LGPD.guide

LGPD

Das Allgemeine Datenschutzgesetz (LGPD), Gesetz Nr. 13.709/2018, ist ein brasilianisches Gesetz, das Richtlinien für die Verarbeitung personenbezogener Daten festlegt, um die Privatsphäre und die Rechte von Einzelpersonen zu schützen. Offiziell im September 2020 in Kraft getreten, gilt das LGPD für jede Operation, die personenbezogene Daten umfasst, unabhängig vom Medium, dem Land, in dem das Unternehmen seinen Sitz hat, oder dem Land, in dem die Daten gespeichert sind.

Ursprung und Inspiration

Das LGPD wurde stark vom Allgemeinen Datenschutzgesetz (GDPR) der Europäischen Union inspiriert, das 2018 in Kraft trat. Die GDPR setzte einen globalen Standard für den Datenschutz und beeinflusste die Schaffung ähnlicher Gesetze in anderen Ländern. Darüber hinaus berücksichtigte das LGPD auch Aspekte des California Consumer Privacy Act (CCPA) in den Vereinigten Staaten.

Vom LGPD inspirierte Gesetze

Seit seiner Einführung dient das LGPD als Referenz für andere Länder in Lateinamerika und anderen Regionen, die daran interessiert sind, ihre Datenschutzgesetze zu erstellen oder zu aktualisieren. Länder wie Chile und Argentinien haben Fortschritte bei der Schaffung ähnlicher Vorschriften gemacht, die das LGPD als Modell verwenden.

Wichtige Schwerpunktbereiche

1. Einwilligung

• Beschreibung: Die Einwilligung muss freiwillig, informiert und eindeutig gegeben werden, was bedeutet, dass die betroffene Person genau wissen muss, wofür ihre Daten verwendet werden, bevor sie ihre Zustimmung erteilt.
• Wichtigkeit: Ohne Einwilligung kann die Verarbeitung personenbezogener Daten als illegal angesehen werden, außer in bestimmten gesetzlich erlaubten Situationen (wie der Erfüllung gesetzlicher Verpflichtungen, der Vertragserfüllung, dem Schutz von Leben usw.).
• Best Practices: Verwenden Sie klare und einfache Formulare, um die Einwilligung einzuholen, und vermeiden Sie technische Begriffe oder Unklarheiten, die die betroffene Person verwirren könnten.

2. Rechte der betroffenen Personen

• Beschreibung: Das LGPD garantiert eine Reihe von Rechten für betroffene Personen, darunter:
  • Zugang zu Daten: Das Recht zu wissen, welche Daten verarbeitet werden.
  • Berichtigung: Das Recht, die Berichtigung unrichtiger, unvollständiger oder veralteter Daten zu verlangen.
  • Anonymisierung, Sperrung oder Löschung: Das Recht, die Anonymisierung, Sperrung oder Löschung von Daten zu verlangen, die als unnötig, übermäßig oder gesetzeswidrig verarbeitet gelten.
  • Datenübertragbarkeit: Das Recht zu verlangen, dass die eigenen Daten an einen anderen Dienstleister oder Produktanbieter übertragen werden.
  • Widerruf der Einwilligung: Das Recht, die Einwilligung jederzeit zu widerrufen.
  • Löschung von Daten: Das Recht, die Löschung personenbezogener Daten zu verlangen, die auf der Grundlage der Einwilligung verarbeitet wurden.
• Wichtigkeit: Die Gewährleistung dieser Rechte stärkt das Vertrauen der Verbraucher und hilft, Sanktionen zu vermeiden.
• Best Practices: Schaffen Sie klare und zugängliche Kanäle, damit betroffene Personen ihre Rechte ausüben können, und führen Sie Aufzeichnungen über alle Anfragen und deren Bearbeitung.

3. Spezifischer Zweck

• Beschreibung: Die Datenerhebung und -verarbeitung muss einen spezifischen und rechtmäßigen Zweck haben, der der betroffenen Person klar mitgeteilt werden muss.
• Wichtigkeit: Untersagt die Verwendung von Daten für Zwecke, die der betroffenen Person nicht mitgeteilt wurden, es sei denn, es wird eine neue Einwilligung eingeholt.
• Best Practices: Definieren und dokumentieren Sie klar die Zwecke, für die Daten erhoben werden, und stellen Sie sicher, dass alle Datenverarbeitungsvorgänge mit diesen Zwecken übereinstimmen.

4. Transparenz

• Beschreibung: Unternehmen müssen transparent in Bezug auf ihre Praktiken bei der Erhebung, Nutzung, Speicherung und Weitergabe personenbezogener Daten sein.
• Wichtigkeit: Transparenz ist notwendig, um das Vertrauen der betroffenen Personen zu gewinnen und zu erhalten.
• Best Practices: Stellen Sie eine klare und zugängliche Datenschutzerklärung bereit, die detailliert beschreibt, wie Daten verarbeitet werden, mit wem sie geteilt werden und welche Rechte betroffene Personen haben. Informieren Sie die betroffenen Personen über alle Änderungen dieser Praktiken.

5. Datensicherheit

• Beschreibung: Das LGPD verlangt von Unternehmen, technische und administrative Maßnahmen zu ergreifen, um personenbezogene Daten vor unbefugtem Zugriff, Zerstörung, Verlust, Veränderung oder jeder anderen Form der missbräuchlichen oder unrechtmäßigen Verarbeitung zu schützen.
• Wichtigkeit: Datenverletzungen können schwerwiegende rechtliche und finanzielle Konsequenzen haben und den Ruf des Unternehmens schädigen.
• Best Practices: Implementieren Sie Verschlüsselungssysteme, Zugangskontrollen, regelmäßige Backups und robuste Informationssicherheitsrichtlinien. Schulen Sie Mitarbeiter, Sicherheitsbedrohungen für Daten zu erkennen.

6. Rechenschaftspflicht

• Beschreibung: Das LGPD führt das Prinzip der Rechenschaftspflicht ein, was bedeutet, dass Unternehmen nicht nur das Gesetz einhalten müssen, sondern auch in der Lage sein müssen, ihre Einhaltung nachzuweisen.
• Wichtigkeit: Aufsichtsbehörden können den Nachweis verlangen, dass Datenverarbeitungsvorgänge den Anforderungen des LGPD entsprechen.
• Best Practices: Führen Sie detaillierte Aufzeichnungen über alle Datenverarbeitungsvorgänge, führen Sie regelmäßige Audits durch und stellen Sie sicher, dass alle Dokumentationen, Richtlinien und Verfahren auf dem neuesten Stand und zugänglich sind.

7. Datenschutzbeauftragter (DPO)

• Beschreibung: Die Ernennung eines Datenschutzbeauftragten (DPO) ist für Unternehmen, die große Mengen an Daten verarbeiten, verpflichtend.
• Wichtigkeit: Der DPO fungiert als Ansprechpartner zwischen dem Unternehmen, den betroffenen Personen und der nationalen Datenschutzbehörde (ANPD).
• Best Practices: Der DPO sollte über tiefgehende Kenntnisse des LGPD verfügen, an der Bewertung aller Datenverarbeitungsvorgänge beteiligt sein und für betroffene Personen und die ANPD zugänglich sein.

8. Verletzungsbenachrichtigungen

• Beschreibung: Im Falle von Sicherheitsvorfällen, die ein erhebliches Risiko oder Schaden für die betroffenen Personen darstellen können, muss das Unternehmen die ANPD und die betroffenen Personen benachrichtigen.
• Wichtigkeit: Verzögerte oder ausbleibende Benachrichtigungen können zu schweren Strafen führen und die Auswirkungen des Vorfalls verschärfen.
• Best Practices: Entwickeln Sie einen Vorfallsreaktionsplan, einschließlich klarer Verfahren zur schnellen und angemessenen Benachrichtigung der Behörden und der betroffenen Personen, sobald eine Verletzung festgestellt wird.