מה שאתה צריך לדעת על LGPD
אינדקס
ב-26 באוגוסט, בהצבעה היסטורית ומפתיעה, הסנאט הפדרלי דחה את הארכת חוק הגנת מידע כללי ("LGPD") שאושר בעבר על ידי לשכת הנבחרים.
ב-25 באוגוסט הצביעה לשכת הצירים על אמצעי זמני מס' 959/2020 ("מ"פ 959") על מנת לקבוע כי GDPR אמור להיכנס לתוקף רק מה-31 בדצמבר 2020.
אולם כדי שתאריך חדש זה יאושר, היה תלוי ועומד אישורו על ידי הסנאט הפדרלי. לאחר תפנית חקיקתית בלתי צפויה, הסנאט הבין כי הדיון בכניסה לתוקף של ה-LGPD יפגע בכך שכבר טופלו בחוק מס' 14.010/2020. בדרך זו, ההצעה של לשכת הצירים לכניסת ה-LGPD לתוקף ב-31 בדצמבר 2020 נדחתה על ידי הסנאט, מה שאומר שה-LGPD ייכנס לתוקף מהרגע הנוכחי.
עם זאת, בהערת הבהרה שפורסמה באתר הרשמי שלו, הסנאט הפדרלי קבע כי ה-LGPD לא ייכנס לתוקף באופן מיידי, אלא רק לאחר סנקציה נשיאותית או וטו, שחייבים להתרחש עד 17 בספטמבר 2020.
למרות הארכת מועד התוקף של ה GDPR לא אושר, סעיפי החוק הקשורים לעונשים וקנסות ייכנסו לתוקף רק ב-1 באוגוסט 2021, על פי חוק מס' 14.010/2020.
אבל אחרי הכל, למה אנחנו מדברים על תהליך החקיקה באתר טכנולוגי? מה זה LGPD? ולמה מדברים עליה כל כך הרבה לאחרונה?
מהו חוק הגנת המידע הכללי (LGPD)?
A חוק הגנת מידע כללי היה נערך במקור ב-14 באוגוסט 2018, ומאז עבר מספר שינויים, בעיקר ביחס למועד כניסתו לתוקף. זהו החוק הברזילאי הראשון שעוסק במיוחד בהגנה על נתונים אישיים, ושואב השראה חזקה מהתקנת האיחוד האירופי שנמצאת כיום בתוקף (ה"GDPR" המפורסם כל כך - ומרגולצית הנתונים הכללית).
עד אז, לברזיל היו הוראות ספציפיות בחוקים שונים (כגון קוד הגנת הצרכן, החוקה הפדרלית ומסגרת זכויות האזרח לאינטרנט) שעסקו, במידה מסוימת, בנושאים הקשורים לפרטיות ולעיבוד נתונים אישיים. עם זאת, לא היה חוק כללי ספציפי לטיפול בסוגיה חשובה זו, במיוחד בהתחשב בתפקיד היסודי שממלא מידע אישי בעסקים שונים ובחברה שלנו.
לפיכך, ה-LGPD בא להסדיר נושא זה ולהבטיח את ההגנה על הנתונים האישיים של יחידים. ראוי להזכיר כי החוק נוגע רק לנתונים/מידע המזהים אנשים טבעיים (יחידים). כלומר, מידע על החברה, גם אם חסוי (כגון סודות עסקיים, למשל), אינו חלק מהיקף היישום של ה-LGPD.
כאשר אנו מדברים על נתונים אישיים המוגנים על ידי LGPD, מקובל לחשוב על מערכת היחסים האופיינית של צרכן שהנתונים שלו נאספים על ידי מסחר אלקטרוני, או על ידי אפליקציה, רשת חברתית או אתר אינטרנט. האמת היא שהחוק לא חל רק על נתונים אישיים שנאספים בסביבה הדיגיטלית, אלא גם בסוגי יחסים אחרים, כמו עבודה למשל. הנתונים שחברה אוספת ושומרת ביחס לעובדיה כפופים גם להוראות ה-LGPD.
ה-LGPD מביא שורה של עקרונות שחייבים להישמר על ידי חברות וגופים ציבוריים המשתמשים בנתונים אישיים, כגון שקיפות, אבטחה, אי-אפליה, גישה חופשית, הלימות ותכלית.
אם אתה, הקורא, אדם שומר מצוות, בוודאי שמת לב שכמה חברות מעדכנות את תנאי השימוש ומדיניות הפרטיות שלהן, ואף כוללות פונקציונליות חדשות בשירותים הקשורים לבקרות והודעות על פרטיות. שינויים אלו הם שיקוף ונובעים בדיוק מהצורך בהתאמה לו חברות אלו כפופות עקב ה-LGPD.
אחד החידושים הגדולים שהביא החוק הוא ההגדרה הברורה של ההשערות המאפשרות עיבוד נתונים אישיים, המכונים "בסיסים משפטיים". המשמעות היא שכדי לעשות שימוש בנתונים אישיים, יש צורך להשתלב באחת מעשר האפשרויות הבאות:
- בהסכמת נושא המידע;
- למילוי התחייבות משפטית;
- על ידי המינהל הציבורי, לטיפול ושימוש משותף בנתונים הדרושים לביצוע מדיניות ציבורית;
- לבצע מחקרים על ידי גוף מחקר;
- לקיים חוזה שהנבדק צד לו;
- למימוש קבוע של זכויות בהליכים שיפוטיים, מנהליים או בוררות;
- להגנה על חיי המחזיק או של צד שלישי;
- להגנה על הבריאות, אך ורק, בהליך המבוצע על ידי אנשי מקצוע בתחום הבריאות, שירותי הבריאות או רשות הבריאות;
- כדי לעמוד באינטרסים הלגיטימיים של מבקר הנתונים או של צד שלישי; אוֹ
- להגנת אשראי.
ראוי להזכיר כי לא כל האפשרויות הנ"ל חלות כאשר אנו מדברים על עיבוד נתונים אישיים רגישים. נתונים אישיים רגישים הם נתונים על מוצא גזעי או אתני, הרשעה דתית, דעה פוליטית, חברות באיגוד או ארגון בעלי אופי דתי, פילוסופי או פוליטי, בריאות או חיי מין, נתונים גנטיים או ביומטריים. דווקא ביחס לנתונים אלו, כמו גם ביחס לנתוני ילדים ובני נוער, החוק מצומצם וקפדני יותר לגבי אפשרויות הטיפול בהם.
אם כבר מדברים על טיפול, חשוב להבהיר מה משמעות המונח הזה. לפי LGPD, "עיבוד" הוא כל פעולה המתבצעת עם נתונים אישיים, כגון איסוף, ייצור, קליטה, סיווג, שימוש, גישה, שכפול, שידור, הפצה, עיבוד, ארכיון, אחסון, חיסול, הערכה או בקרה של מידע, שינוי, תקשורת, העברה, הפצה או מיצוי. כלומר, בעצם כל מה שנעשה עם נתונים אישיים נחשב לטיפול, ולא רק השימוש בו בפועל.
התחייבויות של חברות תחת LGPD
A GDPR הוא גם מטיל כמה חובות שחברות חייבות ליישם אותן ביחס לעיבוד נתונים אישיים. להלן כמה מהחובות העיקריות הללו:
- שמור רישום של פעולות עיבוד נתונים אישיים - פירוש הדבר שחברות צריכות לשמור בקרה (מעין מלאי) של הפעילויות שלהן הקשורות לנתונים אישיים.
- ציין אדם אחראי (מוכר יותר בשם "DPO" - קצין הגנת מידע) אשר יהיה אחראי לפעול כערוץ תקשורת עם נושאי המידע והרשות הלאומית להגנת מידע ("ANPD").
- לאמץ אמצעי אבטחה המסוגלים להגן על נתונים אישיים מפני גישה בלתי מורשית ומצבים מקריים או בלתי חוקיים של הרס, אובדן, שינוי, תקשורת או כל צורה של טיפול בלתי הולם או בלתי חוקי.
- דווח ל-ANPD ולנושא הנתונים על התרחשות של אירוע אבטחה שעלול לגרור סיכון או נזק משמעותי.
זכויות המשתמשים לגבי נתונים אישיים
מנקודת מבט של הזכויות שהחוק מבטיח לנושאי המידע, ניתן לציין את הדברים הבאים:
- אישור על קיומו של טיפול;
- גישה למידע;
- תיקון של נתונים חלקיים, לא מדויקים או מיושנים;
- אנונימיזציה, חסימה או מחיקה של נתונים מיותרים, מוגזמים או מטופלים בניגוד להוראות החוק;
- ניידות נתונים לספק שירות או מוצר אחר;
- מחיקת נתונים אישיים שעובדו בהסכמת המחזיק;
- מידע מגופים ציבוריים ופרטיים שעמם ביצע הבקר שימוש משותף בנתונים;
- מידע על אפשרות אי מתן הסכמה והשלכות הסירוב;
- ביטול הסכמה.
החוק מטיל עונשים במקרה של הפרת הוראותיו, שיכולים לנוע בין אזהרה לקנס שיכול להגיע עד 50.000.000,00 בר"ל, או אפילו איסור חלקי או מוחלט על ביצוע פעולות הקשורות לעיבוד נתונים. כפי שצוין לעיל, עונשים אלו יתחילו לחול רק מה-1 באוגוסט 2021.
תפקידה של הרשות הלאומית להגנת מידע
ביחס לרשות הלאומית להגנת מידע ("ANPD”), שעדיין לא הוקמה, ה צו מס' 10.474 מה-26 באוגוסט, אשר מאשר את המבנה הגדודי שלו (כגוף אינטגרלי של נשיאות הרפובליקה) ואת הטבלה המדגימה של עמדותיה בוועדה ובתפקידי אמון, ארגון מחדש של תפקידים בוועדה של קבוצת הייעוץ הגבוהה והייעוץ (DAS) ו פונקציות מוזמנות של הזרוע המבצעת (FCPE), של מזכירות הניהול של המזכירות המיוחדת לדה-ביורוקרטיזציה, ניהול וממשל דיגיטלי של משרד הכלכלה עבור ה-ANPD. צו זה ייכנס לתוקף בתאריך פרסום מינויו של המנהל-נשיא של ה-ANPD בעיתון הרשמי של האיחוד, שטרם התרחש.
A ANPD חיוני שה-LGPD "תעבוד" בצורה הטובה ביותר, שכן רשות כזו תהיה אחראית, בין היתר, על הבטחת ההגנה על נתונים אישיים, הכנת הנחיות למדיניות הלאומית להגנה על נתונים אישיים ופרטיות, בדיקה ולהפעיל סנקציות, לקדם מודעות בקרב האוכלוסייה לנורמות ומדיניות ציבורית בנושא הגנה על נתונים אישיים ואמצעי אבטחה.
ללא קשר לתוקף המלא של ה-LGPD ותפקוד יעיל של ה-ANPD, חשוב להדגיש שמספר רשויות, כמו משרדי ציבור, SENACON, פרוקונס ואפילו שופטים, כבר משתמשות ב-LGPD כבסיס להנחות את חקירותיהם. החלטות. לכן, חשוב שחברות יהיו קשובות ומוכנות לעמוד בהוראות החוק.
מאמר זה נכתב על ידי קרלה דו קוטו הלו בטילאנה, שותף בתחום הטכנולוגיה, אבטחת הסייבר ופרטיות הנתונים של TozziniFreire Advogados.
גלה עוד על Showmetech
הירשם כדי לקבל את החדשות האחרונות שלנו בדוא"ל.
