LGPD: Бразилиянын маалымат мыйзамы

1) LGPD кимге колдонулат жана ким ким

LGPD Бразилияда ишке ашырылган жеке маалыматтарды иштетүүгө (ПД) таркатылат, Бразилиянын резиденттерин бутага алат же товарларды/кызматтарды сунуштоого жана анын аймагындагы жүрүм-турумга мониторинг жүргүзүүгө байланыштуу.

• Контроллер (Controlador): максаттарын жана иштетүү каражаттарын аныктайт.
• Оператор (Operador): контролер тапшырмасы боюнча PD иштетет.
• Encarregado (DPO): маалыматтарды коргоо боюнча байланыш адамы; ANPD милдеттүү максаттуу чакан жана орто бизнести бошотууга болот, бирок iGaming/fintech үчүн, адатта, дайындалган.

2) Иштетүү негиздери (LGPD ядро)

Максаттарды аныктоо жана шайкештиги

Зарылчылык жана минималдаштыруу

Ачык-айкындуулук жана дискриминация

Маалыматтардын сапаты (тактык, актуалдуулук)

Коопсуздук жана зыянды алдын алуу

Жоопкерчилик (сакталышын далилдөө)

3) Укуктук негиздер (мыйзамдуу негиздер)

4) Атайын категориялар жана балдар

Сезимтал маалыматтар: ден соолук, биометрия, дин, саясий көз караштар ж.б. - өзүнчө негиз жана күчөтүлгөн чараларды талап кылат.
Балдар жана өспүрүмдөр: <13 үчүн - ата-эненин/камкорчунун макулдугу; өз кызыкчылыгында гана иштеп чыгуу, эч кандай обсессивдүү профилдөө.

5) Субъекттердин укуктары (операциялардын стандарты)

Иштетүү фактысын тастыктоо жана маалыматтарга жетүү

Так эместиктерди оңдоо

Анонимдөө/бөгөттөө/ашыкча/мыйзамсыз иштетилген маалыматтарды алып салуу

Толеранттуулук (башка провайдерге)

Алуучулар, баш тартуунун максаттары жана кесепеттери жөнүндө маалымат

Макулдукту кайтарып алуу оңой эле

Субъекттин кызыкчылыгына таасир эткен автоматташтырылган чечимдерди кайра карап чыгууга суроо-талап

Мөөнөтү: негизсиз кечигүү жок жооп, суроо-журнал (DSR) жана арыз ээсин текшерүү.

6) Коопсуздук жана окуялар

Уюштуруу жана техникалык чараларды киргизүү: шифрлөө, RBAC/ABAC, DLP, журналдар, WORM архивдери, калыбына келтирүү тесттери.
Субъекттерге зыян келтирүү тобокелдиги менен болгон инцидентте - ANPDге жана субъекттерге тиешелүү билдирме (инциденттин мүнөзүн, маалыматтардын категорияларын, көрүлгөн чараларды камтыйт). Мөөнөттөр/форматтар тобокелчиликке жана ANPD сунуштарына багытталган.

7) Чек ара өткөрмөлөрү

• Адекваттуулук (ANPD тарабынан таанылган өлкөлөр/уюмдар)
• Келишимдик инструменттер (стандарттык эскертүүлөр, корпоративдик эрежелер)
• Сертификация/шайкештик басып чыгаруу
• Субъекттин так макулдугу
• LGPD башка негиздери (келишимди аткаруу, өмүрдү коргоо ж.б.)
• Практика: которууга чейин шифрлөө, ачкычтарды бөлүштүрүү, псевдонимизациялоо жана талааларды минималдаштыруу.

8) RIPD (Бразилия DPIA) жана документтер

1. операцияларды сүрөттөө; 2) негиздер жана зарылчылык; 3) укуктар/эркиндиктер үчүн тобокелдиктер; 4) жумшартуу чаралары; 5) калдык тобокелдик жана план.

Ошондой эле операциялардын реестрин, купуялык саясатын, коомдук билдирүүлөрдү, инциденттердин реестрин, чет өлкөгө которуулардын реестрин жүргүзүңүз.

9) Cookies/SDK жана маркетинг

Түшүнүктүү категориялар менен макулдуктардын баннери (милдеттүү/функционалдык/аналитика/маркетинг).
Максаттарды жана сактоо мөөнөтүн документтештирүү; баш тартуу/сын-пикирди урматтаңыз жана балдарды профилдештирбеңиз.
Сервердик аналитика/агрегация ачык пикселдерге караганда артыкчылыктуу; үчүнчү жактар менен негизсиз "бөлүшүүнү" чектеңиз.

10) Операторлор жана үчүнчү жактар менен келишимдер

• Контролердун көрсөтмөлөрү менен иштетүүнү чектөө;
• уруксатсыз экинчи пайдалануу жана onward которууларды тыюу салуу;
• Коопсуздук, окуя кабарлоо, DSR жана алып салуу менен жардам талап;
• Субпроцессорлорду ачыкка чыгарууга жана аудит жүргүзүү укугун берүүгө;
• Иштеп чыгуу географиясын жана трансчек аралык берүү механизмдерин белгилөө.

11) Автоматташтырылган чечимдер жана профилдөө

Эгерде чечим юридикалык/окшош олуттуу таасирин тийгизсе (мисалы, антифрод-скоринг, RG-лимиттер), субъект логика жөнүндө акылга сыярлык чектерде маалымат алууга жана адам тарабынан кайра кароого укуктуу. Reason коддорун сактоо, моделдерди/эрежелерди версиялоо жана bias аудиттерин жүргүзүү сунушталат.

12) ANPD жаза жана жоопкерчилик

Эскертүү жана түзөтүү чаралары

Бузуу жөнүндө ачык билдирүү

Жеке маалыматтарды бөгөттөө/өчүрүү

Айыптар: Бразилияда жыл ичиндеги кирешенин 2% чейин (өткөн мезгилге), бузгандыгы үчүн 50 млн BRL чейин (шып)

Кошумча жарандык-укуктук жоопкерчилик жана жамааттык доолор болушу мүмкүн.

13) Матрица "максаттары → негиздери → сактоо"

14) Шайкештик чек-баракчасы (операциялык)

Саясат жана билдирүүлөр

• Учурдагы Privacy Policy (максаттары, PD категориялары, укуктар, суроо каналдары, чет өлкөгө берүү).
• чогултуу пункттарында Notice at collection (кукилер/формалар/SDK).
• Балдардын маалыматтарын иштетүү тартиби.

Субъекттердин укуктары (DSR)

• Суроо каналдары (веб-форма/почта), текшерүү, SLA жана журнал.
• өткөрүп берүү жол-жоболору, алып салуу, оңдоо, маркетинг баш тартуу.

Коопсуздук

• Шифрлөө in transit/at rest, KMS/HSM, ачкычтарды айлантуу.
• RBAC/ABAC, JIT жетүү, журналдар, DLP, калыбына келтирүү тесттер.
• Playbook окуя жана ANPD/субъекттерине билдирүүлөр.

Сатуучулар

• операторлор/үчүнчү жактар менен DPA; субпроцессорлордун реестри.
• Иштетүү географиясы жана трансчек аралык берүү механизми.
• Аудит жана SDK/пиксел контролдоо.

RIPD/реестри

• Операциялар реестри; RIPD үчүн кооптуу иштеп чыгуу.
• Retention-Matrix жана Pipline алып салуу/анонимизациялоо.

15) Метрика жана контролдоо

DSR SLA (өз убагында%), орточо/95-percentile

Consent Coverage и Opt-out Honor Rate

Retention Adherence (график боюнча алынып салынган)

Access/Export Violations жана кварталдар боюнча дельта

Incident MTTD/MTTR жана кайталоо

Vendor Compliance Rate (аудиттер, сын-пикирлерди жабуу)

RIPD Coverage (учурдагы отчеттор менен тобокелдиктерди иштеп чыгуу үлүшү)

16) Ишке ашыруу жол картасы (6 кадам)

1. Data mapping: PD булактары, агымдар, максаттар, укуктук негиздер, сатуучулар.
2. Саясат/билдирүүлөр: Privacy Policy, макулдуктардын баннери, Notice at collection.
3. DSR процесстери: каналдар, текшерүү, үлгүлөр, журнал, метрика.
4. Коопсуздук: шифрлөө, кирүү, логиндер, DLP, IR планы.
5. Сатуучулар жана трансчек өткөргүчтөр: DPA, субпроцессорлор, механизмдер, тестерлер.
6. RIPD/retenshn: жогорку тобокелдик отчеттор, retenshn-матрица, алып салуу/анонимдештирүү.

17) LGPD GDPR айырмачылыктар (кыскача)

"Кредитти коргоо", "өмүрдү коргоо" үчүн кошумча негиздер ачык көрсөтүлгөн.
RIPD - DPIAнын функционалдык аналогу, бирок жергиликтүү ANPD практикасына басым жасайт.
Айып - бузуу үчүн 50 млн BRL чеги; санкциялардын модели GDPRге караганда башкача.
Балдар/өспүрүмдөр: башкаруу "мыкты кызыкчылыктар", катуу саясат жана маркетинг.

Жыйынтык

LGPD шайкештиги - бул кукилер жөнүндө баннер гана эмес, маалыматтардын жашоо циклин башкаруу системасы: туура негиздер, минималдаштыруу жана коопсуздук, ачык-айкын билдирүүлөр, иштеп жаткан DSR процесстери, сатуучулар менен келишимдер, тобокелдик-кайра иштетүү үчүн RIPD жана трансчек аралык берүүлөрдүн тартиби. Бул контурларды "демейки" интеграциялоо менен, сиз юридикалык жана репутациялык тобокелдиктерди азайтып, өнөктөштүктү жана колдонуучулардын ишенимин сактап каласыз - продукттун ылдамдыгына жана конверсиясына зыян келтирбестен.