Mise en Conformité avec la LGPD

La LGPD (Lei Geral de Proteção de Dados, loi n° 13.709/2018) est le statut général brésilien de protection des données personnelles. Elle est en vigueur depuis septembre 2020 et appliquée par l'autorité nationale, l'ANPD. La mise en conformité avec la LGPD n'est pas la loi elle-même, mais la réponse à celle-ci : le travail organisé qui consiste à faire entrer le traitement des données personnelles d'une organisation dans les limites fixées par la loi. Elle fait partie de la protection des données au sens large.

La loi définit des obligations, la mise en conformité définit le travail. Comme la conformité au RGPD ou au CCPA, le terme désigne un programme d'inventaires, de politiques, de contrats et de procédures. Ce n'est ni un audit ponctuel ni un certificat à obtenir.

La loi

un texte qui définit les principes, les bases légales, les droits des personnes concernées, les obligations de chaque acteur du traitement et les sanctions que l'ANPD peut prononcer.

La mise en conformité

le programme côté organisation : inventaire des données, revue des bases légales, attribution des rôles, contrats avec les opérateurs, préparation aux incidents et preuves que tout fonctionne.

La LGPD s'applique à tout traitement de données personnelles effectué au Brésil. Elle s'applique aussi aux traitements réalisés à l'étranger lorsque les données sont collectées auprès de personnes situées au Brésil, ou que le traitement vise à leur offrir des biens ou des services. Une entreprise sans bureau au Brésil est couverte si son site inscrit des utilisateurs à São Paulo. Les obligations suivent les données, et non l'adresse d'immatriculation.

Le champ d'application est volontairement large. Il couvre les entreprises privées de toute taille et de tout secteur, les organisations à but non lucratif et les organismes publics, les responsables de traitement et les opérateurs ayant chacun leurs propres devoirs. Les acteurs de petite taille ne sont pas exemptés : l'ANPD a publié des règles simplifiées qui adaptent leurs obligations sans les supprimer.

La mise en conformité commence par un tableau honnête de la situation actuelle. Un inventaire des données recense chaque catégorie de données personnelles, sa finalité et sa source, les systèmes qui les hébergent, leur durée de conservation et leurs destinataires. La classification des données indique ensuite lesquelles de ces catégories sont sensibles. La cartographie des flux de données élargit l'inventaire au mouvement : la façon dont les données circulent entre systèmes, fournisseurs et canaux comme la messagerie, le stockage cloud et les supports amovibles.

L'évaluation confronte ce tableau aux exigences de la loi. Elle vérifie que chaque activité repose sur une base légale, que les données sensibles reçoivent la protection renforcée de l'article 11, que les durées de conservation sont définies, que des contrats existent avec les opérateurs et qu'une demande d'une personne concernée pourrait réellement être traitée à partir de ces systèmes. Le résultat est un rapport d'écarts et un plan de remédiation avec des responsables et des échéances. Pour les traitements à grande échelle ou à haut risque, l'ANPD peut aussi exiger un rapport d'impact, le RIPD, bien plus simple à rédiger lorsque l'inventaire existe déjà.

La console Anexet propose des modèles prédéfinis pour des identifiants, comme les numéros de comptes bancaires et de passeports, qui servent de point de départ pour décider quels identifiants rechercher.

La mise en conformité fonctionne comme un cycle plutôt que comme un projet unique. Les processus changent, les fournisseurs aussi et l'ANPD continue de publier des règles : les programmes matures répètent donc les mêmes cinq étapes :

1. 1

   Inventorier les données

   Recensez chaque catégorie de données personnelles, sa finalité, sa source et l'endroit où elle est stockée.

2. 2

   Cartographier les flux

   Suivez la circulation des données entre systèmes, fournisseurs et canaux.

3. 3

   Combler les écarts

   Corrigez les bases légales, les règles de conservation et les contrats avec les opérateurs qui manquent, chacun avec un responsable et une échéance.

4. 4

   Prouver que ça fonctionne

   Conservez des traces qui montrent que les contrôles fonctionnent, comme des journaux et une piste d'audit.

5. 5

   Recommencer le cycle

   Reprenez ces étapes lorsque changent les processus, les fournisseurs ou les règles de l'ANPD.

La LGPD a été rédigée en ayant le RGPD en ligne de mire, si bien que les deux cadres se ressemblent. Ils partagent des principes comme la limitation des finalités et la minimisation des données, un catalogue de droits des personnes, un délégué à la protection des données et la notification des violations de données à l'autorité. Une organisation qui conduit déjà un programme RGPD reconnaîtra l'essentiel d'un plan de mise en conformité.

Les différences se trouvent dans les détails. C'est pourquoi un programme européen ne peut pas être simplement rebaptisé brésilien :

Chaque activité de traitement doit reposer sur au moins une des dix bases légales énumérées à l'article 7 pour les données personnelles ordinaires : consentement, obligation légale, exécution d'un contrat, protection de la vie ou de l'intégrité physique, études de recherche, intérêt légitime du responsable et protection du crédit. Pour les données sensibles, comme celles relatives à la santé, à la biométrie ou à la génétique, l'article 11 restreint la liste. En règle générale, il s'agit d'un consentement spécifique et mis en évidence, avec des alternatives étroites pour les soins de santé, la recherche et la protection de la vie.

L'intérêt légitime, la base la plus utilisée et la moins comprise, exige du responsable qu'il mette sa finalité en balance avec les droits et les attentes des personnes concernées, et qu'il documente cette pondération. Le consentement doit être lié à une finalité précise et peut être retiré à tout moment. La loi adosse ces bases à des droits opposables : confirmation, accès, rectification, anonymisation, blocage ou suppression, portabilité et information sur les destinataires des données.

La LGPD nomme ses acteurs en portugais, et ces noms figurent dans chaque plan de mise en conformité, car chaque rôle a des devoirs distincts. La responsabilité de l'opérateur est subsidiaire, mais réelle, et la désignation de l'encarregado doit être rendue publique.

Commencez par les données personnelles dont la fuite causerait le plus de dommages, puis cartographiez les canaux par lesquels elles circulent réellement. Une mise en conformité conçue pour tous les jeux de données à la fois s'enlise souvent, si bien qu'un premier passage sur les flux les plus risqués apporte généralement le plus de valeur.

Un travail similaire est exigé dans le cadre de la conformité au CCPA en Californie. Un inventaire conçu pour un régime peut donc souvent servir à l'autre.

Pour aller plus loin : Utiliser le système DLP Anexet Ultimate pour la conformité au RGPD.