LGPD.guide

LGPD

Luật Bảo vệ Dữ liệu Cá nhân (LGPD), Luật số 13.709/2018, là một luật pháp của Brazil thiết lập các hướng dẫn về việc xử lý dữ liệu cá nhân, nhằm bảo vệ quyền riêng tư và quyền của các cá nhân. Được thực hiện chính thức vào tháng 9 năm 2020, LGPD áp dụng cho bất kỳ hoạt động nào liên quan đến dữ liệu cá nhân, không phụ thuộc vào phương tiện, quốc gia nơi công ty đặt trụ sở, hoặc quốc gia nơi dữ liệu được lưu trữ.

Nguồn gốc và Cảm hứng

LGPD được lấy cảm hứng mạnh mẽ từ Quy định Chung về Bảo vệ Dữ liệu (GDPR) của Liên minh Châu Âu, có hiệu lực vào năm 2018. GDPR đã thiết lập một cột mốc toàn cầu về bảo vệ dữ liệu, ảnh hưởng đến việc tạo ra các luật tương tự ở các quốc gia khác. Ngoài ra, LGPD cũng đã xem xét các khía cạnh của Luật Quyền riêng tư Người tiêu dùng California (CCPA) ở Hoa Kỳ.

Các Luật Được Cảm Hứng từ LGPD

Kể từ khi được thực hiện, LGPD đã trở thành mô hình cho các quốc gia khác ở Mỹ Latinh và các khu vực khác đang tìm cách tạo ra hoặc cập nhật các luật bảo vệ dữ liệu của họ. Các quốc gia như Chile và Argentina đã tiến xa trong việc tạo ra các quy định tương tự, lấy LGPD làm mô hình.

Các Điểm Chính Cần Chú Ý

1. Sự Đồng Ý

Mô tả: Sự đồng ý phải được cung cấp một cách tự do, thông tin và rõ ràng, có nghĩa là chủ sở hữu dữ liệu phải biết chính xác dữ liệu của họ sẽ được sử dụng như thế nào trước khi cấp phép.
Tầm quan trọng: Nếu không có sự đồng ý, việc xử lý dữ liệu cá nhân có thể bị coi là bất hợp pháp, trừ những tình huống cụ thể được pháp luật cho phép (như thực hiện nghĩa vụ pháp lý, thực hiện hợp đồng, bảo vệ sự sống, v.v.).
Thực hành tốt: Sử dụng các biểu mẫu rõ ràng và đơn giản để thu thập sự đồng ý, tránh các thuật ngữ kỹ thuật hoặc mơ hồ có thể gây nhầm lẫn cho chủ sở hữu dữ liệu.

2. Quyền của Các Chủ Sở Hữu Dữ Liệu

Mô tả: LGPD đảm bảo một loạt các quyền cho các chủ sở hữu dữ liệu, bao gồm:
- Truy Cập Dữ Liệu: Quyền biết dữ liệu nào đang được xử lý.
- Sửa Chữa: Quyền yêu cầu sửa chữa dữ liệu không chính xác, không đầy đủ hoặc đã lỗi thời.
- Ẩn Danh, Khóa hoặc Xóa: Quyền yêu cầu dữ liệu không cần thiết, quá mức hoặc được xử lý không phù hợp với luật pháp phải được ẩn danh, khóa hoặc xóa.
- Chuyển Giao: Quyền yêu cầu dữ liệu của bạn được chuyển cho nhà cung cấp dịch vụ hoặc sản phẩm khác.
- Hủy Bỏ Sự Đồng Ý: Quyền rút lại sự đồng ý vào bất kỳ lúc nào.
- Xóa Dữ Liệu: Quyền yêu cầu xóa dữ liệu cá nhân được xử lý dựa trên sự đồng ý.
Tầm quan trọng: Đảm bảo các quyền này củng cố niềm tin của người tiêu dùng và giúp tránh các hình phạt.
Thực hành tốt: Thiết lập các kênh rõ ràng và dễ tiếp cận để các chủ sở hữu có thể thực hiện quyền của mình, và duy trì hồ sơ tất cả các yêu cầu của chủ sở hữu và cách chúng đã được đáp ứng.

3. Mục Đích Cụ Thể

Mô tả: Việc thu thập và xử lý dữ liệu phải có mục đích cụ thể và hợp pháp, được thông báo rõ ràng cho chủ sở hữu.
Tầm quan trọng: Cấm sử dụng dữ liệu cho các mục đích khác không được thông báo cho chủ sở hữu, trừ khi sự đồng ý mới được thu thập.
Thực hành tốt: Xác định và ghi chép rõ ràng các mục đích mà dữ liệu đang được thu thập và đảm bảo rằng tất cả các hoạt động xử lý đều phù hợp với các mục đích này.

4. Minh Bạch

Mô tả: Các công ty phải minh bạch về các thực hành thu thập, sử dụng, lưu trữ và chia sẻ dữ liệu cá nhân.
Tầm quan trọng: Minh bạch là rất quan trọng để xây dựng và duy trì niềm tin của các chủ sở hữu dữ liệu.
Thực hành tốt: Cung cấp chính sách quyền riêng tư rõ ràng và dễ tiếp cận, chi tiết cách dữ liệu được xử lý, với ai được chia sẻ và quyền của các chủ sở hữu. Giữ cho các chủ sở hữu được thông báo về bất kỳ thay đổi nào trong các thực hành này.

5. An Ninh Dữ Liệu

Mô tả: LGPD yêu cầu các công ty thực hiện các biện pháp kỹ thuật và quản lý để bảo vệ dữ liệu cá nhân khỏi truy cập trái phép, phá hủy, mất mát, thay đổi hoặc bất kỳ hình thức xử lý không phù hợp hoặc bất hợp pháp nào.
Tầm quan trọng: Vi phạm dữ liệu có thể dẫn đến hậu quả pháp lý và tài chính nghiêm trọng, cùng với tổn hại đến danh tiếng của công ty.
Thực hành tốt: Triển khai mã hóa, kiểm soát truy cập, sao lưu định kỳ và các chính sách an ninh thông tin vững chắc. Đào tạo nhân viên để nhận diện các mối đe dọa an ninh dữ liệu.

6. Trách Nhiệm

Mô tả: LGPD thiết lập nguyên tắc trách nhiệm, có nghĩa là các công ty không chỉ phải tuân thủ luật pháp mà còn phải có khả năng chứng minh sự tuân thủ đó.
Tầm quan trọng: Các cơ quan quản lý có thể yêu cầu bằng chứng về việc các thực hành xử lý dữ liệu tuân thủ LGPD.
Thực hành tốt: Duy trì hồ sơ chi tiết của tất cả các hoạt động xử lý dữ liệu, thực hiện kiểm toán định kỳ, và đảm bảo rằng tất cả các chính sách và quy trình đều được ghi chép và có thể tiếp cận.

7. Người Đại Diện Bảo Mật Dữ Liệu (DPO)

Mô tả: Việc bổ nhiệm một Người Đại Diện Bảo Mật Dữ Liệu, còn được gọi là Data Protection Officer (DPO), là bắt buộc đối với các công ty thực hiện xử lý dữ liệu quy mô lớn.
Tầm quan trọng: DPO hoạt động như điểm liên lạc giữa công ty, các chủ sở hữu dữ liệu và Cơ quan Bảo vệ Dữ liệu Quốc gia (ANPD).
Thực hành tốt: DPO nên có kiến thức sâu rộng về LGPD, tham gia vào việc xem xét tất cả các thực hành xử lý dữ liệu, và có thể tiếp cận với các chủ sở hữu và ANPD.

8. Thông Báo Vi phạm

Mô tả: Trong trường hợp xảy ra sự cố an ninh có thể gây rủi ro hoặc thiệt hại nghiêm trọng cho các chủ sở hữu dữ liệu, công ty phải thông báo cho ANPD và các chủ sở hữu bị ảnh hưởng.
Tầm quan trọng: Thông báo muộn hoặc không có thể dẫn đến các hình phạt nghiêm trọng và làm tăng tác động của sự cố.
Thực hành tốt: Xây dựng kế hoạch phản ứng với sự cố, bao gồm các quy trình rõ ràng để thông báo nhanh chóng và chính xác cho các cơ quan và các chủ sở hữu ngay khi phát hiện sự vi phạm.