Τι είναι η ANPD
Η Autoridade Nacional de Proteção de Dados (ANPD) είναι η ομοσπονδιακή αρχή της Βραζιλίας που εποπτεύει τη συμμόρφωση με τον Lei Geral de Proteção de Dados (LGPD), τον γενικό βραζιλιάνικο νόμο για την προστασία δεδομένων προσωπικού χαρακτήρα (νόμος αριθ. 13.709/2018). Ο ίδιος ο νόμος δημιούργησε την ANPD, η οποία ξεκίνησε τη λειτουργία της το 2020. Αργότερα απέκτησε το καθεστώς ειδικής αυτόνομης ομοσπονδιακής υπηρεσίας (autarquia especial), συνδεδεμένης με το υπουργείο Δικαιοσύνης. Έχει δικό της προϋπολογισμό και διοικητική ανεξαρτησία από τους τομεακούς ρυθμιστές.
Το πεδίο εφαρμογής της είναι ευρύ. Ο LGPD ισχύει για κάθε επεξεργασία δεδομένων προσωπικού χαρακτήρα που πραγματοποιείται στη Βραζιλία ή απευθύνεται σε πρόσωπα που βρίσκονται εκεί. Επομένως η ANPD εποπτεύει εταιρείες, δημόσιους φορείς και μη κερδοσκοπικούς οργανισμούς σε κάθε τομέα, όπως η υγεία, οι χρηματοοικονομικές υπηρεσίες, οι τηλεπικοινωνίες, η εκπαίδευση και η δημόσια διοίκηση. Οι τομεακοί ρυθμιστές διατηρούν τις αρμοδιότητές τους και συνεργάζονται μαζί της.
Αρμοδιότητες και ρυθμιστικά εργαλεία
Η ANPD συνδυάζει τους ρόλους του κανονιστικού φορέα, του συμβούλου και της αρχής επιβολής. Τα κύρια εργαλεία της είναι:
| Εργαλείο | Τι σημαίνει |
|---|---|
| Κανονισμοί | Δεσμευτικοί κανόνες που εφαρμόζουν τον LGPD, π.χ. η κοινοποίηση παραβιάσεων |
| Οδηγίες και ερμηνεία | Επίσημες θέσεις, τεχνικές οδηγίες και δημόσιες διαβουλεύσεις |
| Εποπτεία και έλεγχος | Δικαίωμα να ζητά πληροφορίες, να ελέγχει την επεξεργασία και να απαιτεί αποδείξεις |
| Έρευνα και κυρώσεις | Διοικητικές διαδικασίες που μπορεί να καταλήξουν σε προειδοποιήσεις, πρόστιμα ή περιορισμούς |
| Συνεργασία | Συντονισμός με βραζιλιάνικες αρχές και ξένες αρχές προστασίας δεδομένων |
Διερευνήσεις και διοικητικές διαδικασίες
Οι υποθέσεις φτάνουν στην ANPD μέσω καταγγελιών των υποκειμένων των δεδομένων, αναφορών παραβιάσεων δεδομένων από οργανισμούς, παραπομπών από άλλες αρχές ή της δικής της παρακολούθησης. Μόλις ανοίξει έρευνα, ο υπεύθυνος επεξεργασίας μπορεί να κληθεί να προσκομίσει έγγραφα και εξηγήσεις. Η υπόθεση μπορεί να κλείσει με διορθωτική δέσμευση ή να περάσει σε επίσημη διοικητική διαδικασία, όπου τα μέρη υποβάλλουν την υπεράσπισή τους.
Όταν εξετάζεται κύρωση, η αρχή σταθμίζει τους παράγοντες που ορίζει ο νόμος. Ανάμεσά τους είναι η σοβαρότητα και η φύση της παράβασης, η φύση των δεδομένων που αφορά, συμπεριλαμβανομένων των ευαίσθητων δεδομένων, αν προκλήθηκε ζημία, η κακή πίστη, το οικονομικό όφελος, η υποτροπή και η συνεργασία με την έρευνα. Από το 2023 τα κριτήρια αυτά περιγράφονται αναλυτικά στους κανονισμούς ελέγχου και επιβολής κυρώσεων της ANPD. Η επιβολή μετατοπίστηκε από καθοδηγητικά έγγραφα σε σημαντικά πρόστιμα σε υποθέσεις που δημιουργούν προηγούμενο.
Κυρώσεις που μπορεί να επιβάλει η ANPD
Σύμφωνα με το άρθρο 52 του LGPD, μια επιβεβαιωμένη παράβαση μπορεί να επιφέρει διαβαθμισμένο σύνολο κυρώσεων. Ημερήσια πρόστιμα μπορούν να επιβληθούν για όσο διάστημα διαρκεί η παράβαση. Τα πρόστιμα υπολογίζονται επί των εσόδων στη Βραζιλία κατά το προηγούμενο οικονομικό έτος, χωρίς φόρους, και ανέρχονται το πολύ σε 50 εκατομμύρια reais ανά παράβαση.
| Κύρωση | Τι περιλαμβάνει | Ισχύει για |
|---|---|---|
| Προειδοποίηση | Προθεσμία για διορθωτικά μέτρα, συνήθως για μικρές ή πρώτες παραβάσεις | Μικρές ή πρώτες παραβάσεις |
| Πρόστιμα | Έως 2% των εσόδων στη Βραζιλία, με ανώτατο όριο 50 εκατομμύρια reais | Έσοδα στη Βραζιλία του προηγούμενου οικονομικού έτους, χωρίς φόρους |
| Δημοσιοποίηση της παράβασης | Δημοσίευση της απόφασης μετά το κλείσιμο της διαδικασίας | Η επιβεβαιωμένη παράβαση |
| Αποκλεισμός ή διαγραφή δεδομένων | Αποκλεισμός των δεδομένων που αφορά μέχρι τη διόρθωση, ή εντολή διαγραφής τους | Τα δεδομένα που αφορά |
| Αναστολή και απαγόρευση | Μερική αναστολή της βάσης δεδομένων έως έξι μήνες, ή απαγόρευση της επεξεργασίας | Η δραστηριότητα επεξεργασίας |
Η ANPD στο διεθνές περιβάλλον
Ο LGPD επηρεάστηκε έντονα από τον ευρωπαϊκό GDPR. Στη Βραζιλία, η ANPD κατέχει τη θέση που έχουν στην ΕΕ οι εθνικές εποπτικές αρχές: είναι ανεξάρτητος ρυθμιστής που επιβάλλει τον νόμο και διαμορφώνει το πρακτικό του νόημα μέσω κανονισμών. Συμμετέχει σε διεθνή δίκτυα συνεργασίας, όπως η Global Privacy Assembly. Οι διασυνοριακές υποθέσεις εμπλέκουν όλο και συχνότερα παράλληλες διαδικασίες ενώπιον της ANPD και ευρωπαϊκών αρχών.
Για πολυεθνικούς οργανισμούς, η προστασία δεδομένων στη Βραζιλία αποτελεί ξεχωριστή ροή εργασίας. Οι κανόνες, οι προθεσμίες και οι κυρώσεις της ANPD ισχύουν για την επεξεργασία που φτάνει στη Βραζιλία, ακόμη και όταν η κύρια εγκατάσταση της εταιρείας και η τεκμηρίωσή της για τον GDPR βρίσκονται αλλού.
Πώς αλληλεπιδρούν οι οργανισμοί με την ANPD
Για έναν οργανισμό που επεξεργάζεται δεδομένα προσωπικού χαρακτήρα στη Βραζιλία, η σχέση με την αρχή είναι κυρίως προληπτική και διαδικαστική. Αυτές οι υποχρεώσεις συνήθως εντάσσονται σε ένα πρόγραμμα συμμόρφωσης με τον LGPD:
| Υποχρέωση | Τι σημαίνει |
|---|---|
| Υπεύθυνος προστασίας δεδομένων (encarregado)Επικοινωνία με την ANPD | Ορισμός προσώπου για αιτήματα και επικοινωνία με την ANPD· δημοσίευση των στοιχείων του |
| Κοινοποίηση παραβιάσεωνΑναφορά περιστατικού | Αναφορά σημαντικών περιστατικών εντός τριών εργάσιμων ημερών από τη γνώση τους |
| Αιτήματα πληροφοριώνΤεκμηρίωση | Παροχή τεκμηρίωσης της επεξεργασίας εντός των καθορισμένων προθεσμιών |
| Προηγούμενη διαβούλευσηΕπεξεργασία υψηλού κινδύνου | Διαβούλευση με την ANPD πριν από την επεξεργασία, εάν παραμένει υψηλός κίνδυνος |
| Διεθνείς διαβιβάσειςΜηχανισμός διαβίβασης | Χρήση νόμιμου μηχανισμού διαβίβασης, όπως οι τυποποιημένες συμβατικές ρήτρες της ANPD |
Από πού να ξεκινήσετε
Μια εταιρεία που επεξεργάζεται δεδομένα προσωπικού χαρακτήρα στη Βραζιλία μπορεί να ξεκινήσει με έναν σύντομο κατάλογο: ποιος είναι ο υπεύθυνος επεξεργασίας, ποιες κατηγορίες δεδομένων διατηρεί, ποιος απαντά στα αιτήματα της ANPD και ποιος θα κοινοποιούσε ένα περιστατικό εντός τριών εργάσιμων ημερών. Έλεγχοι όπως η πρόληψη απώλειας δεδομένων (DLP) βοηθούν να φανεί πού ταξιδεύουν αυτά τα δεδομένα. Οι πολυεθνικές πρέπει να αντιμετωπίζουν τη Βραζιλία ως ξεχωριστή ροή εργασίας και όχι ως υποσημείωση σε ένα πρόγραμμα GDPR.
Περισσότερα: Χρήση του συστήματος Anexet Ultimate DLP για συμμόρφωση με τον GDPR.
Η πρώτη ερώτηση ενός ρυθμιστή σπάνια αφορά την ίδια την παραβίαση. Ρωτά ποιος κατέχει τα δεδομένα προσωπικού χαρακτήρα, γιατί και ποιος ευθύνεται για αυτά.
Anexet Team