LGPD: قانون داده برزیل

1) چه کسی LGPD را اعمال می کند و چه کسی است

LGPD به پردازش اطلاعات شخصی (PD) انجام شده در برزیل اعمال می شود، هدف قرار دادن ساکنان برزیل یا مربوط به ارائه کالاها/خدمات و نظارت بر رفتار در قلمرو آن است.

• کنترل کننده-تعریف اهداف و ابزار پردازش.
• Operador-پردازش PD از طرف کنترل.
• Encarregado (DPO): تماس با حفاظت از داده ها ؛ ANPD ممکن است SME ها را از تخصیص اجباری معاف کند، اما برای iGaming/fintech معمولا اختصاص داده می شود.

2) اصول پردازش (هسته LGPD)

تنظیم هدف و سازگاری هدف

ضرورت و به حداقل رساندن

شفافیت و عدم تبعیض

کیفیت داده ها (دقت، ارتباط)

ایمنی و پیشگیری از آسیب

پاسخگویی (اثبات انطباق)

3) مبانی حقوقی

4) دسته های ویژه و کودکان

داده های حساس: سلامت، بیومتریک، مذهب، دیدگاه های سیاسی و غیره - نیاز به یک پایه جداگانه و اقدامات پیشرفته دارند.
کودکان و نوجوانان: برای <13 - رضایت والدین/سرپرست ؛ پردازش تنها در بهترین منافع خود، بدون پروفایل مزاحم.

5) حقوق افراد (استاندارد عملیات)

تایید پردازش و دسترسی به داده ها

تصحیح اشتباهات

ناشناس/مسدود کردن/حذف داده های اضافی/غیرقانونی پردازش شده

قابلیت تحمل (به ارائه دهنده دیگر)

اطلاعات در مورد گیرندگان، اهداف و عواقب شکست

لغو رضایت به آسانی به عنوان ارائه است

درخواست بررسی تصمیمات خودکار موثر بر منافع موضوع

جدول زمانی: بدون تاخیر ناخواسته پاسخ دهید، یک پرونده درخواست (DSR) را نگه دارید و متقاضی را تأیید کنید.

6) امنیت و حوادث

پیاده سازی اقدامات سازمانی و فنی: رمزگذاری، RBAC/ABAC، DLP، سیاهههای مربوط، آرشیو WORM، تست بازیابی.
در مورد یک حادثه با خطر آسیب به افراد، اطلاع رسانی مناسب به ANPD و افراد (شامل ماهیت حادثه، دسته بندی داده ها، اقدامات انجام شده). جدول زمانی/فرمت ها بر روی ریسک و توصیه های ANPD تمرکز می کنند.

7) انتقال مرزی

• کفایت (کشورها/سازمان های شناخته شده ANPD)
• ابزارهای قراردادی (مقررات استاندارد، قوانین شرکت)
• صدور گواهینامه/چاپ انطباق
• رضایت صریح موضوع در صورت لزوم
• دیگر زمینه های LGPD (عملکرد قرارداد، حفاظت از زندگی، و غیره)
• تمرین: رمزگذاری قبل از انتقال، جداسازی کلید، pseudonymization و به حداقل رساندن زمینه.

8) RIPD (DPIA برزیل) و اسناد و مدارک

1. شرح عملیات 2) دلایل و ضرورت ؛ 3) خطر برای حقوق/آزادی ها ؛ 4) اقدامات احتیاطی ؛ 5) ریسک و برنامه باقی مانده.

همچنین ثبت عملیات، سیاست حفظ حریم خصوصی، اطلاعیه های عمومی، ثبت حوادث، ثبت نقل و انتقالات در خارج از کشور را نگه دارید.

9) کوکی ها/SDK و بازاریابی

بنر رضایت با دسته های قابل فهم (اجباری/کاربردی/تجزیه و تحلیل/بازاریابی).
اهداف سند و عمر مفید ؛ احترام به رد/یادآوری و کودکان را مشخص نکنید.
تجزیه و تحلیل سرور/تجمع نسبت به پیکسل های باز ترجیح داده می شود ؛ محدود کردن «به اشتراک گذاری» با اشخاص ثالث بدون توجیه.

10) قرارداد با اپراتورها و اشخاص ثالث

• محدود کردن پردازش به شدت به دستورالعمل های کنترل کننده ؛
• ممنوعیت استفاده مجدد و انتقال به جلو بدون اجازه ؛
• نیاز به امنیت، اطلاعیه های حادثه، کمک به DSR و حذف ؛
• افشای زیر پردازنده و اعطای حقوق حسابرسی;
• ضبط جغرافیای پردازش و مکانیسم های انتقال مرزی.

11) راه حل های خودکار و پروفایل

اگر تصمیم اثر قابل توجهی قانونی/مشابه (به عنوان مثال، نمره ضد تقلب، محدودیت های RG)، موضوع حق به اطلاعات در مورد منطق در محدوده معقول و به تجدید نظر انسان است. توصیه می شود کدهای دلیل، مدل های نسخه/قوانین و انجام ممیزی تعصب را ذخیره کنید.

12) تحریم ها و مسئولیت های ANPD

هشدارها و اقدامات اصلاحی

اعلام عمومی تخلف

مسدود کردن/حذف اطلاعات شخصی

مجازات: تا 2٪ از درآمد در برزیل برای سال (آخرین دوره)، تا 50 میلیون BRL در هر نقض (سقف)

علاوه بر این، مسئولیت مدنی و اقدامات طبقاتی امکان پذیر است.

13) هدف → اساس → ماتریس ذخیره سازی

14) چک لیست انطباق (عملیاتی)

سیاست ها و اطلاعیه ها

• سیاست حفظ حریم خصوصی فعلی (اهداف، دسته بندی PD، حقوق، کانال های درخواست، انتقال در خارج از کشور).
• توجه داشته باشید در نقاط جمع آوری (کوکی ها/فرم ها/SDK).
• روش برای پردازش اطلاعات کودکان.

• کانال های درخواست (فرم وب/ایمیل)، تأیید، SLA و ورود به سیستم.
• مهاجرت، حذف، اصلاح، روش های بازاریابی.

امنیت

• رمزگذاری در حمل و نقل/در حالت استراحت، KMS/HSM، چرخش کلید.
• RBAC/ABAC، دسترسی JIT، سیاهههای مربوط، DLP، آزمون بازیابی.
• رویداد Playbook و اطلاعیه های ANPD/موضوع.

فروشندگان

• DPA با اپراتورها/اشخاص ثالث ؛ زیر پردازنده رجیستری.
• پردازش جغرافیا و مکانیسم انتقال مرزی.
• SDK/پیکسل حسابرسی و کنترل.

RIPD/ثبت نام

• ثبت عملیات ؛ RIPD برای درمان های خطرناک
• ماتریس نگهداری و خط لوله حذف/ناشناس.

15) معیارها و کنترل

DSR SLA (٪ در زمان)، میانگین/درصد 95

پوشش رضایت и نرخ افتخار انصراف

پایبندی نگهداری (حذف شده در برنامه)

نقض دسترسی/صادرات و دلتا در سه ماهه

حادثه MTTD/MTTR و تکرارپذیری

نرخ انطباق فروشنده

پوشش RIPD

16) نقشه راه پیاده سازی (6 مرحله)

1. نقشه برداری داده ها: منابع PD، جریان ها، اهداف، زمینه های قانونی، فروشندگان.
2. سیاست ها/اطلاعیه ها: سیاست حفظ حریم خصوصی، بنر رضایت، توجه در مجموعه.
3. فرآیندهای DSR: کانال ها، تأیید، قالب ها، ورود به سیستم، معیارها.
4. امنیت: رمزگذاری، دسترسی، سیاهههای مربوط، DLP، طرح IR.
5. فروشندگان و نقل و انتقالات مرزی: DPA، زیر پردازنده ها، مکانیسم ها، آزمایشکنندگان.
6. RIPD/احتباس: گزارش خطر بالا، ماتریس احتباس، حذف/ناشناس.

17) تفاوت بین LGPD و GDPR (کوتاه)

زمینه های اضافی «حفاظت از اعتبار»، «حفاظت از زندگی» به صراحت برجسته شده است.
RIPD یک آنالوگ عملکردی از DPIA است، اما با تمرکز بر عمل ANPD محلی است.
مجازات - سقف BRL 50m برای نقض ؛ مدل تحریم متفاوت از GDPR است.

کودکان/نوجوانان: کنترل «بهترین منافع»، پروفایل های سختگیرانه و سیاست های بازاریابی

مجموع

انطباق LGPD نه تنها یک بنر کوکی است، بلکه یک سیستم مدیریت چرخه عمر داده است: زمینه های صحیح، به حداقل رساندن و امنیت، اطلاعیه های شفاف، فرایندهای DSR کار، قرارداد با فروشندگان، RIPD برای پردازش ریسک و نظم و انضباط انتقال مرزی. با تعبیه این خطوط «به طور پیش فرض»، خطرات قانونی و اعتباری را کاهش می دهید، مشارکت و اعتماد کاربر را حفظ می کنید - بدون اینکه به سرعت و تبدیل محصول آسیب برسانید.