‏المطابقة مع LGPD

LGPD (Lei Geral de Proteção de Dados، القانون رقم 13.709/2018) هو القانون البرازيلي العام لحماية البيانات الشخصية. وهو نافذ منذ سبتمبر 2020، وتطبقه السلطة الوطنية ANPD. المطابقة مع LGPD ليست القانون نفسه، بل الاستجابة له: العمل المنظم الذي يُدخل معالجة البيانات الشخصية لدى المؤسسة ضمن الحدود التي يحددها القانون. وهي جزء من ممارسة أوسع لـ حماية البيانات.

القانون يحدد الالتزامات، والمطابقة تحدد العمل. وكما هو الحال مع الامتثال لـ GDPR أو CCPA، يصف المصطلح برنامجًا من الجرد والسياسات والعقود والإجراءات، وليس تدقيقًا لمرة واحدة ولا شهادة تُكتسب.

القانون

نظام يحدد المبادئ والأسس القانونية وحقوق أصحاب البيانات والتزامات كل جهة تعالج البيانات، والعقوبات التي يمكن أن تفرضها ANPD.

المطابقة

البرنامج من جانب المؤسسة: جرد البيانات ومراجعة الأسس القانونية وتحديد الأدوار وعقود المعالجين والجاهزية للحوادث، وسجلات تثبت أن كل ذلك يعمل.

تنطبق LGPD على كل معالجة للبيانات الشخصية تُجرى في البرازيل. وتنطبق أيضًا على المعالجة خارج البلاد متى جُمعت البيانات من أشخاص موجودين في البرازيل، أو كانت المعالجة تهدف إلى تقديم سلع أو خدمات لهم. والشركة التي لا مكتب لها في البرازيل مشمولة بالقانون إذا كان موقعها الإلكتروني يسجل مستخدمين في ساو باولو. فالالتزامات تتبع البيانات، لا عنوان التسجيل.

النطاق واسع عن قصد، ويشمل الشركات الخاصة من كل حجم وقطاع، والمنظمات غير الربحية والجهات العامة، ولكل من المتحكمين والمعالجين واجباته الخاصة. ولا تُعفى الجهات الصغيرة، فقد نشرت ANPD قواعد مبسطة تعدّل التزاماتها دون أن تلغيها.

تبدأ المطابقة بصورة صادقة للوضع الراهن. يسجل جرد البيانات كل فئة من البيانات الشخصية، وغرضها ومصدرها، والأنظمة التي تُحفظ فيها، ومدة الاحتفاظ بها، ومن يتلقاها. ثم يحدد تصنيف البيانات أي هذه الفئات حساسة. وتمدّ خريطة التدفقات الجرد إلى الحركة: كيف تنتقل البيانات بين الأنظمة والموردين وقنوات مثل البريد الإلكتروني والتخزين السحابي والوسائط القابلة للإزالة.

يقارن التقييم هذه الصورة بمتطلبات القانون، فيتحقق مما إذا كان لكل نشاط أساس قانوني، وما إذا كانت البيانات الحساسة تحظى بالعناية الأشد التي تشترطها المادة 11، وما إذا كانت فترات الاحتفاظ محددة، وما إذا كانت هناك عقود مع المعالجين، وما إذا كان يمكن فعلًا تلبية طلب صاحب بيانات من هذه الأنظمة. والنتيجة تقرير فجوات وخطة معالجة لها مسؤولون ومواعيد. وفي المعالجة واسعة النطاق أو عالية المخاطر، يمكن لـ ANPD أيضًا أن تطلب تقرير أثر حماية البيانات، RIPD، وهو أسهل كثيرًا في الكتابة حين يكون الجرد موجودًا.

تتضمن كونسول Anexet أنماطًا جاهزة للمعرّفات، مثل أرقام الحسابات المصرفية وجوازات السفر، وهي نقطة انطلاق عملية لتحديد المعرفات التي ينبغي البحث عنها.

تعمل المطابقة كدورة وليس كمشروع منفرد. فالعمليات تتغير، والموردون يتغيرون، وANPD تواصل إصدار القواعد، لذلك تكرر البرامج الناضجة الخطوات الخمس نفسها:

1. 1

   جرد البيانات

   سجّل كل فئة من البيانات الشخصية وغرضها ومصدرها ومكان تخزينها.

2. 2

   رسم التدفقات

   تتبع انتقال البيانات بين الأنظمة والموردين والقنوات.

3. 3

   سد الفجوات

   صحح الأسس القانونية وقواعد الاحتفاظ وعقود المعالجين الناقصة، ولكلٍ منها مسؤول وموعد.

4. 4

   إثبات العمل

   احتفظ بسجلات تبين أن الضوابط تعمل، مثل السجلات الآلية ومسار التدقيق.

5. 5

   تكرار الدورة

   أعد الخطوات نفسها كلما تغيرت العمليات أو الموردون أو قواعد ANPD.

صيغت LGPD ووضع GDPR نصب عينيه، لذلك يتشابه الإطاران: مبادئ مشتركة مثل تحديد الغرض وتقليل البيانات، وقائمة بحقوق أصحاب البيانات، ومسؤول لحماية البيانات، وإخطار السلطة المختصة عند وقوع خرق للبيانات. والمؤسسة التي تدير برنامج GDPR ستتعرف على معظم خطة المطابقة.

تكمن الاختلافات في التفاصيل، ولهذا لا يمكن ببساطة إعادة تسمية البرنامج الأوروبي وجعله برازيليًا:

يجب أن يستند كل نشاط معالجة إلى أساس قانوني واحد على الأقل من الأسس العشرة التي تعددها المادة 7 للبيانات الشخصية العادية، ومنها الموافقة، والالتزام القانوني، وتنفيذ العقد، وحماية الحياة أو السلامة الجسدية، والبحوث العلمية، والمصلحة المشروعة للمتحكم، وحماية الائتمان. أما البيانات الحساسة، كالبيانات الصحية والبيومترية والجينية، فتضيّق المادة 11 الخيارات، فيكون الأصل موافقة محددة وواضحة، مع بدائل ضيقة للرعاية الصحية والبحث وحماية الحياة.

المصلحة المشروعة، وهي الأساس الأكثر استخدامًا والأقل فهمًا، تفرض على المتحكم أن يوازن غرضه بحقوق أصحاب البيانات وتوقعاتهم، وأن يوثّق هذه الموازنة. ويجب أن ترتبط الموافقة بغرض محدد، ويمكن سحبها في أي وقت. ويدعم القانون هذه الأسس بحقوق قابلة للإنفاذ: التأكيد، والوصول، والتصحيح، وإخفاء الهوية، والحجب أو الحذف، والنقل، والإخطار بمن شاركت معه البيانات.

تسمي LGPD أطرافها بالبرتغالية، وتدخل هذه التسميات في كل خطة مطابقة لأن لكل دور واجبات مختلفة. مسؤولية المعالج تبعية لكنها حقيقية، ويجب الإعلان عن تعيين encarregado علنًا.

ابدأ بالبيانات الشخصية التي يسبب تسريبها أكبر ضرر، ثم ارسم خريطة القنوات التي تنتقل عبرها فعلًا. فالمطابقة المخططة لكل مجموعات البيانات دفعة واحدة غالبًا ما تتعثر، لذلك تحقق المراجعة الأولى للتدفقات الأكثر خطورة أكبر قيمة عادةً.

ويُطلب عمل مماثل في إطار الامتثال لـ CCPA في كاليفورنيا، لذلك يمكن غالبًا أن يخدم الجرد المعد لنظام واحد النظام الآخر.

للمزيد من القراءة: استخدام نظام Anexet Ultimate DLP للامتثال لـ GDPR.