‏ANPD

الهيئة الوطنية لحماية البيانات (ANPD) هي الهيئة الاتحادية البرازيلية المسؤولة عن الإشراف على الامتثال لقانون حماية البيانات العام (LGPD)، وهو القانون العام البرازيلي المتعلق بحماية البيانات الشخصية (القانون رقم 13.709 لعام 2018). وقد أنشأ القانون الهيئة نفسها، التي بدأت عملها في عام 2020. ثم اكتسبت لاحقاً صفة وكالة اتحادية مستقلة خاصة (autarquia especial) تتبع وزارة العدل. ولها موازنة خاصة واستقلال إداري عن الجهات التنظيمية القطاعية.

نطاقها واسع. ينطبق قانون LGPD على كل معالجة لبيانات شخصية تجري في البرازيل أو تستهدف أشخاصاً موجودين فيها. ولذلك تشرف ANPD على الشركات والجهات العامة والمنظمات غير الربحية في كل القطاعات، ومنها الصحة والمالية والاتصالات والتعليم والإدارة العامة. وتحتفظ الجهات التنظيمية القطاعية باختصاصاتها وتعمل إلى جانبها ضمن إطار هذا القانون.

تجمع ANPD بين دور واضع القواعد والمستشار وجهة الإنفاذ. وأهم أدواتها:

تصل القضايا إلى ANPD عبر شكاوى أصحاب البيانات، وتقارير خروقات البيانات من المؤسسات، وإحالات من جهات أخرى، أو من رصد الهيئة نفسها. وبعد فتح التحقيق، قد يُطلب من المسؤول عن المعالجة تقديم مستندات وتوضيحات. ويمكن أن تُغلق القضية بالتزام تصحيحي، أو أن تنتقل إلى إجراء إداري رسمي تعرض فيه الأطراف دفاعها.

عند النظر في عقوبة، تزن الهيئة العوامل التي يحددها القانون، ومنها جسامة المخالفة وطبيعتها، وطبيعة البيانات المتأثرة، بما فيها البيانات الحساسة، وما إذا وقع ضرر، وسوء النية، والمنفعة الاقتصادية المحققة، والتكرار، والتعاون مع التحقيق. ومنذ عام 2023 تفصّل اللوائح الخاصة بالتفتيش والعقوبات لدى ANPD هذه المعايير. وانتقل الإنفاذ من وثائق توجيهية إلى غرامات كبيرة في قضايا تؤسس لسوابق.

بموجب المادة 52 من قانون LGPD، قد تستتبع المخالفة المؤكدة مجموعة متدرجة من العقوبات. ويمكن فرض غرامات يومية طالما استمرت المخالفة. وتُحسب الغرامات على الإيرادات في البرازيل للسنة المالية السابقة، دون الضرائب، ولا تتجاوز 50 مليون ريال لكل مخالفة.

تأثر قانون LGPD بشدة باللائحة الأوروبية GDPR. وفي البرازيل تحتل ANPD المكانة التي تشغلها في الاتحاد الأوروبي هيئات الإشراف الوطنية: جهة تنظيمية مستقلة تُنفّذ القانون وتحدد معناه العملي عبر التنظيم. وتشارك في شبكات تعاون دولية، مثل Global Privacy Assembly. وتتضمن القضايا العابرة للحدود بشكل متزايد إجراءات متوازية أمام ANPD والسلطات الأوروبية في الوقت نفسه.

بالنسبة إلى المؤسسات متعددة الجنسيات، تمثل حماية البيانات في البرازيل مساراً عملياً مستقلاً. وتسري قواعد ANPD ومهلها وعقوباتها على المعالجة التي تصل إلى البرازيل، حتى عندما تكون المنشأة الرئيسية للشركة ووثائقها الخاصة بـGDPR موجودة في مكان آخر.

بالنسبة إلى المؤسسة التي تعالج بيانات شخصية في البرازيل، تكون علاقتها بالهيئة في الغالب وقائية وإجرائية. وعادة ما تكون هذه الالتزامات جزءاً من برنامج التوافق مع LGPD:

يمكن لشركة تعالج بيانات شخصية في البرازيل أن تبدأ بقائمة قصيرة: من هو المسؤول عن البيانات، وما فئات البيانات التي تحتفظ بها، ومن يجيب على طلبات ANPD، ومن سيبلّغ عن حادثة خلال ثلاثة أيام عمل. وتساعد ضوابط مثل منع فقدان البيانات (DLP) على معرفة الوجهة التي تنتقل إليها هذه البيانات. وينبغي للشركات متعددة الجنسيات أن تعامل البرازيل مساراً عملياً مستقلاً، لا ملاحظة هامشية في برنامج الامتثال لـGDPR.

للمزيد من القراءة: استخدام نظام Anexet Ultimate DLP للامتثال لـ GDPR.