LGPD 巴西的重要術語
- 個人資料：識別或特定於個人的任何資訊，例如其姓名、姓氏、暱稱、身份證號碼等。
- 資料持有人或資料主體：個人資料所涉及的個人。
- 資料處理：使用個人資料進行的任何操作，例如收集、儲存、使用或揭露資訊。
- 資料控制人：負責決定如何使用或處理個人資料的人員。他們對公司是否滿足或未能滿足 LGPD 標準負最終責任。
- 同意：自由、知情的許可或協議。在這種情況下，資料持有人允許其資訊因特定目的而被處理。
- 國家資料保護局 (ANPD) 或國家資料保護部門：巴西聯邦政府的一個分支，負責監督 LGPD 的法規、合規和執行。
- 資料保護主任：代表處理個人資料的組織的人員，負責其業務、ANPD 和資料主體之間的溝通。他們通常具有法律或資訊技術背景。
LGPD 的作用
LGPD 要求資料控制人採取技術和行政措施，以規範如何以及為什麼可以處理個人資料（電子或實體），並保護其處理的個人資料免受未經授權的存取、遺失、更改和/或曝露。
資料主體的十項權利
巴西 LGPD 列述了資料主體的十項權利，這些權利是對企業或組織所有處理要求的基礎：
- 確認其資料已被處理的權利；
- 存取其資料的權利；
- 更正不完整、不準確或過時資料的權利；
- 匿名化、封鎖或刪除不必要或過度資料或未按照 LGPD 處理的資料的權利；
- 將其資料轉移到另一服務或產品提供商的權利；
- 刪除經其同意處理的個人資料的權利；
- 獲得有關控制人與其共享資料的公共和私人第三方資訊的權利；
- 獲得有關拒絕同意後果的資訊的權利；
- 撤回其同意的權利。
- 資料可攜帶性權利，允許持有人要求以競爭對手可使用的格式完整複製其資料。
資料控制人/組織的要求
LGPD 要求資料控制人/組織：
- 任免一名資料保護主任以管理身份和聯絡資訊為公開且清晰的客戶的請求或投訴，最好在其網站上；
- 保留他們進行的處理操作的記錄；
- 根據資料主體的請求告知、更正、刪除、匿名化或轉移個人資料；
- 關係終止後移除資料；
- 實施行政和安全措施以保護資料安全，防止盜竊、未經授權的存取、事故或其他問題；
- 向資料主體、當地主管部門和 ANPD 報告任何資料洩露。
有十個法律基礎公司可在其下合法處理個人資料。資料可以在以下情況下進行處理：
- 資料主體已同意的合法、具體和明確目的；
- 遵守法律或監管義務；
- 基於法律合約、協議或類似內容執行公共政策；
- 應資料主體要求執行合約（例如購買或交易）；
- 進行研究，並盡可能確保個人資料已被匿名化；
- 行使司法、行政或仲裁程序中的權利；
- 保護資料主體或第三方的生命或身體安全；
- 保護由衛生專業人士或衛生實體進行的健康；
- 必要時履行控制人或第三方的合法利益；
- 保護信用。
ANPD 的職責
國家資料保護局 (ANPD) 或國家資料保護部門是待成立的巴西聯邦政府分支，負責監督 LGPD 的法規、合規和執行。雖然受總統領導，但 ANPD 確實具有決策權。它將由 28 名成員組成的諮詢委員會組成，分為幾個小組：董事會、國家理事會、內部事務辦公室和其他法律和執法任務的專門單位。
他們將負責：
- 提供有關如何實施 LGPD 的解釋和實用指引；
- 調查和審計已報告的投訴或洩露，並與資料保護主任合作解決；
- 對資料處理違規行為施加制裁；
- 進行有關個人資料保護的研究、公開辯論和聽證會。
建議
- 首先，等到最後一刻才達到合規可能會造成代價高昂的錯誤。不合規可能導致罰款高達其在巴西的收入的 2%，以前一財政年度為準，每次違規最高 5,000 萬巴西雷亞爾（約 1,290 萬美元或 1,120 萬歐元）。
- 任免一名資料保護主任來監控資料處理和安全，並在您的網站上清晰發佈其姓名和聯絡資訊。
- 始終要求同意。明確透明地說明客戶資料如何以及為什麼被處理，並使選擇加入或退出變得容易。
- 只儲存處理交易所需的時間內的資料，不要更長時間。
- 確保記錄您的整個處理管道：您如何收集、儲存、使用和共享個人資料？您可能會被要求提出該文檔，因此最好提前準備好。
- 定期進行審計。資料洩露在資源和聲譽上的代價極大。保持警覺將使您能夠更快地發現錯誤或掠食者，而主動出擊看起來總是比被發現要好。
巴西的 LGPD 與 EU 的 GDPR 有何不同？
- GDPR 適用於不論其居住地或國籍的自然人；LGPD 未予指定。
- 資料保護主任：LGPD 的寬泛指引指出任何處理巴西居民資料的組織都將需要 DPO。相反，GDPR 對何時需要 DPO 有具體要求。
- 資料處理的法律基礎：在這兩項法律中，資料控制人必須有合法理由處理資料主體的資訊。雖然 GDPR 有六項標準，但 LGPD 有十項。
巴西通用資料保護法
瞭解巴西通用資料保護法 (LGPD)。為了進一步推進秩序與進步，巴西頒布了《Lei Geral de Proteção de Dados》(LGPD) 或《通用個人資料保護法》。該法律旨在保護巴西公民的個人資訊和隱私，為組織如何處理和收集該資料提供了指引。(提示：只能取得許可。) 它有助於標準化和澄清超過 40 項先前的（有時相互衝突的）個人資料監管法規，並適用於巴西和國際企業及組織。