Legge generale sulla protezione dei dati del Brasile

Nel suo ultimo tentativo di ordine e progresso, il Brasile ha approvato la Lei Geral de Proteção de Dados (LGPD) o la Legge generale per la protezione dei dati personali. La legislazione è un modo per proteggere le informazioni personali e la privacy dei cittadini brasiliani fornendo linee guida su come tali dati possono essere elaborati e raccolti dalle organizzazioni. (Suggerimento: solo con autorizzazione.) Aiuta a standardizzare e chiarire oltre 40 diversi statuti precedenti (a volte contrastanti) che regolavano i dati personali e si applica ad aziende e organizzazioni sia brasiliane che internazionali.

Termini da conoscere per LGPD Brasile 

• Dati personali: qualsiasi informazione che identifica o è specifica di un individuo, come nome, cognome, soprannome, numero ID, ecc.
• Titolare o Interessato: l'individuo cui si riferiscono i dati personali.
• Elaborazione dei dati: qualsiasi operazione eseguita utilizzando dati personali, come la raccolta, l'archiviazione, l'utilizzo o la divulgazione di informazioni.
• Titolare del trattamento: il soggetto responsabile delle decisioni relative alle modalità di utilizzo o trattamento dei dati personali. In ultima analisi, sono responsabili dell'adempimento o del mancato rispetto degli standard LGPD da parte della propria azienda.
• Consenso: consenso o accordo libero e informato. In tal caso, il consenso del titolare al trattamento dei propri dati per una determinata finalità.
• Autoridade Nacional de Proteção de Dados (ANPD) o Autorità nazionale per la protezione dei dati: ramo del governo federale brasiliano incaricato di supervisionare la regolamentazione, la conformità e l'applicazione di LGPD.
• Responsabile della protezione dei dati: persona che rappresenta l'organizzazione che tratta dati personali, responsabile della comunicazione tra la sua azienda, l'ANPD e i titolari dei dati. In genere hanno una formazione in giurisprudenza o informatica.

Cosa fa LGPD 

Il LGPD richiede ai Titolari del trattamento di adottare pratiche tecniche e amministrative che regolano come e perché i dati personali possono essere trattati (elettronicamente o fisicamente) e di proteggere i dati personali trattati da accesso non autorizzato, perdita, alterazione e/o esposizione.

Dieci diritti degli interessati

La LGPD brasiliana delinea i dieci diritti degli interessati, che costituiscono il fondamento di tutti i requisiti di trattamento richiesti da imprese o organizzazioni:

1. Il diritto di confermare che i propri dati sono stati trattati;
2. Diritto di accesso ai propri dati;
3. Il diritto di rettificare dati incompleti, inesatti o non aggiornati;
4. Il diritto di anonimizzare, bloccare o cancellare dati non necessari o eccessivi o dati che non vengono trattati in conformità con LGPD;
5. Il diritto di trasferire i propri dati a un altro fornitore di servizi o prodotti;
6. Diritto alla cancellazione dei dati personali trattati con il proprio consenso;
7. Il diritto all'informazione sui terzi pubblici e privati ​​con i quali il titolare del trattamento ha condiviso i propri dati;
8. Il diritto all'informazione su cosa succede se negano il consenso;
9. Il diritto di revocare il proprio consenso.
10. Il diritto alla portabilità dei dati, consentendo al titolare di richiedere una copia integrale dei propri dati in un formato utilizzabile dai concorrenti.

Requisiti per i titolari/organizzazioni del trattamento

LGPD richiede ai titolari/organizzazioni di:

• Nominare un Responsabile della Protezione dei Dati per gestire le richieste o i reclami dei clienti la cui identità e informazioni di contatto sono pubbliche e chiare, preferibilmente sul loro sito web;
• tenere traccia dei trattamenti effettuati;
• Informare, correggere, cancellare, rendere anonimi o spostare i dati personali come richiesto dall'interessato;
• Rimuovere i dati una volta terminata la relazione;
• Mettere in atto misure amministrative e di sicurezza per proteggere la sicurezza dei dati da furti, accesso non autorizzato, incidenti o altri problemi;
• Comunicare eventuali violazioni dei dati agli interessati, alle autorità locali e all'ANPD.

Esistono dieci basi in base alle quali le aziende possono trattare legalmente i dati personali. I dati possono essere trattati:

1. Per scopi legittimi, determinati ed espliciti a cui l'interessato ha acconsentito;
2. Per adempiere ad un obbligo legale o regolamentare;
3. Per eseguire politiche pubbliche basate su contratti legali, accordi o simili;
4. Per eseguire un contratto su richiesta dell'interessato (come un acquisto o una transazione);
5. Per svolgere ricerche e garantire, ove possibile, che i dati personali siano stati resi anonimi;
6. Per l'esercizio dei diritti in procedimenti giudiziari, amministrativi o arbitrali;
7. Per la tutela della vita o dell'incolumità fisica dell'interessato o di terzi;
8. Per tutelare la salute, come svolta da operatori sanitari o enti sanitari;
9. Quando necessario per soddisfare gli interessi legittimi del titolare del trattamento o di terzi;
10. Per la tutela del credito.

Cosa fa l'ANPD 

L'Autoridade Nacional de Proteção de Dados (ANPD) o Autorità nazionale per la protezione dei dati è il ramo ancora in fase di costituzione del governo federale brasiliano incaricato di supervisionare la regolamentazione, la conformità e l'applicazione di LGPD. Pur essendo sotto la direzione del presidente, l'ANPD ha poteri decisionali. Sarà composto da un comitato consultivo di 28 membri suddiviso in diversi gruppi: il consiglio di amministrazione, il consiglio nazionale, un ufficio per gli affari interni e altre unità specializzate per compiti legali e di applicazione della legge.

Saranno responsabili di:

• Fornire interpretazioni e linee guida pratiche su come implementare LGPD;
• Indagare e verificare i reclami o le violazioni segnalate e collaborare con il responsabile della protezione dei dati su una risoluzione;
• Emettere sanzioni per violazioni del trattamento dei dati;
• Condurre studi, dibattiti pubblici e audizioni sulla protezione dei dati personali.

Quando è entrato in vigore il LGPD 

La legge entrerà in vigore il 1° gennaio 2021.

LGPD Le sanzioni per violazione della conformità sono state rinviate al 1 agosto 2021.

Consigli 

• Innanzitutto, aspettare fino all'ultimo minuto per conformarsi potrebbe essere un errore costoso. La non conformità potrebbe comportare sanzioni fino al 2% delle entrate in Brasile, per l'anno fiscale precedente, fino a un massimo di 50 milioni di reais brasiliani per infrazione (circa 12,9 milioni di dollari o 11,2 milioni di euro).
• Nominare un responsabile della protezione dei dati per monitorare l'elaborazione e la sicurezza dei dati e pubblicare chiaramente il suo nome e le informazioni di contatto sul tuo sito web.
• Chiedere sempre il consenso. Sii chiaro e trasparente su come e perché i dati dei clienti vengono elaborati e semplifica l'attivazione o la disattivazione.
• Memorizza i dati solo per il tempo necessario all'elaborazione di una transazione e non oltre.
• Assicurati di documentare l'intera pipeline di elaborazione: come raccogli, archivi, utilizzi e condividi i dati personali? Potresti essere chiamato a presentare quella documentazione, quindi meglio averla preparata.
• Pianificare controlli regolari. Le fughe di dati costano enormemente in termini di risorse e reputazione. Essere all'erta ti consentirà di catturare errori o predatori più velocemente, ed essere proattivo sembra sempre meglio che farsi catturare.

Maggiori informazioni 

• Sito ufficiale LGPD

Domande frequenti