LGPD.guide

LGPD

通用数据保护法 (LGPD)，法律第13.709/2018号，是巴西的一项立法，规定了个人数据处理的指导方针，旨在保护个人隐私和权利。该法律于2020年9月正式实施，适用于涉及个人数据的任何操作，无论是通过何种媒介、公司所在的国家，还是数据所在的国家。

起源与灵感

LGPD在很大程度上受到欧盟《通用数据保护条例 (GDPR)》的启发，GDPR于2018年生效，为数据保护设立了全球性的标杆，影响了其他国家类似立法的制定。此外，LGPD还考虑了美国加州消费者隐私法 (CCPA) 的一些方面。

受LGPD启发的法律

自实施以来，LGPD已成为其他拉丁美洲国家及其他地区在制定或更新数据保护立法时的参考。智利和阿根廷等国家在制定类似规范方面取得了进展，以LGPD为模型。

主要关注点

1. 同意

• 描述: 同意必须以自由、知情和明确的方式提供，这意味着数据主体在同意之前必须清楚知道其数据将如何使用。
• 重要性: 没有同意，个人数据处理可能被视为非法，除非法律允许的特定情况（如法律义务的履行、合同的执行、生命保护等）。
• 最佳实践: 使用清晰简单的表格来获取同意，避免使用技术术语或可能混淆数据主体的模糊表述。

2. 数据主体的权利

• 描述: LGPD保证数据主体享有一系列权利，包括：
  • 访问数据: 知道哪些数据正在被处理的权利。
  • 修正: 请求修正错误、不完整或过时数据的权利。
  • 匿名化、锁定或删除: 要求对不必要、过多或违反法律处理的数据进行匿名化、锁定或删除的权利。
  • 数据转移: 请求将数据转移到其他服务提供商或产品的权利。
  • 撤回同意: 随时撤回同意的权利。
  • 删除数据: 请求删除基于同意处理的个人数据的权利。
• 重要性: 确保这些权利能增强消费者信任，并帮助避免罚款。
• 最佳实践: 建立清晰和可访问的渠道，让数据主体能够行使其权利，并记录所有主体的请求及其处理方式。

3. 特定目的

• 描述: 数据的收集和处理必须具有明确和合法的目的，并清楚地告知数据主体。
• 重要性: 禁止将数据用于未告知主体的其他目的，除非获得新的同意。
• 最佳实践: 明确定义和记录数据收集的目的，确保所有处理活动都与这些目的保持一致。

4. 透明度

• 描述: 公司必须对个人数据的收集、使用、存储和共享实践保持透明。
• 重要性: 透明度对于建立和维持数据主体的信任至关重要。
• 最佳实践: 提供清晰且易于访问的隐私政策，详细说明数据的处理方式、共享对象及主体的权利。随时更新主体关于这些实践的变更。

5. 数据安全

• 描述: LGPD要求公司实施技术和行政措施，以保护个人数据免受未经授权的访问、破坏、丢失、篡改或任何形式的不当或非法处理。
• 重要性: 数据泄露可能导致严重的法律和财务后果，并损害公司的声誉。
• 最佳实践: 实施加密、访问控制、定期备份和强有力的信息安全政策。培训员工识别数据安全威胁。

6. 责任

• 描述: LGPD确立了责任原则，这意味着公司不仅要遵守法律，还要能够证明其合规性。
• 重要性: 监管机构可能要求提供证据，证明数据处理实践符合LGPD。
• 最佳实践: 保持详细的处理活动记录，定期进行审计，确保所有政策和程序都已记录并可访问。

7. 数据保护官 (DPO)

• 描述: 对于大规模处理数据的公司，必须指定数据保护官（DPO）。
• 重要性: DPO作为公司、数据主体和国家数据保护局（ANPD）之间的联系点。
• 最佳实践: DPO应对LGPD有深入了解，参与所有数据处理实践的审查，并对数据主体和ANPD保持开放。

8. 事件通知

• 描述: 如果发生可能对数据主体造成重大风险或损害的安全事件，公司必须通知ANPD和受影响的主体。
• 重要性: 迟延或缺乏通知可能导致严重处罚，并加重事件的影响。
• 最佳实践: 建立事件响应计划，包括明确的程序，用于在检测到泄露时迅速而适当地通知相关权威机构和主体。