kontrak hukum, perjanjian, atau hal serupa;
4. Untuk menjalankan kontrak atas permintaan subjek data (seperti pembelian atau transaksi);
5. Untuk melakukan penelitian, dengan memastikan sebisa mungkin bahwa data pribadi telah dianonimkan;
6. Untuk pelaksanaan hak dalam proses yudisial, administratif, atau arbitrase;
7. Untuk melindungi kehidupan atau keselamatan fisik subjek data atau pihak ketiga;
8. Untuk melindungi kesehatan, sebagaimana dilakukan oleh tenaga kesehatan atau lembaga kesehatan;
9. Bila diperlukan untuk memenuhi kepentingan sah dari pengendali data atau pihak ketiga;
10. Untuk perlindungan kredit.

Apa yang dilakukan ANPD 

Autoridade Nacional de Proteção de Dados (ANPD), atau Otoritas Nasional Perlindungan Data, adalah lembaga pemerintah federal Brasil yang akan dibentuk untuk mengawasi regulasi, kepatuhan, dan penegakan LGPD. Meskipun berada di bawah arahan presiden, ANPD tetap memiliki kewenangan untuk mengambil keputusan. Lembaga ini akan terdiri dari dewan penasihat beranggotakan 28 orang yang terbagi ke dalam beberapa kelompok: Dewan Direksi, Dewan Nasional, Kantor Urusan Internal, dan unit-unit khusus lainnya untuk tugas hukum dan penegakan.

Mereka akan bertanggung jawab untuk:

• Memberikan interpretasi dan panduan praktis tentang cara menerapkan LGPD;
• Menyelidiki dan mengaudit keluhan atau pelanggaran yang dilaporkan, serta bekerja sama dengan Petugas Pelindungan Data untuk menyelesaikannya;
• Menjatuhkan sanksi atas pelanggaran pemrosesan data;
• Melakukan studi, debat publik, dan dengar pendapat mengenai pelindungan data pribadi.

Kapan LGPD mulai berlaku 

Undang-undang ini mulai berlaku pada 1 Januari 2021.

Sanksi atas pelanggaran kepatuhan LGPD ditunda hingga 1 Agustus 2021.

Rekomendasi 

• Yang pertama dan terpenting, menunggu sampai menit terakhir untuk mematuhi peraturan bisa menjadi kesalahan yang mahal. Ketidakpatuhan dapat mengakibatkan denda hingga 2% dari pendapatan mereka di Brasil untuk tahun fiskal sebelumnya, dengan maksimum 50 juta reais Brasil per pelanggaran (sekitar 12,9 juta USD atau 11,2 juta EUR.)
• Tunjuk Petugas Pelindungan Data untuk memantau pemrosesan dan keamanan data, dan publikasikan nama serta informasi kontak mereka secara jelas di situs web Anda.
• Selalu minta persetujuan. Bersikaplah jelas dan transparan tentang bagaimana dan mengapa data pelanggan diproses, serta permudah pelanggan untuk memilih ikut serta atau menolak.
• Simpan data hanya selama diperlukan untuk memproses transaksi, tidak lebih.
• Pastikan Anda mendokumentasikan seluruh proses pemrosesan data: bagaimana Anda mengumpulkan, menyimpan, menggunakan, dan membagikan data pribadi? Anda mungkin diminta untuk menunjukkan dokumentasi tersebut, jadi sebaiknya sudah dipersiapkan sejak awal.
• Jadwalkan audit secara berkala. Kebocoran data sangat merugikan, baik dari segi biaya maupun reputasi. Dengan tetap waspada, Anda dapat mendeteksi kesalahan atau pihak yang berniat jahat lebih cepat, dan bersikap proaktif selalu lebih baik daripada baru bertindak setelah ketahuan.

Info lebih lanjut 

• Situs web resmi LGPD

Pertanyaan yang sering diajukan