Anpassung an die LGPD

Die LGPD (Lei Geral de Proteção de Dados, Gesetz Nr. 13.709/2018) ist das brasilianische Allgemeingesetz zum Schutz personenbezogener Daten. Es gilt seit September 2020 und wird von der nationalen Aufsichtsbehörde ANPD durchgesetzt. Die Anpassung an die LGPD ist nicht das Gesetz selbst, sondern die Antwort darauf: die organisierte Arbeit, die Verarbeitung personenbezogener Daten innerhalb der gesetzlichen Grenzen zu halten. Sie gehört zum breiteren Datenschutz.

Das Gesetz legt Pflichten fest, die Anpassung definiert die Arbeit. Wie bei der Einhaltung der DSGVO oder des CCPA beschreibt der Begriff ein Programm aus Bestandsaufnahmen, Richtlinien, Verträgen und Verfahren. Er meint weder eine einmalige Prüfung noch ein Zertifikat, das man erwirbt.

Das Gesetz

ein Regelwerk, das Grundsätze, Rechtsgrundlagen, die Rechte der Betroffenen, die Pflichten jedes Verarbeitungsbeteiligten und die Sanktionen der ANPD festlegt.

Die Anpassung

das Programm auf Seiten der Organisation: Dateninventar, Prüfung der Rechtsgrundlagen, Rollenzuweisung, Auftragsverarbeitungsverträge, Vorbereitung auf Vorfälle und Nachweise, dass alles funktioniert.

Die LGPD gilt für jede Verarbeitung personenbezogener Daten in Brasilien. Sie gilt auch für die Verarbeitung im Ausland, wenn die Daten von Personen in Brasilien erhoben werden oder die Verarbeitung ihnen Waren oder Dienstleistungen anbieten soll. Ein Unternehmen ohne Büro in Brasilien ist erfasst, wenn seine Website Nutzer in São Paulo registriert. Die Pflichten folgen den Daten, nicht dem Sitz der Registrierung.

Der Anwendungsbereich ist bewusst weit. Er umfasst Privatunternehmen jeder Größe und Branche, gemeinnützige Organisationen und öffentliche Stellen. Verantwortliche und Auftragsverarbeiter haben jeweils eigene Pflichten. Kleine Akteure sind nicht befreit: Die ANPD hat vereinfachte Regeln veröffentlicht, die ihre Pflichten anpassen, aber nicht aufheben.

Die Anpassung beginnt mit einem ehrlichen Bild des Ist-Zustands. Ein Dateninventar erfasst jede Kategorie personenbezogener Daten, ihren Zweck und ihre Herkunft, die Systeme, in denen sie liegen, die Speicherdauer und die Empfänger. Die Datenklassifizierung zeigt dann, welche dieser Kategorien sensibel sind. Die Datenflusskartierung erweitert das Inventar um die Bewegung: wie Daten zwischen Systemen, Dienstleistern und Kanälen wie E-Mail, Cloud-Speicher und Wechselmedien fließen.

Die Bewertung vergleicht dieses Bild mit den Anforderungen des Gesetzes. Sie prüft, ob jede Tätigkeit eine Rechtsgrundlage hat, ob sensible Daten die strengere Sorgfalt nach Artikel 11 erhalten, ob Aufbewahrungsfristen festgelegt sind, ob Verträge mit Auftragsverarbeitern bestehen und ob eine Betroffenenanfrage aus diesen Systemen tatsächlich beantwortet werden könnte. Ergebnis sind ein Lückenbericht und ein Maßnahmenplan mit Verantwortlichen und Terminen. Bei umfangreicher oder risikoreicher Verarbeitung kann die ANPD zusätzlich einen Bericht zur Datenschutz-Folgenabschätzung (RIPD) verlangen, der sich deutlich leichter schreiben lässt, wenn das Inventar bereits steht.

Die Konsole von Anexet enthält vordefinierte Muster für Kennungen wie Bankkonten und Passnummern, die als Ausgangspunkt dienen, um zu entscheiden, nach welchen Kennungen gesucht werden soll.

Die Anpassung läuft als Zyklus ab und nicht als einmaliges Projekt. Prozesse ändern sich, Lieferanten wechseln und die ANPD erlässt weiter Regeln, deshalb wiederholen reife Programme dieselben fünf Schritte:

1. 1

   Daten inventarisieren

   Erfasse jede Kategorie personenbezogener Daten, ihren Zweck, ihre Herkunft und ihren Speicherort.

2. 2

   Flüsse kartieren

   Verfolge, wie die Daten zwischen Systemen, Dienstleistern und Kanälen fließen.

3. 3

   Lücken schließen

   Behebe fehlende Rechtsgrundlagen, Aufbewahrungsregeln und Auftragsverarbeitungsverträge, jeweils mit Verantwortlichem und Termin.

4. 4

   Wirksamkeit belegen

   Halte Nachweise bereit, dass die Kontrollen funktionieren, etwa Protokolle und einen Audit-Trail.

5. 5

   Zyklus wiederholen

   Durchlaufe dieselben Schritte erneut, wenn sich Prozesse, Lieferanten oder ANPD-Regeln ändern.

Die LGPD wurde mit Blick auf die DSGVO entworfen, deshalb ähneln sich die Rahmen. Gemeinsam sind Grundsätze wie Zweckbindung und Datenminimierung, ein Katalog von Betroffenenrechten, ein Datenschutzbeauftragter und die Meldung einer Datenschutzverletzung an die Aufsichtsbehörde. Eine Organisation mit laufendem DSGVO-Programm erkennt darin den Großteil eines Anpassungsplans wieder.

Die Unterschiede liegen im Detail. Deshalb lässt sich ein europäisches Programm nicht einfach als brasilianisches umetikettieren:

Jede Verarbeitungstätigkeit muss auf mindestens einer der zehn Rechtsgrundlagen beruhen, die Artikel 7 für gewöhnliche personenbezogene Daten nennt. Dazu gehören Einwilligung, gesetzliche Pflicht, Vertragserfüllung, Schutz des Lebens oder der körperlichen Unversehrtheit, Forschung, das berechtigte Interesse des Verantwortlichen und der Schutz der Kreditwürdigkeit. Für sensible Daten, etwa zu Gesundheit, Biometrie oder Genetik, schränkt Artikel 11 die Auswahl ein. In der Regel ist das eine ausdrückliche, hervorgehobene Einwilligung, mit engen Alternativen für Gesundheitsversorgung, Forschung und Lebensschutz.

Das berechtigte Interesse, die am meisten genutzte und am wenigsten verstandene Grundlage, verlangt vom Verantwortlichen, seinen Zweck gegen die Rechte und Erwartungen der Betroffenen abzuwägen und diese Abwägung zu dokumentieren. Die Einwilligung muss an einen bestimmten Zweck gebunden sein und kann jederzeit widerrufen werden. Das Gesetz stützt diese Grundlagen auf einklagbare Rechte: Bestätigung, Auskunft, Berichtigung, Anonymisierung, Sperrung oder Löschung, Übertragbarkeit sowie Auskunft darüber, an wen die Daten weitergegeben wurden.

Die LGPD benennt ihre Akteure auf Portugiesisch, und diese Begriffe tauchen in jedem Anpassungsplan auf, weil jede Rolle eigene Pflichten hat. Die Haftung des Operador ist subsidiär, aber real, und die Bestellung des Encarregado muss öffentlich gemacht werden.

Beginne mit den personenbezogenen Daten, deren Abfluss den größten Schaden anrichten würde, und kartiere dann die Kanäle, über die sie tatsächlich laufen. Eine Anpassung, die alle Datenbestände auf einmal erfasst, bleibt oft stecken. Deshalb bringt meist eine erste Durchsicht der riskantesten Flüsse den größten Nutzen.

Ähnliche Arbeit verlangt die CCPA-Konformität in Kalifornien. Ein Inventar, das für ein Regelwerk entstanden ist, kann daher oft auch dem anderen dienen.

Weiterlesen: Anexet Ultimate DLP-System zur Einhaltung der DSGVO nutzen.