LGPD (Brazylia)

LGPD to brazylijska ustawa o ochronie danych osobowych, w konstrukcji zbliżona do europejskiego RODO.

Zakres LGPD i znaczenie dla systemów informatycznych

LGPD, czyli Lei Geral de Proteção de Dados Pessoais, to brazylijska ustawa nr 13.709 z 14 sierpnia 2018 r. Reguluje przetwarzanie danych osobowych osób fizycznych, także wtedy, gdy odbywa się ono wyłącznie za pomocą systemów cyfrowych. W praktyce „przetwarzanie” obejmuje między innymi zbieranie, rejestrowanie, przechowywanie, porządkowanie, wykorzystywanie, udostępnianie, modyfikowanie i usuwanie danych. Przedmiotem ochrony są informacje pozwalające zidentyfikować konkretną osobę albo powiązać ją z innymi informacjami w sposób umożliwiający identyfikację.

Ustawa może mieć zastosowanie do organizacji działającej poza Brazylią, jeżeli operacja przetwarzania odbywa się na terytorium tego państwa, dane zostały zebrane w Brazylii albo przetwarzanie dotyczy oferowania towarów lub usług osobom znajdującym się w Brazylii. Nie jest więc decydujące wyłącznie miejsce siedziby firmy. Dla administratorów stron internetowych, aplikacji, sklepów oraz systemów obsługi klienta oznacza to konieczność ustalenia, skąd pochodzą dane, jaki jest cel ich użycia i gdzie znajdują się serwery lub usługi chmurowe realizujące operacje na tych danych.

Dane zwykłe, dane wrażliwe i podmioty odpowiedzialne

LGPD rozróżnia dane osobowe oraz dane osobowe wrażliwe. Do pierwszej kategorii mogą należeć na przykład imię i nazwisko, adres poczty elektronicznej, numer telefonu, identyfikator konta, adres IP lub informacje powiązane z historią korzystania z usługi, jeżeli pozwalają ustalić tożsamość osoby. Dane wrażliwe obejmują między innymi informacje o pochodzeniu rasowym lub etnicznym, przekonaniach religijnych, poglądach politycznych, przynależności do organizacji, zdrowiu, życiu seksualnym, danych genetycznych i biometrycznych. Ich przetwarzanie podlega bardziej ograniczonym przesłankom.

W modelu LGPD występują przede wszystkim controlador i operador. Kontrolador podejmuje główne decyzje dotyczące celu i sposobu przetwarzania, natomiast operador wykonuje operacje na danych zgodnie z ustaleniami kontrolera. W środowisku informatycznym kontrolerem może być właściciel aplikacji lub sklepu internetowego, a operatorem dostawca hostingu, systemu kopii zapasowych, analityki albo zewnętrznej platformy obsługi płatności. Rozdzielenie tych ról powinno być odzwierciedlone w umowach, uprawnieniach dostępu, rejestrach operacji oraz procedurach reagowania na incydenty.

Podstawy przetwarzania, prawa użytkownika i wymagania techniczne

LGPD wymaga, aby przetwarzanie opierało się na określonej podstawie prawnej. Ustawa przewiduje między innymi zgodę osoby, wykonanie umowy lub czynności poprzedzających zawarcie umowy, wypełnienie obowiązku prawnego, ochronę życia, wykonywanie praw w postępowaniu, ochronę zdrowia, uzasadniony interes oraz ochronę kredytu. Zgoda nie jest zatem uniwersalnym zamiennikiem wszystkich pozostałych podstaw. System powinien przechowywać informację o tym, na jakiej podstawie wykorzystywany jest konkretny zbiór danych, w jakim celu i przez jaki okres.

Osoba, której dane dotyczą, może między innymi potwierdzić istnienie przetwarzania, uzyskać dostęp do danych, żądać poprawienia danych niekompletnych lub nieaktualnych, otrzymać informacje o udostępnieniach oraz odwołać zgodę, jeśli przetwarzanie było na niej oparte. W określonych przypadkach może również żądać usunięcia danych, przeniesienia danych, anonimizacji, blokady albo przeglądu decyzji podjętej wyłącznie automatycznie. Od strony technicznej wymaga to wyszukiwarki danych według identyfikatora osoby, kontroli uprawnień, rejestrowania operacji, obsługi terminów odpowiedzi oraz rozdzielenia danych potrzebnych do realizacji umowy od danych używanych na przykład do analityki lub marketingu.

Środki bezpieczeństwa powinny ograniczać ryzyko nieuprawnionego dostępu, utraty, zmiany i ujawnienia informacji. W praktyce stosuje się zasadę minimalnych uprawnień, uwierzytelnianie wieloskładnikowe, szyfrowanie transmisji i nośników, segmentację sieci, aktualizacje systemów, kopie zapasowe, monitoring logów oraz okresowe testy odtwarzania danych. LGPD nie nakazuje używania jednego konkretnego algorytmu szyfrowania ani określonego produktu. Dobór zabezpieczeń powinien wynikać z rodzaju danych, skali przetwarzania, aktualnego poziomu zagrożeń i możliwych skutków incydentu.

Incydenty bezpieczeństwa i praktyczne utrzymanie zgodności

Nie każda podatność jest już incydentem bezpieczeństwa. Incydentem może stać się na przykład potwierdzone włamanie, przypadkowe udostępnienie pliku, kradzież laptopa z niezaszyfrowanym dyskiem albo wysłanie danych do niewłaściwego odbiorcy. Obowiązek komunikacji dotyczy zdarzenia potwierdzonego, obejmującego dane osobowe podlegające LGPD i mogącego spowodować istotne ryzyko lub szkodę dla osób, których dane dotyczą. Kontroler powinien wtedy ustalić zakres naruszenia, rodzaj ujawnionych danych, liczbę osób, możliwe skutki oraz zastosowane działania ograniczające.

Regulamin ANPD dotyczący komunikowania incydentów, przyjęty w Resolução CD/ANPD nº 15/2024, przewiduje przekazanie komunikatu do ANPD i właściwych osób w terminie trzech dni roboczych, z uwzględnieniem ewentualnych terminów wynikających z innych przepisów. Komunikat powinien przedstawiać między innymi charakter zdarzenia, zakres danych, możliwe konsekwencje oraz zalecane działania ochronne. Incydenty dotyczące danych finansowych, uwierzytelniających, danych dzieci, danych wrażliwych lub przetwarzania na dużą skalę wymagają szczególnie dokładnej oceny.

W systemie zgodnym z wymaganiami LGPD warto utrzymywać mapę przepływów danych, rejestr podstaw prawnych, listę dostawców, politykę retencji, procedurę realizacji żądań użytkowników oraz plan reagowania na incydenty. Kopie zapasowe powinny być chronione tak samo jak system produkcyjny, ponieważ zawierają historyczne dane osobowe. Przed przekazaniem komputera lub dysku do naprawy albo utylizacji należy ograniczyć dostęp do danych, wykonać kontrolowaną kopię, wylogować konta i zastosować bezpieczne usuwanie informacji, jeżeli pozwalają na to wymagania operacyjne i prawne. Dzięki temu LGPD pozostaje nie tylko wymogiem dokumentacyjnym, lecz także praktycznym zestawem zasad projektowania, utrzymywania i zabezpieczania systemów informatycznych.