Czym jest ANPD
Autoridade Nacional de Proteção de Dados (ANPD) to federalny urząd Brazylii, który nadzoruje przestrzeganie Lei Geral de Proteção de Dados (LGPD), ogólnej ustawy brazylijskiej o ochronie danych osobowych (ustawa nr 13.709/2018). Sama ustawa powołała ANPD, która rozpoczęła działalność w 2020 roku. Później uzyskała status specjalnej autonomicznej agencji federalnej (autarquia especial) podległej ministerstwu sprawiedliwości. Ma własny budżet i niezależność administracyjną od regulatorów sektorowych.
Zakres jest szeroki. LGPD dotyczy każdego przetwarzania danych osobowych prowadzonego w Brazylii lub skierowanego do osób przebywających na jej terytorium. ANPD nadzoruje zatem firmy, organy publiczne i organizacje non-profit we wszystkich branżach, w tym w ochronie zdrowia, finansach, telekomunikacji, edukacji i administracji publicznej. Regulatorzy sektorowi zachowują własne kompetencje i działają obok niej.
Uprawnienia i narzędzia regulacyjne
ANPD łączy role twórcy przepisów, doradcy i organu egzekwującego przepisy. Jej główne narzędzia to:
| Narzędzie | Co oznacza |
|---|---|
| Rozporządzenia | Wiążące przepisy wykonujące LGPD, np. zgłaszanie naruszeń |
| Wytyczne i wykładnia | Oficjalne stanowiska, wytyczne techniczne i konsultacje publiczne |
| Nadzór i kontrola | Uprawnienie do żądania informacji, audytu przetwarzania i wymagania dowodów |
| Postępowania i sankcje | Postępowania administracyjne, które mogą zakończyć się upomnieniem, karą lub ograniczeniami |
| Współpraca | Koordynacja z brazylijskimi organami i zagranicznymi regulatorami ochrony danych |
Postępowania wyjaśniające
Sprawy trafiają do ANPD ze skarg osób, których dane dotyczą, zgłoszeń naruszeń danych od organizacji, skierowań od innych organów lub z własnego monitoringu urzędu. Po wszczęciu postępowania administrator może zostać wezwany do przedstawienia dokumentów i wyjaśnień. Sprawa może zakończyć się zobowiązaniem naprawczym albo przejść do formalnego postępowania administracyjnego, w którym strony przedstawiają swoją obronę.
Przy rozważaniu sankcji urząd ocenia czynniki określone w ustawie: wagę i charakter naruszenia, charakter danych, w tym danych wrażliwych, to, czy wystąpiła szkoda, złą wiarę, uzyskaną korzyść ekonomiczną, recydywę i współpracę z postępowaniem. Od 2023 roku kryteria te są szczegółowo opisane w regulaminach ANPD dotyczących kontroli i sankcji. Egzekwowanie przeszło od dokumentów wytycznych do znacznych kar w sprawach tworzących precedensy.
Sankcje, które może nałożyć ANPD
Na podstawie art. 52 LGPD potwierdzone naruszenie może skutkować stopniowanymi sankcjami. Kary dzienne mogą być nakładane przez cały czas trwania naruszenia. Kary oblicza się od przychodu w Brazylii w poprzednim roku obrotowym, z pominięciem podatków, i ogranicza do 50 milionów reali za jedno naruszenie.
| Sankcja | Na czym polega | Dotyczy |
|---|---|---|
| Upomnienie | Termin na działania naprawcze, zwykle przy drobnych lub pierwszych naruszeniach | Drobnych lub pierwszych naruszeń |
| Kary | Do 2% przychodu w Brazylii, nie więcej niż 50 milionów reali | Przychodu w Brazylii w poprzednim roku obrotowym, bez podatków |
| Podanie do wiadomości publicznej | Publikacja decyzji po zakończeniu postępowania | Potwierdzonego naruszenia |
| Blokada lub usunięcie danych | Blokada danych, których dotyczy naruszenie, do czasu naprawy, albo nakaz ich usunięcia | Danych, których dotyczy naruszenie |
| Zawieszenie i zakaz | Częściowe zawieszenie bazy danych na okres do sześciu miesięcy lub zakaz przetwarzania | Czynności przetwarzania |
ANPD w świecie
LGPD silnie wzorowała się na europejskim RODO. W Brazylii ANPD zajmuje pozycję, jaką w UE mają krajowe organy nadzorcze: niezależnego regulatora, który egzekwuje ustawę i nadaje jej praktyczne znaczenie przez regulacje. Uczestniczy w międzynarodowych sieciach współpracy, takich jak Global Privacy Assembly. Sprawy transgraniczne coraz częściej obejmują równoległe postępowania przed ANPD i organami europejskimi.
Dla organizacji wielonarodowych ochrona danych w Brazylii to odrębny nurt pracy. Zasady, terminy i sankcje ANPD obejmują przetwarzanie sięgające Brazylii, nawet gdy główna siedziba firmy i jej dokumentacja RODO znajdują się gdzie indziej.
Jak organizacje współpracują z ANPD
Dla organizacji przetwarzającej dane osobowe w Brazylii relacje z urzędem mają głównie charakter zapobiegawczy i proceduralny. Te obowiązki zwykle wchodzą w skład programu dostosowania do LGPD:
| Obowiązek | Co oznacza |
|---|---|
| Inspektor ochrony danych (encarregado)Kontakt z ANPD | Wyznaczyć osobę do żądań i kontaktu z ANPD; podać jej dane publicznie |
| Zgłoszenie naruszeniaRaport o incydencie | Zgłosić istotne incydenty w ciągu trzech dni roboczych od wykrycia |
| Żądania informacjiDokumentacja | Przedstawić dokumentację przetwarzania w wyznaczonych terminach |
| Konsultacja uprzedniaPrzetwarzanie wysokiego ryzyka | Skonsultować się z ANPD przed przetwarzaniem, jeśli wysokie ryzyko pozostaje |
| Transfery międzynarodoweMechanizm transferu | Stosować prawny mechanizm transferu, np. standardowe klauzule umowne ANPD |
Od czego zacząć
Firma przetwarzająca dane osobowe w Brazylii może zacząć od krótkiej listy: kto jest administratorem danych, jakie kategorie danych przechowuje, kto odpowiada na żądania ANPD i kto zgłosi incydent w ciągu trzech dni roboczych. Kontrole takie jak ochrona przed utratą danych (DLP) pomagają ustalić, dokąd te dane trafiają. Organizacje międzynarodowe powinny traktować Brazylię jako odrębny nurt pracy, a nie przypis do programu RODO.
Czytaj dalej: System DLP Anexet Ultimate jako wsparcie w spełnianiu wymagań RODO.
Pierwsze pytanie regulatora rzadko dotyczy samego naruszenia. Pyta, kto przechowuje dane osobowe, po co i kto za nie odpowiada.
Anexet Team