LGPD Databeskyttelseslov i Brasilien

Brasiliens Lei Geral de Proteção de Dados Pessoais (LGPD) er en omfattende databeskyttelseslov, der blev vedtaget i august 2020 og håndhævet fra august 2021, inspireret af EU’s GDPR.

LGPD har til formål at forenkle Brasiliens komplekse net af databeskyttelsesregler ved at give en samlet lovgivningsramme. Den tildeler specifikke rettigheder til brasilianske individer over deres persondata og indfører strenge overholdelseskrav til organisationer, der behandler disse data. Loven introducerer ni grundlæggende rettigheder for registrerede og beskriver ti juridiske grundlag for lovlig databehandling.

LGPD etablerer desuden den Nationale Databeskyttelsesmyndighed (ANPD) og kræver, at organisationer udpeger databeskyttelsesansvarlige (DPO’er). På trods af lighederne med GDPR har LGPD unikke funktioner, definitioner og håndhævelsesforanstaltninger, herunder mindre strenge sanktioner.

Få et gratis cookie-banner nu

Hvorfor vente, når det er gratis? Det giver absolut ingen mening at vente med at følge loven.
Det er ligegyldigt, om du er i USA, Europa eller et andet sted.

Vær compliant på få minutter

Tilmeld dig gratis nu

Vigtige Punkter

1. Samlet lovgivningsramme:
   • LGPD erstatter over 40 eksisterende føderale regler med en enkelt omfattende databeskyttelseslov, hvilket forenkler Brasiliens lovgivningslandskab.
2. Ni registrerede rettigheder:
   • LGPD indfører ni rettigheder for registrerede, herunder retten til at få adgang til, rette, slette og overføre deres data. Disse rettigheder ligner, men adskiller sig fra, dem der er fastsat i GDPR.
3. Ekstraterritorial rækkevidde:
   • LGPD gælder ikke kun for databehandling inden for Brasilien, men også for data af personer i Brasilien, uanset hvor databehandleren er placeret.
4. Juridiske grundlag for behandling:
   • Der er ti juridiske grundlag for behandling af personoplysninger under LGPD, herunder samtykke, overholdelse af juridiske forpligtelser, udførelse af offentlige politikker og beskyttelse af sundhed og liv.
5. Håndhævelse og sanktioner:
   • Den Nationale Databeskyttelsesmyndighed (ANPD) overvåger håndhævelsen af LGPD. Sanktioner for manglende overholdelse kan inkludere advarsler, dagbøder og bøder op til 2% af den årlige omsætning eller 50 millioner brasilianske reals (~ €11 millioner), hvilket er mindre strengt sammenlignet med GDPR’s sanktioner.

Introduktion til Brasiliens LGPD

Effektiv siden august 2020 havde LGPD en overgangsperiode på 12 måneder, og håndhævelsen begyndte i august 2021. Den Nationale Databeskyttelsesmyndighed (ANPD) er ansvarlig for dens gennemførelse.

Enhver organisation, der indsamler eller behandler personoplysninger fra brasilianske individer, skal overholde LGPD.

Den 31. august 2021 godkendte det brasilianske senat PEC 17/19, der ændrede forbundsforfatningen. Dette træk fastslog beskyttelsen af personoplysninger som en grundlæggende rettighed og muliggjorde føderal eksklusivitet i lovgivning om databeskyttelse.

Målet er at forhindre stater og kommuner i at blande sig i håndhævelsen af LGPD.

Denne ændring konsoliderede forskellige regler og love, herunder databeskyttelsesloven, og sikrede stærke forsvar mod overtrædelser og svindel, især under forbrugernes beskyttelseskodeks.

LGPD – Brasiliens databeskyttelseslov

Brasilien har over 140 millioner internetbrugere, hvilket gør det til det største internetmarked i Latinamerika og det fjerde største på verdensplan. Før LGPD blev over 40 føderale regler anvendt til at regulere databeskyttelse, hvilket skabte et kompliceret juridisk miljø.

Disse love var sektorspecifikke—omfattede områder som bankvæsen og forbrugerbeskyttelse—men manglede en omfattende tilgang.

LGPD forenklede dette med en samlet lovgivningsramme. Enhver data, der behandles inden for Brasilien, falder ind under LGPD’s jurisdiktion, selvom den administreres af udenlandske enheder.

Inspireret af GDPR giver databeskyttelsesloven enkeltpersoner flere rettigheder. GDPR-kompatible virksomheder har et forspring, men skal stadig adressere forskelle mellem de to love.

Hvad er databeskyttelsesloven i Brasilien?

Består af 65 artikler, som beskriver, hvordan personoplysninger skal håndteres i Brasilien.

Oversigt over LGPD

Artikel 18 opregner ni rettigheder for de registrerede:

1. Bekræftelse af databehandling
2. Adgang til deres data
3. Korrigering af ufuldstændige, unøjagtige eller forældede data
4. Anonymisering, blokering eller sletning af unødvendige eller ikke-kompatible data
5. Data portabilitet til andre tjenester eller databehandlere efter anmodning
6. Sletning af personoplysninger
7. Oplysninger om datadeling med offentlige og private enheder
8. Information om konsekvenserne af at nægte samtykke
9. Tilbagetrækning af samtykke

Disse rettigheder ligner dem i GDPR, hvilket gør dem relevante for globale virksomheder, der håndterer brasilianske data.

LGPD og personoplysninger

Artikel 5 i LGPD definerer nøglebegreber og koncepter:

• Personoplysninger: Bredt set omfatter det enhver information om en identificerbar person.
• Sensitiv Persondata: Kræver yderligere beskyttelsesforanstaltninger og inkluderer racemæssige, etniske, religiøse, politiske, sundhedsrelaterede, genetiske og biometriske data.

Artikel 11 angiver begrænsede scenarier for behandling af følsomme data, såsom eksplicit samtykke, offentlige politikker eller forskning, der anonymiserer data.

Databeskyttelseslov og Anonymiserede Data

Anonymiserede data refererer til oplysninger, der ikke kan identificere en person gennem tekniske midler på tidspunktet for behandlingen. Hvis data kan genidentificeres, betragtes det som persondata.

Yderligere Definitioner (Artikel 5)

• Behandling: Enhver operation udført med persondata.
• Samtykke: Skal være frit, informeret og utvetydigt vedrørende databehandling til et specifikt formål.
• Database: Et struktureret sæt af persondata.
• Dataansvarlig: Enhed der bestemmer formålet med og brugen af persondata.
• Databehandler: Enhed der behandler data på vegne af dataansvarlig.
• Officer: Udnævnt af den dataansvarlige til at lette kommunikationen med registrerede og ANPD.

LGPD-overholdelse i Brasilien

LGPD tildeler ni rettigheder til registrerede, definerer persondata og beskriver ti lovlige baser for lovlig behandling. Det kræver udnævnelse af en databeskyttelsesansvarlig (DPO) og etablerer ANPD til at overvåge overholdelse.

LGPD’s Anvendelsesområde

Databeskyttelsesloven gælder for offentlige og private sektorer, både online og offline, inden for og uden for Brasilien, hvis de behandler brasilianske data.

Artikel 3 fastsætter dens anvendelse i:

• Databehandling indenfor Brasilien.
• Behandling af brasilianske individers data af globale enheder.
• Behandling af data indsamlet i Brasilien.

LGPD beskytter alle i Brasilien, ikke kun borgere.

LGPD og EU-samhørighed

Modelleret efter GDPR, sigter Brasilien mod en samværksaftale med EU, der tillader fri dataflow ved at opfylde europæiske standarder.

Conzent CMP for LGPD-overholdelse

Conzent CMP håndterer samtykke til cookies og sporingsteknologier, og sikrer LGPD-overholdelse. Den identificerer cookies og blokerer dem, indtil brugerne giver specifikt samtykke.

LGPD og Samtykke

Samtykke er den første og afgørende juridiske basis for lovlig behandling under Databeskyttelsesloven. Artikel 8 specificerer, at samtykke skal være eksplicit, specifikt og kan trækkes tilbage, i overensstemmelse med GDPR-standarder.

LGPD’s Juridiske Grunde til Behandling

Artikel 7 lister ti juridiske baser:

1. Samtykke
2. Juridisk eller reguleringsmæssig forpligtelse
3. Offentlige politikker
4. Forskning, med anonymisering når muligt
5. Kontrakter
6. Udøvelse af juridiske rettigheder
7. Beskyttelse af liv eller sikkerhed
8. Sundhedsbeskyttelse af fagfolk eller enheder
9. Legitime interesser, medmindre de tilsidesættes af registreredes rettigheder
10. Kreditbeskyttelse

Overholdelse kræver dokumentation af alle datahåndteringsprocesser.

Databeskyttelsesmyndigheder og Officerer

ANPD, etableret ved præsidentielt dekret den 26. august 2020, sikrer LGPD håndhævelse. Det sætter standarder, overvåger, reviderer, uddanner, håndterer databrudsanmeldelser og håndhæver sanktioner.

Virksomheder skal udpege en DPO til at overvåge LGPD-overholdelse.

LGPD Bøder og Sanktioner

Manglende overholdelse kan resultere i:

• Advarsler og korrigerende foranstaltninger
• Dagbøder
• Bøder på op til 2% af den årlige omsætning i Brasilien eller R50 millioner (~ €11 millioner) per overtrædelse

LGPD vs GDPR

• Rettigheder: Tilbyder ni rettigheder sammenlignet med GDPR’s otte.
• Juridiske grundlag: Angiver ti juridiske grundlag, mens GDPR har seks.
• Personoplysninger: LGPD har en bredere definition.
• Sensitive oplysninger: Begge love behandler følsomme data lignende, men LGPD har strengere restriktioner.
• Samtykke og juridiske grundlag: Kræver specifikt samtykke og har unikke juridiske grundlag som kreditbeskyttelse.
• DPO og DPIA: Kræver en DPO, mens GDPR kræver det under visse betingelser. LGPD kræver også vurderinger af konsekvenserne for databeskyttelse, men er mindre specifik.
• Databrud: GDPR kræver rapportering inden for 72 timer, LGPD foreslår “rimelig tid.”
• Bøder: GDPR har højere maksimale bøder sammenlignet med Databeskyttelsesloven.