Dostosowanie do LGPD

LGPD (Lei Geral de Proteção de Dados, ustawa nr 13.709/2018) to ogólna brazylijska ustawa o ochronie danych osobowych. Obowiązuje od września 2020 roku, a egzekwuje ją krajowy organ, ANPD. Dostosowanie do LGPD nie jest samą ustawą, lecz odpowiedzią na nią: uporządkowaną pracą nad tym, by przetwarzanie danych osobowych w organizacji mieściło się w granicach wyznaczonych przez prawo. To część szerszej praktyki ochrony danych.

Ustawa określa obowiązki, a dostosowanie określa pracę. Podobnie jak zgodność z RODO czy CCPA, termin opisuje program: inwentarze, polityki, umowy i procedury. Nie jest to jednorazowy audyt ani certyfikat do zdobycia.

Ustawa

akt prawny określający zasady, podstawy prawne, prawa osób, których dane dotyczą, obowiązki każdego podmiotu przetwarzającego oraz sankcje, jakie może nałożyć ANPD.

Dostosowanie

program po stronie organizacji: inwentarz danych, przegląd podstaw prawnych, przydział ról, umowy z operatorami, gotowość na incydenty oraz dokumentacja potwierdzająca, że wszystko działa.

LGPD ma zastosowanie do każdego przetwarzania danych osobowych prowadzonego w Brazylii. Dotyczy też przetwarzania za granicą, gdy dane zbiera się od osób przebywających w Brazylii albo gdy przetwarzanie ma oferować im towary lub usługi. Firma bez biura w Brazylii jest objęta ustawą, jeśli jej strona internetowa rejestruje użytkowników w São Paulo. Obowiązki podążają za danymi, a nie za adresem rejestracji.

Zakres jest celowo szeroki. Obejmuje firmy prywatne każdej wielkości i branży, organizacje non-profit oraz podmioty publiczne, a kontrolerzy i operatorzy mają własne obowiązki. Podmioty małej skali nie są zwolnione. ANPD opublikowała uproszczone zasady, które dostosowują ich obowiązki, ale ich nie znoszą.

Dostosowanie zaczyna się od rzetelnego obrazu obecnego stanu. Inwentarz danych rejestruje każdą kategorię danych osobowych, jej cel i źródło, systemy, w których się znajdują, czas przechowywania i odbiorców. Klasyfikacja danych pokazuje następnie, które z tych kategorii są wrażliwe. Mapa przepływu danych rozszerza inwentarz o ruch: jak dane przemieszczają się między systemami, dostawcami i kanałami, takimi jak e-mail, chmura czy nośniki wymienne.

Ocena porównuje ten obraz z wymogami ustawy. Sprawdza, czy każda czynność ma podstawę prawną, czy dane wrażliwe otrzymują surowszą ochronę z art. 11, czy określono okresy przechowywania, czy istnieją umowy z operatorami i czy na żądanie osoby można faktycznie odpowiedzieć na podstawie tych systemów. Wynikiem jest raport luk i plan naprawczy z osobami odpowiedzialnymi i terminami. Przy przetwarzaniu na dużą skalę lub wysokim ryzyku ANPD może też zażądać raportu o skutkach dla ochrony danych (RIPD), który znacznie łatwiej napisać, gdy inwentarz już istnieje.

Konsola Anexet zawiera gotowe wzorce dla identyfikatorów, takich jak numery kont bankowych i paszportów, które są dobrym punktem wyjścia przy ustalaniu, jakich identyfikatorów szukać.

Dostosowanie działa jako cykl, a nie jednorazowy projekt. Procesy się zmieniają, dostawcy się zmieniają, a ANPD wciąż wydaje nowe zasady, dlatego dojrzałe programy powtarzają pięć tych samych kroków:

1. 1

   Zinwentaryzuj dane

   Spisz każdą kategorię danych osobowych, jej cel, źródło i miejsce przechowywania.

2. 2

   Zmapuj przepływy

   Prześledź, jak dane przemieszczają się między systemami, dostawcami i kanałami.

3. 3

   Zamknij luki

   Uzupełnij brakujące podstawy prawne, zasady przechowywania i umowy z operatorami, każdą z przypisanym właścicielem i terminem.

4. 4

   Udowodnij działanie

   Prowadź zapisy pokazujące, że kontrole działają, na przykład logi i ścieżkę audytu.

5. 5

   Powtórz cykl

   Przechodź przez te kroki ponownie, gdy zmienią się procesy, dostawcy lub zasady ANPD.

LGPD powstała z wyraźnym uwzględnieniem RODO, więc oba systemy są do siebie podobne. Mają wspólne zasady, takie jak ograniczenie celu i minimalizacja danych, katalog praw osób, inspektora ochrony danych oraz zgłaszanie naruszeń danych organowi nadzorczemu. Organizacja, która prowadzi już program RODO, rozpozna większość planu dostosowania.

Różnice tkwią w szczegółach, dlatego europejskiego programu nie da się po prostu przemianować na brazylijski:

Każde przetwarzanie musi opierać się na co najmniej jednej z dziesięciu podstaw prawnych z art. 7 dla zwykłych danych osobowych. Są wśród nich zgoda, obowiązek prawny, wykonanie umowy, ochrona życia lub bezpieczeństwa fizycznego, badania naukowe, prawnie uzasadniony interes kontrolera i ochrona kredytu. Dla danych wrażliwych, takich jak zdrowotne, biometryczne czy genetyczne, art. 11 zawęża wybór. Zasadą jest wyraźna i wyodrębniona zgoda, z wąskimi alternatywami dla ochrony zdrowia, badań i ochrony życia.

Prawnie uzasadniony interes, najczęściej używana i najmniej zrozumiała podstawa, wymaga, by kontroler zważył swój cel wobec praw i oczekiwań osób i udokumentował to ważenie. Zgoda musi być związana z konkretnym celem i można ją w każdej chwili cofnąć. Ustawa wspiera te podstawy egzekwowalnymi prawami: potwierdzeniem, dostępem, sprostowaniem, anonimizacją, zablokowaniem lub usunięciem, przenoszeniem danych oraz informacją, komu dane udostępniono.

LGPD nazywa swoich aktorów po portugalsku, a te nazwy pojawiają się w każdym planie dostosowania, bo każda rola ma odrębne obowiązki. Odpowiedzialność operatora jest subsydiarna, ale realna, a powołanie encarregado musi zostać publicznie ujawnione.

Zacznij od danych osobowych, których wyciek wyrządziłby najwięcej szkody, a potem zmapuj kanały, którymi naprawdę krążą. Dostosowanie planowane dla wszystkich zbiorów naraz zwykle utyka, więc pierwszy przegląd najbardziej ryzykownych przepływów zwykle daje najwięcej.

Podobna praca jest wymagana w ramach zgodności z CCPA w Kalifornii, dlatego inwentarz zbudowany dla jednego reżimu często może posłużyć drugiemu.

Czytaj dalej: System DLP Anexet Ultimate jako wsparcie w spełnianiu wymagań RODO.