LGPD: Η νομοθεσία της Βραζιλίας για τα δεδομένα

1) Ποιος εφαρμόζει την LGPD και ποιος είναι ποιος

Η LGPD εφαρμόζεται στην επεξεργασία δεδομένων προσωπικού χαρακτήρα (PD) που διενεργείται στη Βραζιλία, με στόχο τους κατοίκους της Βραζιλίας ή σε σχέση με την προσφορά αγαθών/υπηρεσιών και την παρακολούθηση της συμπεριφοράς στην επικράτειά της.

• Ο ελεγκτής καθορίζει τους στόχους και τα μέσα επεξεργασίας.
• Operador-Procedures the PD εξ ονόματος του ελεγκτή.
• Encarregado (ΥΠΔ): επικοινωνία προστασίας δεδομένων· Η οδηγία ANPD μπορεί να απαλλάσσει τις ΜΜΕ από την υποχρεωτική εκχώρηση, αλλά για το iGaming/fintech συνήθως αποδίδεται.

2) Αρχές επεξεργασίας (πυρήνας LGPD)

Καθορισμός στόχων και συμβατότητα στόχων

Αναγκαιότητα και ελαχιστοποίηση

Διαφάνεια και μη διακριτική μεταχείριση

Ποιότητα δεδομένων (ακρίβεια, συνάφεια)

Ασφάλεια και πρόληψη ζημιών

Λογοδοσία (απόδειξη συμμόρφωσης)

3) Νομικές βάσεις

4) Ειδικές κατηγορίες και παιδιά

Ευαίσθητα δεδομένα: υγεία, βιομετρικά στοιχεία, θρησκεία, πολιτικές απόψεις κ.λπ. - απαιτούν ξεχωριστή βάση και ενισχυμένα μέτρα.
Παιδιά και έφηβοι: για <13 - συγκατάθεση του γονέα/κηδεμόνα. επεξεργασία αποκλειστικά προς το συμφέρον τους, χωρίς παρεμβατική διαμόρφωση προφίλ.

5) Δικαιώματα των συμμετεχόντων (πρότυπο πράξεων)

Επιβεβαίωση της επεξεργασίας και της πρόσβασης στα δεδομένα

Διόρθωση ανακριβειών

Ανωνυμοποίηση/εμπλοκή/διαγραφή περιττών/παράνομα επεξεργασμένων δεδομένων

Ανεκτικότητα (σε άλλον πάροχο)

Πληροφορίες σχετικά με τους αποδέκτες, τους στόχους και τις συνέπειες της αποτυχίας

Η ανάκληση της συγκατάθεσης είναι εξίσου εύκολη με την παροχή

Αίτηση επανεξέτασης αυτοματοποιημένων αποφάσεων που επηρεάζουν τα συμφέροντα του υποκειμένου

Χρονοδιάγραμμα: Απάντηση χωρίς αδικαιολόγητη καθυστέρηση, διατήρηση ημερολογίου αιτήσεων (DSR) και επαλήθευση του αιτούντος.

6) Ασφάλεια και συμβάντα

Εφαρμογή οργανωτικών και τεχνικών μέτρων: κρυπτογράφηση, RBAC/ABAC, DLP, καταγραφές, αρχεία WORM, δοκιμές ανάκτησης.
Σε περίπτωση συμβάντος με κίνδυνο βλάβης των υποκειμένων, κατάλληλη κοινοποίηση στην οδηγία ANPD και στα υποκείμενα (περιλαμβάνει τη φύση του συμβάντος, τις κατηγορίες δεδομένων, τα μέτρα που ελήφθησαν). Τα χρονοδιαγράμματα/μορφότυποι επικεντρώνονται στις συστάσεις σχετικά με τον κίνδυνο και την ΟΕΑΑ.

7) Διασυνοριακές διαβιβάσεις

• Επάρκεια (αναγνωρισμένες από την ANPD χώρες/οργανισμοί)
• Συμβατικά μέσα (τυποποιημένες ρήτρες, εταιρικοί κανόνες)
• Πιστοποίηση/εκτύπωση συμμόρφωσης
• Ρητή συγκατάθεση του συμμετέχοντος όταν ενδείκνυται
• Άλλοι λόγοι LGPD (εκτέλεση σύμβασης, προστασία ζωής κ.λπ.)
• Πρακτική: κρυπτογράφηση πριν τη μετάδοση, διαχωρισμός κλειδιών, ψευδωνυμοποίηση και ελαχιστοποίηση πεδίου.

8) RIPD (Βραζιλιάνικη DPIA) και τεκμηρίωση

1. Περιγραφή των πράξεων 2) λόγοι και αναγκαιότητα· 3) κίνδυνοι για τα δικαιώματα/τις ελευθερίες· 4) μέτρα μετριασμού· 5) υπολειπόμενος κίνδυνος και σχέδιο.

Να τηρείται επίσης μητρώο δραστηριοτήτων, πολιτική προστασίας της ιδιωτικής ζωής, δημόσιες κοινοποιήσεις, μητρώο συμβάντων, μητρώο μεταβιβάσεων στο εξωτερικό.

9) Cookies/SDK και μάρκετινγκ

πανό συγκατάθεσης με κατανοητές κατηγορίες (υποχρεωτική/λειτουργική/αναλυτική/εμπορία).
Στόχοι εγγράφων και διάρκεια ζωής· να σέβεται την απόρριψη/ανάκληση και να μην προβάλλει παιδιά.
Η ανάλυση/συγκέντρωση εξυπηρετητή είναι προτιμότερη από το άνοιγμα εικονοστοιχείων. να περιορίζουν την «κοινή χρήση» με τρίτους χωρίς αιτιολόγηση.

10) Συμβάσεις με φορείς εκμετάλλευσης και τρίτους

• να περιορίζει αυστηρά την επεξεργασία στις οδηγίες του υπευθύνου επεξεργασίας·
• Απαγόρευση επαναχρησιμοποίησης και περαιτέρω μεταφορών χωρίς άδεια.
• Απαίτηση ασφάλειας, γνωστοποιήσεις συμβάντων, συνδρομή με DSR και απομάκρυνση·
• Γνωστοποιούν τους υπεργολάβους επεξεργασίας και τα δικαιώματα ελέγχου των επιχορηγήσεων·
• Δέσμευση της γεωγραφίας επεξεργασίας και των μηχανισμών διασυνοριακής μεταφοράς.

11) Αυτοματοποιημένες λύσεις και διαμόρφωση προφίλ

Εάν η απόφαση έχει νομικό/παρόμοιο σημαντικό αποτέλεσμα (για παράδειγμα, βαθμολόγηση κατά της απάτης, όρια RG), το υποκείμενο έχει δικαίωμα σε πληροφορίες σχετικά με τη λογική εντός λογικών ορίων και στην αναθεώρηση από τον άνθρωπο. Συνιστάται η αποθήκευση κωδικών αιτιολόγησης, μοντέλων/κανόνων έκδοσης και η διενέργεια μεροληπτικών ελέγχων.

12) Κυρώσεις και ευθύνη για την ΑΠΑ

Προειδοποιήσεις και διορθωτικά μέτρα

Δημόσια ανακοίνωση παραβίασης

Εμπλοκή/διαγραφή δεδομένων προσωπικού χαρακτήρα

Κυρώσεις: έως 2% των εσόδων στη Βραζιλία για το έτος (τελευταία περίοδος), έως 50 εκατ. BRL ανά παράβαση (ανώτατο όριο)

Επιπλέον, η αστική ευθύνη και οι συλλογικές αγωγές είναι δυνατές.

13) Βάση σκοπού - Πίνακας αποθήκευσης

14) Κατάλογος ελέγχου συμμόρφωσης (σε λειτουργία)

Πολιτικές και κοινοποιήσεις

• Τρέχουσα πολιτική για την προστασία της ιδιωτικής ζωής (στόχοι, κατηγορίες PD, δικαιώματα, δίαυλοι αιτήσεων, μεταβιβάσεις στο εξωτερικό).
• Ανακοίνωση στα σημεία συλλογής (cookies/έντυπα/SDK).
• Διαδικασία επεξεργασίας δεδομένων για παιδιά.

Δικαιώματα οντότητας (DSR)

• Απαιτούν διαύλους (έντυπο/ταχυδρομείο), επαλήθευση, SLA και ημερολόγιο.
• Διαδικασίες μετάβασης, διαγραφής, αποκατάστασης, απομάκρυνσης της εμπορίας.

Τίτλος

• Κρυπτογράφηση υπό διαμετακόμιση/σε ηρεμία, KMS/HSM, εναλλαγή κλειδιού.
• RBAC/ABAC, πρόσβαση JIT, αρχεία καταγραφής, DLP, δοκιμές ανάκτησης.
• Συμβάν στο βιβλίο παιχνιδιών και ειδοποιήσεις ANPD/θέματος.

Προμηθευτές

• DPA με φορείς εκμετάλλευσης/τρίτους· μητρώο υπεργολάβων επεξεργασίας.
• Επεξεργασία της γεωγραφίας και του μηχανισμού διασυνοριακής μεταφοράς.
• Έλεγχος και έλεγχος SDK/εικονοστοιχείων.

RIPD/Μητρώο

• Μητρώο Πράξεων· RIPD για επικίνδυνες θεραπείες.
• Πίνακας κατακράτησης και αγωγός αφαίρεσης/ανωνυμοποίησης.

15) Μετρήσεις και έλεγχος

DSR SLA (% επί του χρόνου), μέσο/95ο εκατοστημόριο

Κάλυψη συναίνεσης - Ποσοστό τιμής Opt-out

Προσκόλληση παρακράτησης (διαγράφεται σύμφωνα με το χρονοδιάγραμμα)

Παραβιάσεις πρόσβασης/εξαγωγών και δέλτα ανά τρίμηνο

Περιστατικό MTTD/MTTR και επαναληψιμότητα

Ποσοστό συμμόρφωσης πωλητή

Κάλυψη RIPD

16) Χάρτης πορείας για την εφαρμογή (6 στάδια)

1. Χαρτογράφηση δεδομένων: πηγές PD, ροές, στόχοι, νομικοί λόγοι, πωλητές.
2. Πολιτικές/κοινοποιήσεις: Πολιτική απορρήτου, πανό συγκατάθεσης, ανακοίνωση κατά τη συλλογή.
3. Διαδικασίες DSR: κανάλια, επαλήθευση, πρότυπα, καταγραφή, μετρήσεις.
4. Ασφάλεια: κρυπτογράφηση, πρόσβαση, αρχεία καταγραφής, DLP, σχέδιο IR.
5. Πωλητές και διασυνοριακές μεταφορές: DPA, υπεργολάβοι επεξεργασίας, μηχανισμοί, δοκιμαστές.
6. RIPD/κατακράτηση: αναφορές υψηλού κινδύνου, πίνακας κατακράτησης, διαγραφή/ανωνυμοποίηση.

17) Διαφορές μεταξύ LGPD και GDPR (συνοπτικά)

Επισημαίνονται ρητά οι πρόσθετοι λόγοι «προστασία της πίστωσης», «προστασία της ζωής».
Το RIPD είναι ένα λειτουργικό ανάλογο του DPIA, αλλά με έμφαση στην τοπική πρακτική ANPD.
Κυρώσεις - ανώτατο όριο 50 εκατ. ΒΡL για παραβίαση· το μοντέλο κυρώσεων είναι διαφορετικό από εκείνο του GDPR.
Παιδιά/έφηβοι: έλεγχοι «βέλτιστου συμφέροντος», αυστηρές πολιτικές προσδιορισμού προφίλ και εμπορίας.

Σύνολο

Η συμμόρφωση με την LGPD δεν είναι μόνο ένα πανό cookie, αλλά και ένα σύστημα διαχείρισης του κύκλου ζωής των δεδομένων: ορθοί λόγοι, ελαχιστοποίηση και ασφάλεια, διαφανείς κοινοποιήσεις, λειτουργικές διαδικασίες DSR, συμβάσεις με πωλητές, RIPD για επεξεργασία κινδύνου και διασυνοριακή πειθαρχία μετάδοσης. Με την ενσωμάτωση αυτών των περιγραμμάτων «εξ ορισμού», θα μειωθούν οι νομικοί κίνδυνοι και οι κίνδυνοι φήμης, θα διατηρηθούν οι εταιρικές σχέσεις και η εμπιστοσύνη των χρηστών - χωρίς να διακυβεύεται η ταχύτητα και η μετατροπή των προϊόντων.