Was die ANPD ist
Die Autoridade Nacional de Proteção de Dados (ANPD) ist die föderale Behörde Brasiliens, die die Einhaltung des Lei Geral de Proteção de Dados (LGPD) überwacht, des allgemeinen brasilianischen Gesetzes zum Datenschutz (Gesetz Nr. 13.709/2018). Das Gesetz selbst hat die ANPD geschaffen, die 2020 ihre Arbeit aufnahm. Später erhielt sie den Status einer besonderen autonomen Bundesbehörde (autarquia especial) im Geschäftsbereich des Justizministeriums. Sie verfügt über einen eigenen Haushalt und ist administrativ unabhängig von sektoralen Regulierungsbehörden.
Ihr Zuständigkeitsbereich ist breit. Das LGPD gilt für jede Verarbeitung personenbezogener Daten, die in Brasilien erfolgt oder sich an Personen richtet, die sich dort aufhalten. Die ANPD beaufsichtigt daher Unternehmen, öffentliche Stellen und gemeinnützige Organisationen in allen Branchen, darunter Gesundheit, Finanzen, Telekommunikation, Bildung und öffentliche Verwaltung. Sektorale Aufsichtsbehörden behalten ihre Zuständigkeiten und arbeiten mit ihr zusammen.
Befugnisse und Regelungsinstrumente
Die ANPD vereint die Rollen von Normgeber, Beraterin und Durchsetzungsbehörde. Ihre wichtigsten Instrumente sind:
| Instrument | Was es bedeutet |
|---|---|
| Verordnungen | Verbindliche Regeln zur Umsetzung des LGPD, z. B. zur Meldung von Datenpannen |
| Leitlinien und Auslegung | Offizielle Stellungnahmen, technische Leitlinien und öffentliche Konsultationen |
| Aufsicht und Prüfung | Befugnis, Auskünfte zu verlangen, Verarbeitungen zu prüfen und Nachweise einzufordern |
| Ermittlungen und Sanktionen | Verwaltungsverfahren, die mit Verwarnungen, Bußgeldern oder Einschränkungen enden können |
| Zusammenarbeit | Abstimmung mit brasilianischen Behörden und ausländischen Datenschutzaufsichten |
Untersuchungen und Verfahren
Fälle erreichen die ANPD durch Beschwerden betroffener Personen, Meldungen von Datenschutzverletzungen durch Organisationen, Verweisungen anderer Behörden oder durch die eigene Überwachung der Behörde. Sobald ein Verfahren eröffnet ist, kann der Verantwortliche zur Vorlage von Unterlagen und Erklärungen aufgefordert werden. Der Fall kann mit einer korrigierenden Verpflichtung enden oder in ein förmliches Verwaltungsverfahren übergehen, in dem die Parteien ihre Verteidigung vorbringen.
Bei der Prüfung einer Sanktion wägt die Behörde die im Gesetz genannten Faktoren ab. Dazu gehören Schwere und Art des Verstoßes, die Art der betroffenen Daten einschließlich sensibler Daten, ob ein Schaden eingetreten ist, böser Vorsatz, erlangter wirtschaftlicher Vorteil, Wiederholung und Mitwirkung an der Untersuchung. Seit 2023 sind diese Kriterien in den Verordnungen der ANPD zu Aufsicht und Sanktionen näher ausgestaltet. Die Durchsetzung zielt nun auf erhebliche Bußgelder in richtungsweisenden Fällen.
Sanktionen der ANPD
Nach Artikel 52 des LGPD kann ein bestätigter Verstoß zu einem abgestuften Bündel an Sanktionen führen. Tägliche Bußgelder können so lange verhängt werden, wie der Verstoß andauert. Bußgelder bemessen sich am Umsatz in Brasilien im vorangegangenen Geschäftsjahr ohne Steuern und sind je Verstoß auf 50 Millionen Real begrenzt.
| Sanktion | Was sie umfasst | Gilt für |
|---|---|---|
| Verwarnung | Frist für Korrekturmaßnahmen, meist bei geringfügigen oder ersten Verstößen | Geringfügige oder erste Verstöße |
| Bußgelder | Bis zu 2 % des Umsatzes in Brasilien, begrenzt auf 50 Millionen Real | Umsatz in Brasilien im vorangegangenen Geschäftsjahr ohne Steuern |
| Veröffentlichung des Verstoßes | Veröffentlichung der Entscheidung nach Abschluss des Verfahrens | Den bestätigten Verstoß |
| Sperrung oder Löschung von Daten | Sperrung der betroffenen Daten bis zur Behebung oder Anordnung ihrer Löschung | Die betroffenen Daten |
| Aussetzung und Verbot | Teilweise Aussetzung der Datenbank für bis zu sechs Monate oder ein Verarbeitungsverbot | Die Verarbeitungstätigkeit |
Die ANPD im internationalen Umfeld
Das LGPD wurde stark vom europäischen GDPR beeinflusst. In Brasilien nimmt die ANPD die Stellung ein, die nationale Aufsichtsbehörden in der EU innehaben: eine unabhängige Regulierungsbehörde, die das Gesetz durchsetzt und seine praktische Bedeutung durch Regulierung prägt. Sie beteiligt sich an internationalen Kooperationsnetzwerken wie der Global Privacy Assembly. Grenzüberschreitende Fälle umfassen zunehmend parallele Verfahren vor der ANPD und europäischen Behörden.
Für multinationale Organisationen ist der Datenschutz in Brasilien ein eigenständiger Arbeitsstrang. Die Regeln, Fristen und Sanktionen der ANPD gelten für Verarbeitungen, die Brasilien erreichen, selbst wenn der Hauptsitz des Unternehmens und seine DSGVO-Dokumentation anderswo liegen.
Wie Organisationen mit der ANPD interagieren
Für eine Organisation, die personenbezogene Daten in Brasilien verarbeitet, ist das Verhältnis zur Behörde überwiegend präventiv und verfahrensbezogen. Diese Pflichten gehören meist zu einem Programm zur LGPD-Anpassung:
| Pflicht | Was sie bedeutet |
|---|---|
| Datenschutzbeauftragter (encarregado)Ansprechpartner für die ANPD | Eine Person für Anfragen und den Kontakt zur ANPD benennen und deren Daten veröffentlichen |
| Meldung von DatenpannenVorfallbericht | Relevante Vorfälle innerhalb von drei Werktagen nach Kenntnis melden |
| AuskunftsersuchenDokumentation | Dokumentation der Verarbeitung innerhalb der gesetzten Fristen bereitstellen |
| Vorherige KonsultationHochrisikoverarbeitung | Die ANPD vor der Verarbeitung konsultieren, wenn ein hohes Risiko bestehen bleibt |
| Internationale ÜbermittlungenÜbermittlungsmechanismus | Einen rechtlichen Übermittlungsmechanismus nutzen, etwa die Standardvertragsklauseln der ANPD |
Wo man beginnt
Ein Unternehmen, das personenbezogene Daten in Brasilien verarbeitet, kann mit einer kurzen Liste beginnen: Wer ist der Verantwortliche, welche Datenkategorien werden gespeichert, wer beantwortet Anfragen der ANPD und wer würde einen Vorfall innerhalb von drei Werktagen melden. Kontrollen wie Data Loss Prevention (DLP) helfen zu erkennen, wohin diese Daten fließen. Multinationale Unternehmen sollten Brasilien als eigenen Arbeitsstrang behandeln.
Weiterlesen: Anexet Ultimate DLP-System zur Einhaltung der DSGVO nutzen.
Die erste Frage einer Aufsichtsbehörde betrifft selten die Panne selbst. Sie fragt, wer personenbezogene Daten hält, wozu und wer dafür einsteht.
Anexet Team