ANPD

L'Autoridade Nacional de Proteção de Dados (ANPD) è l'autorità federale brasiliana che vigila sul rispetto della Lei Geral de Proteção de Dados (LGPD), la legge generale brasiliana sulla protezione dei dati personali (legge n. 13.709/2018). È stata la stessa legge a istituire l'ANPD, operativa dal 2020. In seguito ha ottenuto lo status di agenzia federale autonoma speciale (autarquia especial), collegata al Ministero della Giustizia. Dispone di un proprio bilancio e di indipendenza amministrativa rispetto ai regolatori settoriali.

Il suo raggio d'azione è ampio. La LGPD si applica a ogni trattamento di dati personali effettuato in Brasile o rivolto a persone che si trovano nel Paese. L'ANPD supervisiona quindi aziende, enti pubblici e organizzazioni non profit di ogni settore, tra cui sanità, finanza, telecomunicazioni, istruzione e pubblica amministrazione. I regolatori settoriali mantengono le proprie competenze e operano accanto a essa.

L'ANPD unisce i ruoli di produttore di regole, consulente e autorità sanzionatoria. I suoi strumenti principali sono:

I casi arrivano all'ANPD tramite reclami degli interessati, segnalazioni di violazioni dei dati da parte delle organizzazioni, deferimenti da altre autorità o il monitoraggio dell'autorità stessa. Una volta avviata l'istruttoria, il titolare può essere chiamato a fornire documenti e spiegazioni. Il caso può chiudersi con un impegno correttivo oppure passare a un procedimento amministrativo formale, in cui le parti presentano le proprie difese.

Quando si valuta una sanzione, l'autorità considera i fattori previsti dalla legge: gravità e natura dell'infrazione, natura dei dati coinvolti, compresi i dati sensibili, l'eventuale danno, la malafede, il vantaggio economico ottenuto, la recidiva e la collaborazione con l'istruttoria. Dal 2023 questi criteri sono dettagliati nei regolamenti dell'ANPD su vigilanza e sanzioni. L'applicazione si è spostata da documenti di indirizzo a sanzioni pecuniarie rilevanti nei casi che fanno giurisprudenza.

Ai sensi dell'articolo 52 della LGPD, una violazione accertata può comportare un insieme graduale di sanzioni. Le sanzioni giornaliere possono essere applicate finché la violazione persiste. Le multe si calcolano sul fatturato realizzato in Brasile nell'esercizio precedente, al netto delle imposte, e sono limitate a 50 milioni di real per infrazione.

La LGPD è stata fortemente influenzata dal GDPR europeo. In Brasile l'ANPD ha la posizione che nell'UE hanno le autorità nazionali di controllo: un regolatore indipendente che fa applicare la legge e ne definisce il significato pratico attraverso la regolamentazione. Partecipa a reti di cooperazione internazionale, come la Global Privacy Assembly. I casi transfrontalieri coinvolgono sempre più spesso procedimenti paralleli davanti all'ANPD e alle autorità europee.

Per le organizzazioni multinazionali, la protezione dei dati in Brasile è un filone di lavoro a sé. Le regole, i termini e le sanzioni dell'ANPD si applicano ai trattamenti che raggiungono il Brasile, anche quando la sede principale dell'azienda e la sua documentazione GDPR si trovano altrove.

Per un'organizzazione che tratta dati personali in Brasile, il rapporto con l'autorità è soprattutto preventivo e procedurale. Questi obblighi di norma fanno parte di un programma di adeguamento alla LGPD:

Un'azienda che tratta dati personali in Brasile può iniziare da un elenco breve: chi è il titolare, quali categorie di dati conserva, chi risponde alle richieste dell'ANPD e chi segnalerebbe un incidente entro tre giorni lavorativi. Controlli come la prevenzione della perdita di dati (DLP) aiutano a capire dove quei dati vanno. Le multinazionali devono trattare il Brasile come un filone a sé, non come una nota a piè di pagina del programma GDPR.

Per approfondire: Utilizza il sistema DLP Anexet Ultimate per la conformità al GDPR.