Εναρμόνιση με τη LGPD

Η LGPD (Lei Geral de Proteção de Dados, νόμος 13.709/2018) είναι ο γενικός βραζιλιάνικος νόμος για την προστασία των προσωπικών δεδομένων. Ισχύει από τον Σεπτέμβριο του 2020 και εφαρμόζεται από την εθνική αρχή, την ANPD. Η εναρμόνιση με τη LGPD δεν είναι ο ίδιος ο νόμος, αλλά η απάντηση σε αυτόν: η οργανωμένη δουλειά που φέρνει την επεξεργασία προσωπικών δεδομένων ενός οργανισμού μέσα στα όρια που θέτει ο νόμος. Αποτελεί μέρος της ευρύτερης πρακτικής προστασίας δεδομένων.

Ο νόμος ορίζει υποχρεώσεις, ενώ η εναρμόνιση ορίζει τη δουλειά. Όπως η συμμόρφωση με τον GDPR ή το CCPA, ο όρος περιγράφει ένα πρόγραμμα απογραφών, πολιτικών, συμβάσεων και διαδικασιών. Δεν είναι ένας έλεγχος μίας φοράς ούτε ένα πιστοποιητικό που κερδίζεται.

Ο νόμος

πλαίσιο που ορίζει τις αρχές, τις νομικές βάσεις, τα δικαιώματα των υποκειμένων, τις υποχρεώσεις κάθε φορέα επεξεργασίας και τις κυρώσεις που μπορεί να επιβάλει η ANPD.

Η εναρμόνιση

το πρόγραμμα από την πλευρά του οργανισμού: απογραφή δεδομένων, αναθεώρηση νομικών βάσεων, ανάθεση ρόλων, συμβάσεις με τους εκτελούντες, ετοιμότητα για περιστατικά και αρχεία που αποδεικνύουν ότι όλα λειτουργούν.

Η LGPD εφαρμόζεται σε κάθε επεξεργασία προσωπικών δεδομένων που γίνεται στη Βραζιλία. Εφαρμόζεται και στην επεξεργασία εκτός χώρας, όταν τα δεδομένα συλλέγονται από άτομα που βρίσκονται στη Βραζιλία ή όταν η επεξεργασία στοχεύει να τους προσφέρει αγαθά ή υπηρεσίες. Μια εταιρεία χωρίς γραφείο στη Βραζιλία καλύπτεται αν ο ιστότοπός της εγγράφει χρήστες στο Σάο Πάολο. Οι υποχρεώσεις ακολουθούν τα δεδομένα, όχι τη διεύθυνση εγγραφής.

Το πεδίο εφαρμογής είναι σκόπιμα ευρύ. Καλύπτει ιδιωτικές εταιρείες κάθε μεγέθους και κλάδου, μη κερδοσκοπικούς οργανισμούς και δημόσιους φορείς, με υπευθύνους και εκτελούντες που έχουν ο καθένας δικές του υποχρεώσεις. Ούτε οι φορείς μικρής κλίμακας εξαιρούνται: η ANPD έχει δημοσιεύσει απλοποιημένους κανόνες που προσαρμόζουν τις υποχρεώσεις τους, χωρίς να τις καταργούν.

Η εναρμόνιση ξεκινά με μια ειλικρινή εικόνα της σημερινής κατάστασης. Η απογραφή δεδομένων καταγράφει κάθε κατηγορία προσωπικών δεδομένων, τον σκοπό και την προέλευσή της, τα συστήματα όπου βρίσκονται, πόσο διατηρούνται και σε ποιον αποστέλλονται. Έπειτα, η κατηγοριοποίηση δεδομένων δείχνει ποιες από αυτές τις κατηγορίες είναι ευαίσθητες. Ο χάρτης ροών επεκτείνει την απογραφή στην κίνηση: πώς μετακινούνται τα δεδομένα μεταξύ συστημάτων, προμηθευτών και καναλιών, όπως το email, το cloud και τα αφαιρούμενα μέσα.

Η αξιολόγηση συγκρίνει αυτή την εικόνα με τις απαιτήσεις του νόμου. Ελέγχει αν κάθε δραστηριότητα έχει νομική βάση, αν τα ευαίσθητα δεδομένα προστατεύονται με την αυστηρότερη φροντίδα του Άρθρου 11, αν έχουν οριστεί οι περίοδοι διατήρησης, αν υπάρχουν συμβάσεις με τους εκτελούντες και αν ένα αίτημα υποκειμένου θα μπορούσε πράγματι να ικανοποιηθεί από αυτά τα συστήματα. Το αποτέλεσμα είναι μια αναφορά κενών και ένα σχέδιο διόρθωσης με υπευθύνους και προθεσμίες. Για επεξεργασία μεγάλης κλίμακας ή υψηλού κινδύνου, η ANPD μπορεί επίσης να ζητήσει την έκθεση αντικτύπου, το RIPD, η οποία γράφεται πολύ πιο εύκολα όταν η απογραφή υπάρχει ήδη.

Η κονσόλα της Anexet περιλαμβάνει έτοιμα μοτίβα για αναγνωριστικά, όπως αριθμούς τραπεζικών λογαριασμών και διαβατηρίων, που αποτελούν χρήσιμο σημείο εκκίνησης για να αποφασίσεις ποια αναγνωριστικά θα αναζητήσεις.

Η εναρμόνιση λειτουργεί ως κύκλος και όχι ως ένα μεμονωμένο έργο. Οι διαδικασίες αλλάζουν, οι προμηθευτές αλλάζουν και η ANPD συνεχίζει να εκδίδει κανόνες, γι' αυτό τα ώριμα προγράμματα επαναλαμβάνουν τα ίδια πέντε βήματα:

1. 1

   Απογραφή δεδομένων

   Κατάγραψε κάθε κατηγορία προσωπικών δεδομένων, τον σκοπό της, την προέλευσή της και πού αποθηκεύεται.

2. 2

   Χαρτογράφηση ροών

   Παρακολούθησε πώς μετακινούνται τα δεδομένα μεταξύ συστημάτων, προμηθευτών και καναλιών.

3. 3

   Κλείσιμο κενών

   Διόρθωσε τις λείπουσες νομικές βάσεις, τους κανόνες διατήρησης και τις συμβάσεις με τους εκτελούντες, καθεμία με υπεύθυνο και ημερομηνία.

4. 4

   Απόδειξη λειτουργίας

   Κράτα αρχεία που δείχνουν ότι οι έλεγχοι λειτουργούν, όπως καταγραφές και ίχνος ελέγχου.

5. 5

   Επανάληψη κύκλου

   Ξανατρέξε τα ίδια βήματα όταν αλλάζουν οι διαδικασίες, οι προμηθευτές ή οι κανόνες της ANPD.

Η LGPD συντάχθηκε με τον GDPR ανοιχτά στο μάτι, γι' αυτό τα δύο πλαίσια μοιάζουν. Έχουν κοινές αρχές, όπως ο περιορισμός του σκοπού και η ελαχιστοποίηση των δεδομένων, κατάλογο δικαιωμάτων των υποκειμένων, υπεύθυνο προστασίας δεδομένων και κοινοποίηση στην αρχή όταν σημειωθεί παραβίαση δεδομένων. Ένας οργανισμός που ήδη εφαρμόζει πρόγραμμα GDPR θα αναγνωρίσει το μεγαλύτερο μέρος ενός σχεδίου εναρμόνισης.

Οι διαφορές βρίσκονται στις λεπτομέρειες, γι' αυτό ένα ευρωπαϊκό πρόγραμμα δεν μπορεί απλώς να μετονομαστεί σε βραζιλιάνικο:

Κάθε δραστηριότητα επεξεργασίας πρέπει να στηρίζεται σε τουλάχιστον μία από τις δέκα νομικές βάσεις που απαριθμεί το Άρθρο 7 για τα συνηθισμένα προσωπικά δεδομένα: συγκατάθεση, νομική υποχρέωση, εκτέλεση σύμβασης, προστασία της ζωής ή της σωματικής ακεραιότητας, ερευνητικές μελέτες, θεμιτό έννομο συμφέρον του υπευθύνου και προστασία της πίστης. Για τα ευαίσθητα δεδομένα, όπως τα δεδομένα υγείας, βιομετρικά ή γενετικά, το Άρθρο 11 περιορίζει τον κατάλογο. Κατά κανόνα απαιτείται ειδική και ευδιάκριτη συγκατάθεση, με στενές εναλλακτικές για την υγειονομική περίθαλψη, την έρευνα και την προστασία της ζωής.

Το θεμιτό έννομο συμφέρον, η πιο χρησιμοποιούμενη και λιγότερο κατανοητή βάση, απαιτεί από τον υπεύθυνο να σταθμίσει τον σκοπό του απέναντι στα δικαιώματα και στις προσδοκίες των υποκειμένων και να τεκμηριώσει τη στάθμιση. Η συγκατάθεση πρέπει να συνδέεται με συγκεκριμένο σκοπό και μπορεί να ανακληθεί ανά πάσα στιγμή. Ο νόμος στηρίζει τις βάσεις με εκτελέσιμα δικαιώματα: επιβεβαίωση, πρόσβαση, διόρθωση, ανωνυμοποίηση, απαγόρευση ή διαγραφή, φορητότητα και ενημέρωση για το ποιοι έλαβαν τα δεδομένα.

Η LGPD ονομάζει τους φορείς της στα πορτογαλικά, και τα ονόματα αυτά εμφανίζονται σε κάθε σχέδιο εναρμόνισης, επειδή κάθε ρόλος έχει διαφορετικά καθήκοντα. Η ευθύνη του operador είναι επικουρική, αλλά πραγματική, και ο διορισμός του encarregado πρέπει να γνωστοποιείται δημόσια.

Ξεκίνα από τα προσωπικά δεδομένα των οποίων η διαρροή θα προκαλούσε τη μεγαλύτερη ζημιά, και μετά χαρτογράφησε τα κανάλια από τα οποία κυκλοφορούν πραγματικά. Η εναρμόνιση που σχεδιάζεται για όλα τα σύνολα δεδομένων ταυτόχρονα συνήθως κολλάει, γι' αυτό μια πρώτη διέλευση από τις πιο ριψοκίνδυνες ροές αποδίδει συνήθως τα περισσότερα.

Παρόμοια δουλειά απαιτείται και στο πλαίσιο της συμμόρφωσης με το CCPA στην Καλιφόρνια, άρα μια απογραφή που έγινε για το ένα καθεστώς μπορεί συχνά να εξυπηρετήσει και το άλλο.

Περισσότερα: Χρήση του συστήματος Anexet Ultimate DLP για συμμόρφωση με τον GDPR.