Vad är LGDP?

LGDP är en förkortning av Lei Geral de Proteção de Dados vilken är Brasiliens motsvarighet av GDPR. Vad skiljer de olika lagarna åt, vad innehåller den och vilka åtgärder ha företagare behövt att ta?

Lei Geral de Proteção de Dados

Brasiliens svar på GDPR, LGDP antogs år 2018 för att träda i kraft i februari år 2020. Lagen syftar till att förena landets över 40 olika stadgar gällande insamling, skydd och behandling av personuppgifter både på och utanför nätet. Lagen ersätter helt vissa tidigare regelverk och fungerar som ett komplement till andra. 

LGDP gäller också för alla företag och organisationer med samarbetspartners i Brasilien oavsett var i världen det enskilda företaget har sin bas. Därför måste företag som arbetar med eller behandlar persondata av Brasiliens befolkning vara väl pålästa om Lei Geral de Proteção de Dados.

Likheter mellan GDPR och LGDP

Företag som gjort sin research angående GDRP har ett stort försprång när det är dags att sätta sig in i regelverket kring LGDP då de i stora drag har flera gemensamma nämnare. Båda lagarna har en bred syn på vad innebörden eller definitionen av personuppgifter egentligen är. Brasiliens regering har ännu inte klargjort eller förtydligat exakt vad som ska menas med personuppgifter. Vad som framgår är att de är sådana uppgifter som kan identifiera en person fysiskt eller riskera att utsätta dem för någon typ av särbehandling.

Individens rättigheter

LGDP ger den enskilde individen nio grundläggande rättigheter när något företag registrerar personuppgifter. De nio rättigheterna är:

1. Rätten att bekräfta att bearbetningen finns.
2. Rätten till tillgång till uppgifterna.
3. Rätten att korrigera ofullständiga, felaktiga eller uppgifter som inte längre är aktuella.
4. Rätten att anonymisera, blockera eller radera onödiga eller överdrivna data eller data som inte behandlas i enlighet med LGDP.
5. Rätten till dataöverföring till en annan tjänst eller produktleverantör genom en uttrycklig begäran.
6. Rätten att radera personuppgifter som behandlas med den registrerades samtycke.
7. Rätten till information om offentliga och privata enheter som den registeransvarige har delat data med.
8. Rätten till information om möjligheten att neka samtycke och konsekvenserna av ett sådant förnekande. 
9. Rätten att återkalla samtycke.

Punkt nummer sju överensstämmer till stor del med GDPR:s motsvariga punkt “Rätt till att informeras” dock med en större tydlighet.

Viktiga skillnader mellan LGDP och GDPR

I stort är de två dataskyddslagarna lika men det finns också några viktiga skillnader. En skillnad är att samtliga organisationer, föreningar eller företag som behandlar brasilianska personuppgifter kommer att behöva anställa en särskild dataskyddsansvarig, DPO. För länder som följer GDPR anger den dataskyddslagen vid vilka tillfällen ett företag behöver anställa en särskild DPO. Brasilien har alltså valt en hårdare väg kring skyddet av individens personuppgifter. Dessutom skiljer sig sanktionerna åt.

Den kanske största och viktigaste skillnaden mellan LGDP och GDPR är antagligen vad som avser en rättslig grund för bearbetning av data. En registeransvarig för LGDP måste välja en av de tio punkter som en motivering till varför en individs personuppgifter ska behandlas, granskas eller sparas, till skillnad från GDPR:s sju punkter. Kreditskyddet är den mest betydelsefulla skillnaden. Punkterna finns listade i LGDP:s artikel sju och är:

• Med godkännande från den registrerade.
• Att uppfylla en juridisk eller lagstadgad skyldighet från den registeransvarige.
• Att utföra offentlig policy som anges i lagar eller förordningar, eller baserat på kontrakt, avtal eller liknande instrument.
• Att genomföra undersökningar av forskningsorgan som säkerställer, om möjligt, anonymisering av personuppgifter.
• Att utföra ett kontrakt eller preliminära förfaranden relaterade till ett avtal där den registrerade är en part på begäran av den registrerade.
• Att utöva rättigheter i rättsliga, administrativa eller skiljeförfaranden.
• För att skydda den registrerades- eller tredje parts liv eller fysiska säkerhet.
• För att skydda hälsan, i ett förfarande som utförs av hälso- och sjukvårdspersonal eller av hälso- och sjukvårdsenheter.
• Att uppfylla de legitima intressena hos den registeransvarige eller en tredje part, utom när den registrerades grundläggande rättigheter och friheter, som kräver skydd av personuppgifter, råder.
• För kreditskyddet.