¿De qué trata la Ley General de Protección de Datos Personales – LGPD?

La Ley General de Protección de Datos – LGPD (Ley n. 13.709, de 2018), prevé el tratamiento de datos personales de personas físicas, definiendo las hipótesis en las que dichos datos podrán ser utilizados legítimamente por terceros y establecer mecanismos para proteger los datos de los interesados contra usos inapropiados.

La LGPD es aplicable a los datos de las personas físicas y debe ser cumplida por las personas físicas y las entidades públicas o privadas, independientemente del país de su sede o donde se encuentren los datos, que realicen cualquier operación de tratamiento de datos personales, tales como la recolección, almacenamiento y puesta en común de datos con terceros, siempre que dicho tratamiento (i) se realice en el territorio nacional, (ii) tenga por objeto la oferta o suministro de bienes o servicios o el tratamiento de datos de personas físicas ubicadas en el territorio nacional, o, aún, (iii) cuando los datos personales hayan sido recabados en el territorio nacional.

¿Cómo puede ayudar la legislación de protección de datos personales a Brasil?

La LGPD tiene como objetivo proteger los derechos fundamentales relacionados con el ámbito de la información del ciudadano. Así, la Ley introduce una serie de nuevos derechos que aseguran una mayor transparencia en el tratamiento de los datos y dan protagonismo al titular en su uso.

La aprobación de la LGPD y la creación de la Autoridad Nacional de Protección de Datos – ANPD también representan pasos importantes para colocar a Brasil al mismo nivel que muchos otros países que ya aprobaron leyes y estructuras institucionales de esta naturaleza.

La constitución de un entorno legal enfocado en la protección de datos personales corresponde también al alineamiento con los lineamientos de la Organización para la Cooperación y el Desarrollo Económicos – OCDE, que durante décadas ha jugado un papel importante en la promoción del respeto a la privacidad como valor fundamental y como un supuesto para el libre flujo de datos.

Finalmente, desde el punto de vista de los agentes de tratamiento, ya sean empresas o el propio gobierno, la LGPD brinda la oportunidad de mejorar las políticas de gobierno de datos, con la adopción de normas de buenas prácticas y la incorporación de medidas técnicas y administrativas. que mitigan los riesgos y aumentan la confianza de los interesados en la organización.

¿Cuándo entró en vigor la LGPD?

La ley entró en vigor de manera escalonada:

· El 28 de diciembre de 2018, en relación con los arts. 55-A, 55-B, 55-C, 55-D, 55-E, 55-F, 55-G, 55-H, 55-I, 55-J, 55-K, 55-L, 58- A y 58-B, que versan sobre la constitución de la Autoridad Nacional de Protección de Datos – ANPD y del Consejo Nacional de Protección de Datos Personales y Privacidad – CNPDPP.

· El 18 de septiembre de 2020, respecto de los demás artículos de la ley, con excepción de las disposiciones relativas a la aplicación de sanciones administrativas;

· El 1 de agosto de 2021, respecto de los arts. 52, 53 y 54, que tratan de las sanciones administrativas.

Con la LGPD, ¿cómo va el Registro Positivo?

Por ser ley general, se aplican las normas del Código de Protección al Consumidor (Ley N° 8078/90) para el tratamiento de datos negativos y la Ley de Registro Positivo (Ley N° 12414/2011) para el tratamiento de datos positivos.

En el artículo 7, fracción X, de la LGPD, el legislador menciona expresamente que el tratamiento de datos personales puede realizarse para la “protección del crédito”. En el mismo artículo, reconoce las disposiciones existentes en la legislación correspondiente, incluyendo así las leyes que tratan específicamente de crédito.

¿Qué es el tratamiento de datos personales, según la LGPD?

De acuerdo con la LGPD, se considera tratamiento de datos personales cualquier operación realizada con datos personales, tales como las referidas a la recogida, producción, recepción, clasificación, uso, acceso, reproducción, transmisión, distribución, tratamiento, archivo, almacenamiento, eliminación, evaluación o control de información, modificación, comunicación, transferencia, difusión o extracción.

¿Qué son los datos personales?

La LGPD adopta un concepto abierto de dato personal, definido como información relativa a una persona física identificada o identificable.

Así, además de la información básica relacionada con el nombre, número de inscripción en el Registro General (RG) o en el Registro Nacional de Contribuyentes (CPF) y domicilio, también se consideran datos personales otros datos que permitan la identificación de una persona física, tales como orientación sexual, afiliación a partidos políticos, historial médico y también los referidos a aspectos biométricos del individuo.

De acuerdo con la LGPD, también pueden ser considerados como datos de carácter personal aquellos utilizados para formar el perfil de comportamiento de una determinada persona física, en caso de identificarse.

La LGPD adopta un concepto abierto de dato personal, definido como información relativa a una persona física identificada o identificable.

Así, además de la información básica relacionada con el nombre, número de inscripción en el Registro General (RG) o en el Registro Nacional de Contribuyentes (CPF) y domicilio, también se consideran datos personales otros datos que permitan la identificación de una persona física, tales como orientación sexual, afiliación a partidos políticos, historial médico y también los referidos a aspectos biométricos del individuo.

De acuerdo con la LGPD, también pueden ser considerados como datos de carácter personal aquellos utilizados para formar el perfil de comportamiento de una determinada persona física, en caso de identificarse.

Con la LGPD, ¿cómo va el Registro Positivo?

Por ser ley general, se aplican las normas del Código de Protección al Consumidor (Ley N° 8078/90) para el tratamiento de datos negativos y la Ley de Registro Positivo (Ley N° 12414/2011) para el tratamiento de datos positivos.

En el artículo 7, fracción X, de la LGPD, el legislador menciona expresamente que el tratamiento de datos personales puede realizarse para la “protección del crédito”. En el mismo artículo, reconoce las disposiciones existentes en la legislación correspondiente, incluyendo así las leyes que tratan específicamente de crédito.

¿Qué es el tratamiento de datos personales, según la LGPD?

De acuerdo con la LGPD, se considera tratamiento de datos personales cualquier operación realizada con datos personales, tales como las referidas a la recogida, producción, recepción, clasificación, uso, acceso, reproducción, transmisión, distribución, tratamiento, archivo, almacenamiento, eliminación, evaluación o control de información, modificación, comunicación, transferencia, difusión o extracción.

¿Qué son los datos personales?

La LGPD adopta un concepto abierto de dato personal, definido como información relativa a una persona física identificada o identificable.

Así, además de la información básica relacionada con el nombre, número de inscripción en el Registro General (RG) o en el Registro Nacional de Contribuyentes (CPF) y domicilio, también se consideran datos personales otros datos que permitan la identificación de una persona física, tales como orientación sexual, afiliación a partidos políticos, historial médico y también los referidos a aspectos biométricos del individuo.

De acuerdo con la LGPD, también pueden ser considerados como datos de carácter personal aquellos utilizados para formar el perfil de comportamiento de una determinada persona física, en caso de identificarse.

La LGPD adopta un concepto abierto de dato personal, definido como información relativa a una persona física identificada o identificable.

Así, además de la información básica relacionada con el nombre, número de inscripción en el Registro General (RG) o en el Registro Nacional de Contribuyentes (CPF) y domicilio, también se consideran datos personales otros datos que permitan la identificación de una persona física, tales como orientación sexual, afiliación a partidos políticos, historial médico y también los referidos a aspectos biométricos del individuo.

De acuerdo con la LGPD, también pueden ser considerados como datos de carácter personal aquellos utilizados para formar el perfil de comportamiento de una determinada persona física, en caso de identificarse.

¿Qué son los datos personales sensibles?

Los datos personales sensibles son aquellos a los que la LGPD ha otorgado aún mayor protección, ya que están directamente relacionados con los aspectos más íntimos de la personalidad de un individuo.

Así, son datos personales sensibles aquellos relacionados con el origen racial o étnico, la convicción religiosa, la opinión política, la afiliación u organización sindical de carácter religioso, filosófico o político, los datos referentes a la salud o la vida sexual, los datos genéticos o biométricos, cuando se vinculen a un individual.

Sobre los datos considerados sensibles, ¿qué tal el tema de los datos biométricos?

La LGPD clasifica los datos biométricos como datos personales sensibles, dotando aún de mayor rigor a los criterios aplicables a su tratamiento. En estos casos, el tratamiento podrá realizarse sin el consentimiento del titular cuando se trate de hipótesis que incluyan el cumplimiento de una obligación legal o reglamentaria y la prevención del fraude y la seguridad del titular, entre otras.

¿Qué datos están protegidos por la LGPD?

La LGPD garantiza la protección de todos los datos cuyos titulares sean personas físicas, ya sea en formato físico o digital. Así, la LGPD no alcanza los datos en posesión de las personas jurídicas -que no tienen la consideración de datos personales para los efectos de la Ley.

¿En qué casos se pueden tratar los datos personales?

Con la entrada en vigor de la LGPD, el tratamiento de datos personales podrá realizarse cuando se verifique alguna de las hipótesis previstas en su artículo 7 o, tratándose de datos personales sensibles, alguna de las previstas en el artículo 11. Diez bases legales distintas para el procesamiento de datos personales y ocho bases legales que legitiman el procesamiento de datos personales sensibles.

Cabe señalar que la LGPD también es aplicable a los datos cuyo acceso es público y a los que se hagan manifiestamente públicos por los titulares, salvaguardando la observancia de los principios generales y derechos de los titulares previstos en la Ley.

¿Cuáles son las bases legales para el tratamiento de datos personales?

El tratamiento de datos personales (no sensibles) podrá realizarse en cualquiera de los siguientes supuestos, previstos en el art. 7 de la LGPD:

· Previa prestación del consentimiento por parte del titular;

· Para el cumplimiento de una obligación legal o reglamentaria por parte del responsable del tratamiento;

· Para la ejecución de políticas públicas, por parte de la administración pública;

· Realizar estudios por organismo de investigación;

· Para la ejecución de un contrato o trámites preliminares relacionados con un contrato en el que el titular de los datos sea parte, a solicitud del titular de los datos;

· Para el ejercicio ordinario de derechos en procedimientos judiciales, administrativos o arbitrales;

· Para la protección de la vida o integridad física del titular o de un tercero;

· Para la protección de la salud, exclusivamente, en un procedimiento realizado por profesionales de la salud, servicios de salud o autoridades sanitarias;

· Para satisfacer intereses legítimos del responsable del tratamiento o de un tercero, salvo que prevalezcan los derechos y libertades fundamentales del titular que requieran la protección de datos personales;

· Para protección de crédito.

¿Cuáles son los derechos de los ciudadanos con la entrada en vigor de la LGPD?

La LGPD prevé una amplia gama de derechos para los interesados, entre los que se pueden destacar los siguientes:

· facilitar el acceso a la información sobre el tratamiento de sus datos, que deberá estar disponible de forma clara, adecuada y notoria;

· confirmación de la existencia del tratamiento;

· acceso a los datos;

· corrección de datos incompletos, inexactos o desactualizados;

· anonimización, bloqueo o eliminación de datos innecesarios, excesivos o tratados en violación de las disposiciones de esta Ley;

· portabilidad de los datos a otro proveedor de servicios o productos, previa solicitud expresa, de conformidad con las normas de la autoridad nacional, observando secretos comerciales e industriales;

· supresión de los datos personales tratados con el consentimiento del titular, excepto en los casos previstos en el art. 16 de la LGPD;

· información sobre entidades públicas y privadas con las que el controlador compartió datos;

· información sobre la posibilidad de no dar su consentimiento y sobre las consecuencias de la denegación;

· revocación del consentimiento, previa manifestación expresa del titular, a través de un procedimiento gratuito y facilitado;

· petición en relación con sus datos contra el controlador, ante la autoridad nacional y ante los organismos de protección al consumidor;

· oposición al tratamiento realizado en base a una de las hipótesis de renuncia al consentimiento, en caso de incumplimiento de lo dispuesto en la LGPD;

· solicitar la revisión de las decisiones tomadas únicamente sobre la base del tratamiento automatizado de datos personales que afecten a sus intereses, incluidas las decisiones destinadas a definir su perfil personal, profesional, de consumo y crediticio o aspectos de su personalidad; Es

· suministro, previa solicitud, de información clara y adecuada sobre los criterios y procedimientos utilizados para la toma de decisiones automatizada, observando secretos comerciales e industriales.

¿Cuáles son los derechos de los ciudadanos con la entrada en vigor de la LGPD?

La LGPD prevé una amplia gama de derechos para los interesados, entre los que se pueden destacar los siguientes:

· facilitar el acceso a la información sobre el tratamiento de sus datos, que deberá estar disponible de forma clara, adecuada y notoria;

· confirmación de la existencia del tratamiento;

· acceso a los datos;

· corrección de datos incompletos, inexactos o desactualizados;

· anonimización, bloqueo o eliminación de datos innecesarios, excesivos o tratados en violación de las disposiciones de esta Ley;

· portabilidad de los datos a otro proveedor de servicios o productos, previa solicitud expresa, de conformidad con las normas de la autoridad nacional, observando secretos comerciales e industriales;

· supresión de los datos personales tratados con el consentimiento del titular, excepto en los casos previstos en el art. 16 de la LGPD;

· información sobre entidades públicas y privadas con las que el controlador compartió datos;

· información sobre la posibilidad de no dar su consentimiento y sobre las consecuencias de la denegación;

· revocación del consentimiento, previa manifestación expresa del titular, a través de un procedimiento gratuito y facilitado;

· petición en relación con sus datos contra el controlador, ante la autoridad nacional y ante los organismos de protección al consumidor;

· oposición al tratamiento realizado en base a una de las hipótesis de renuncia al consentimiento, en caso de incumplimiento de lo dispuesto en la LGPD;

· solicitar la revisión de las decisiones tomadas únicamente sobre la base del tratamiento automatizado de datos personales que afecten a sus intereses, incluidas las decisiones destinadas a definir su perfil personal, profesional, de consumo y crediticio o aspectos de su personalidad; Es

· suministro, previa solicitud, de información clara y adecuada sobre los criterios y procedimientos utilizados para la toma de decisiones automatizada, observando secretos comerciales e industriales.

¿Qué deben hacer las empresas y el gobierno para cumplir?

La LGPD establece una serie de medidas que deben adoptar los agentes de tratamiento, entre las que se encuentran identificar las bases legales que justifican las actividades de tratamiento de datos; la adopción de procesos y políticas internas que aseguren el cumplimiento de las normas de protección de datos personales; y el establecimiento de un canal de contacto con los titulares de los datos personales.

La Ley determina que los responsables del tratamiento deberán designar un Responsable para que actúe como canal de comunicación entre el responsable, los interesados y la ANPD. En determinadas circunstancias, dependiendo de la naturaleza y tamaño de la entidad o del volumen de operaciones de tratamiento de datos, la ANPD podrá establecer hipótesis para dispensar de su indicación.

Todavía no tenemos nada de acuerdo a lo que pide la LGPD. ¿Qué hacer?

Es importante recordar que los datos personales permean toda la organización, por lo que el éxito de este trabajo dependerá del esfuerzo e implicación de todos. Los primeros pasos deben tener la dirección de la empresa involucrada y consciente de la necesidad de cumplir, para tener un patrocinador fuerte, para formar un equipo multidisciplinario que involucre varias áreas, como cumplimiento, tecnología, seguridad y gobierno, legal y recursos. Humanos

¿Cuál es el perfil deseado para el Supervisor (DPO)?

La Designación del Titular debe basarse en las cualidades profesionales del candidato, particularmente en su conocimiento legal y regulatorio, en tecnología y seguridad de la información, liderazgo organizacional, concientización/educador, y también, con conocimiento en gobernabilidad. Cuanto más complejas sean las actividades de tratamiento de datos que realice la organización, mayor será el nivel de conocimientos técnicos del Responsable del Tratamiento de Datos Personales (RPD).

¿Cuál es la implicación del área de TI en el proyecto de adecuación?

La participación del área de TI es muy importante en el proceso de cumplimiento, ya que involucra desde apoyar la disponibilidad de sistemas que soporten las demandas de privacidad hasta asegurar que las herramientas, procesos y buenas prácticas de seguridad de la información estén implementadas y de acuerdo.

Esta área tiene una participación amplia e integral ya que la Ley deja claro que las empresas deben adoptar medidas técnicas y administrativas para asegurar la protección de sus datos personales. No obstante, es fundamental la implicación de todas las áreas, especialmente de las áreas legal, de cumplimiento y de negocio.

¿Cuál es el trabajo del Capataz (DPO) en la práctica?

El Responsable desempeñará un papel fundamental en las decisiones estratégicas de las organizaciones y deberá tener autonomía sobre las actividades que impliquen cualquier tipo de tratamiento de datos, además de tener contacto directo con la dirección de la empresa, tomando decisiones que cumplan con la ley.

Tal y como trata la LGPD en su artículo 41, el DPO/Encargado debe tener las siguientes atribuciones:

· aceptar quejas y comunicaciones de los titulares, brindar aclaraciones y adoptar medidas;

· recibir comunicaciones de la autoridad nacional y tomar medidas;

· orientar a los empleados y contratistas de la entidad sobre las prácticas a adoptar en relación con la protección de datos personales;

· realizar las demás atribuciones que determine el responsable del tratamiento o que se establezcan en normas complementarias.

Además de estas atribuciones, la ANPD, Autoridad Nacional de Protección de Datos, podrá establecer reglas adicionales sobre la definición y atribuciones del responsable.

¿Cuál es la implicación del área de TI en el proyecto de adecuación?

La participación del área de TI es muy importante en el proceso de cumplimiento, ya que involucra desde apoyar la disponibilidad de sistemas que soporten las demandas de privacidad hasta asegurar que las herramientas, procesos y buenas prácticas de seguridad de la información estén implementadas y de acuerdo.

Esta área tiene una participación amplia e integral ya que la Ley deja claro que las empresas deben adoptar medidas técnicas y administrativas para asegurar la protección de sus datos personales. No obstante, es fundamental la implicación de todas las áreas, especialmente de las áreas legal, de cumplimiento y de negocio.

¿Qué importancia tiene la tecnología para la implementación de la LGPD?

El proceso para cumplir con la LGPD debe pasar por personas, áreas, procesos, sistemas, socios legales y tecnológicos. Por todas estas variables involucradas, entendemos que la tecnología sí marca la diferencia y es importante, ya que, dependiendo del tamaño y nivel de complejidad de una organización, administrar todas estas entidades de acuerdo con los requisitos de la ley sin una herramienta de gestión que puede agregar, registrar y controlar todas estas demandas puede convertirse en un proyecto extremadamente difícil.

Según el art. 49 de la Ley, los sistemas utilizados para el tratamiento de datos personales deberán estar estructurados de manera que cumplan con los requisitos de seguridad, las normas de buenas prácticas y buen gobierno y los principios generales previstos en esta Ley y demás normas reglamentarias.

¿Qué es el mapeo de datos y cómo hacerlo?

El Mapeo de Datos consiste en levantar, a través de la estructura de la organización, con recursos propios o con una empresa especializada, todos los elementos asociados a datos personales. Con esta información se crea un inventario, que básicamente puede ser de cuatro tipos:

· Tablas activas o bases de datos completas, aplicaciones que conservan datos no electrónicos o archivos físicos;

· Proveedores de sistemas con los que se comparten datos personales, como un CRM en la nube;

· Procesos o actividades que de alguna manera manipulen información personal;

· Las empresas asociadas también manejan datos personales bajo nuestra responsabilidad. ¿Cuál es el perfil deseado para el Supervisor (DPO)?

La Designación del Titular debe basarse en las cualidades profesionales del candidato, particularmente en su conocimiento legal y regulatorio, en tecnología y seguridad de la información, liderazgo organizacional, concientización/educador, y también, con conocimiento en gobernabilidad. Cuanto más complejas sean las actividades de tratamiento de datos que realice la organización, mayor será el nivel de conocimientos técnicos del Responsable del Tratamiento de Datos Personales (RPD).

¿Cuál es la implicación del área de TI en el proyecto de adecuación?

La participación del área de TI es muy importante en el proceso de cumplimiento, ya que involucra desde apoyar la disponibilidad de sistemas que soporten las demandas de privacidad hasta asegurar que las herramientas, procesos y buenas prácticas de seguridad de la información estén implementadas y de acuerdo.

Esta área tiene una participación amplia e integral ya que la Ley deja claro que las empresas deben adoptar medidas técnicas y administrativas para asegurar la protección de sus datos personales. No obstante, es fundamental la implicación de todas las áreas, especialmente de las áreas legal, de cumplimiento y de negocio.

¿Cuál es el trabajo del Capataz (DPO) en la práctica?

El Responsable desempeñará un papel fundamental en las decisiones estratégicas de las organizaciones y deberá tener autonomía sobre las actividades que impliquen cualquier tipo de tratamiento de datos, además de tener contacto directo con la dirección de la empresa, tomando decisiones que cumplan con la ley.

Tal y como trata la LGPD en su artículo 41, el DPO/Encargado debe tener las siguientes atribuciones:

· aceptar quejas y comunicaciones de los titulares, brindar aclaraciones y adoptar medidas;

· recibir comunicaciones de la autoridad nacional y tomar medidas;

· orientar a los empleados y contratistas de la entidad sobre las prácticas a adoptar en relación con la protección de datos personales;

· realizar las demás atribuciones que determine el responsable del tratamiento o que se establezcan en normas complementarias.

Además de estas atribuciones, la ANPD, Autoridad Nacional de Protección de Datos, podrá establecer reglas adicionales sobre la definición y atribuciones del responsable.

¿Cuál es la implicación del área de TI en el proyecto de adecuación?

La participación del área de TI es muy importante en el proceso de cumplimiento, ya que involucra desde apoyar la disponibilidad de sistemas que soporten las demandas de privacidad hasta asegurar que las herramientas, procesos y buenas prácticas de seguridad de la información estén implementadas y de acuerdo.

Esta área tiene una participación amplia e integral ya que la Ley deja claro que las empresas deben adoptar medidas técnicas y administrativas para asegurar la protección de sus datos personales. No obstante, es fundamental la implicación de todas las áreas, especialmente de las áreas legal, de cumplimiento y de negocio.

¿Qué importancia tiene la tecnología para la implementación de la LGPD?

El proceso para cumplir con la LGPD debe pasar por personas, áreas, procesos, sistemas, socios legales y tecnológicos. Por todas estas variables involucradas, entendemos que la tecnología sí marca la diferencia y es importante, ya que, dependiendo del tamaño y nivel de complejidad de una organización, administrar todas estas entidades de acuerdo con los requisitos de la ley sin una herramienta de gestión que puede agregar, registrar y controlar todas estas demandas puede convertirse en un proyecto extremadamente difícil.

Según el art. 49 de la Ley, los sistemas utilizados para el tratamiento de datos personales deberán estar estructurados de manera que cumplan con los requisitos de seguridad, las normas de buenas prácticas y buen gobierno y los principios generales previstos en esta Ley y demás normas reglamentarias.

¿Qué es el mapeo de datos y cómo hacerlo?

El Mapeo de Datos consiste en levantar, a través de la estructura de la organización, con recursos propios o con una empresa especializada, todos los elementos asociados a datos personales. Con esta información se crea un inventario, que básicamente puede ser de cuatro tipos:

· Tablas activas o bases de datos completas, aplicaciones que conservan datos no electrónicos o archivos físicos;

· Proveedores de sistemas con los que se comparten datos personales, como un CRM en la nube;

· Procesos o actividades que de alguna manera manipulen información personal;

· Las empresas asociadas también manejan datos personales bajo nuestra responsabilidad.

Después de definir qué se inventariará, el siguiente paso es mapearlo a través de un proceso iterativo e incremental. Es decir, es interesante empezar a mapear lo que se sabe, ya que desde un principio ya es posible tomar conciencia de los desfases y posibles riesgos que conlleva.

¿El formulario de consentimiento puede ser escrito o digital? En el caso de lo digital, ¿hay alguna regla a seguir?

El término del consentimiento puede adquirirse tanto físico como digital, pero debe serlo, como establece el art. 8, “por escrito o por otro medio que demuestre la expresión de la voluntad del titular”. Al igual que el RGPD, la Ley General de Protección de Datos trae consigo la preocupación de limitar la retención de datos únicamente a lo estrictamente necesario para su tratamiento.

En la Ley no existe un plazo fijo para la conservación de los datos tratados, pero establece, en su Art. 16, que “los datos personales serán eliminados después de la finalización de su tratamiento, dentro del ámbito y límites técnicos de las actividades”. Se observa, por tanto, que el plazo de conservación de los datos en la LGPD está condicionado a la finalidad declarada por el responsable del tratamiento, y que, una vez utilizados, deberán ser eliminados de sus servidores.

¿Qué es la Autoridad Nacional de Protección de Datos Personales – ANPD?

La ANPD es el órgano de la administración pública federal responsable de garantizar la protección de los datos personales y de implementar y supervisar el cumplimiento de la LGPD en Brasil.

Ver: https://www.gov.br/anpd/pt-br

¿Cuál es el papel de la Autoridad Nacional de Protección de Datos – ANPD?

La ANPD tiene como misión institucional asegurar la más amplia y correcta observancia de la LGPD en Brasil y, en esa medida, garantizar la debida protección a los derechos fundamentales de libertad, intimidad y libre desarrollo de la personalidad de las personas.

El artículo 55-J de la LGPD establece las principales facultades de la ANPD, entre las que se destacan las siguientes:

· desarrollar lineamientos para la Política Nacional de Protección de Datos Personales y Privacidad;

· vigilar y aplicar sanciones en caso de tratamiento de datos realizado en contravención de la legislación, a través de un proceso administrativo que asegure la contradictoria, amplia defensa y el derecho de apelación;

· promover el conocimiento de la población sobre las normas y políticas públicas sobre protección de datos personales y medidas de seguridad;

· fomentar la adopción de estándares para servicios y productos que faciliten el ejercicio del control de los titulares sobre sus datos personales, que deben tener en cuenta las especificidades de las actividades y el tamaño de los responsables;

· promover acciones de cooperación con las autoridades de protección de datos personales de otros países, ya sean de carácter internacional o transnacional;

· editar reglamentos y procedimientos sobre protección de datos personales y privacidad, así como sobre informes sobre el impacto de la protección de datos personales para los casos en que el tratamiento suponga un alto riesgo para la garantía de los principios generales de protección de datos personales previstos en la presente Ley;

· escuchar a los agentes de tratamiento ya la sociedad en asuntos de relevante interés e informar sobre sus actividades y planificación;

· editar reglas, lineamientos y procedimientos simplificados y diferenciados, incluyendo plazos, para que las micro y pequeñas empresas, así como las iniciativas empresariales de carácter incremental o disruptivo que se declaren startups o empresas de innovación, puedan adecuarse a la Ley;

· deliberar, en el ámbito administrativo, con carácter resolutorio, sobre la interpretación de la LGPD, sus competencias y omisiones;

· articularse con las autoridades reguladoras públicas para ejercer sus facultades en sectores específicos de actividades económicas y gubernamentales sujetas a regulación; Es

· Implementar mecanismos simplificados, incluyendo medios electrónicos, para el registro de denuncias sobre el tratamiento de datos personales en contravención a la presente Ley.

¿Cuándo se creó la ANPD?

La ANPD fue creada por la Medida Provisional n. 869, del 27 de diciembre de 2018, luego convertida en Ley n. 13.853, del 14 de agosto de 2019.

A su vez, el Decreto 10.474, del 26 de agosto de 2020, aprobó la Estructura Normativa y el Cuadro Demostrativo de Cargos en Comisiones y Funciones de Fideicomiso de la ANPD, con entrada en vigencia a partir de la fecha de publicación del nombramiento del Director-Presidente de la ANPD en el Diario Oficial de la Federación.

¿Cuál es la estructura de la ANPD?

De conformidad con el art. 55-C de la LGPD y el art. 3 del Decreto 10.474/20, la ANPD tiene la siguiente composición:

· Consejo de Administración, máximo órgano de dirección, integrado por cinco Consejeros, incluido el Consejero Delegado;

· Consejo Nacional de Protección de Datos Personales y Privacidad, órgano consultivo integrado por 23 representantes de los organismos públicos, la sociedad civil, la comunidad científica, el sector productivo y empresarial y el sector laboral.

· Órganos de asistencia directa e inmediata al Consejo de Administración:

a) Secretaría General;

b) Coordinación General de Administración; Es

c) Coordinación General de Relaciones Institucionales e Internacionales;

· Cuerpos seccionales:

a) Asuntos Internos;

b) Defensor del Pueblo; Es

c) Asesoramiento Jurídico; Es

· Órganos específicos singulares:

a) Coordinación General de Normalización;

b) Coordinación de Inspección General; Es

c) Coordinación General de Tecnología e Investigación.

Ver: https://www.gov.br/anpd/pt-br/acesso-a-informacao/institucional/estrutura-organizacional-1

¿Es la ANPD una autoridad independiente?

A pesar de ser un órgano de la administración pública federal directa, la ANPD cuenta con algunas características institucionales que le otorgan una mayor independencia, tales como la autonomía técnica y decisoria y el mandato fijo de los Directores.

La LGPD también establece que la naturaleza jurídica de la ANPD es transitoria y puede ser transformada por el Poder Ejecutivo en una entidad indirecta de la administración pública federal, sujeta a un régimen autárquico especial y vinculada a la Presidencia de la República. Dicha evaluación deberá realizarse dentro de los 2 (dos) años contados a partir de la fecha de entrada en vigencia del marco normativo de la ANPD.

¿La ANPD puede aplicar sanciones por incumplimiento de la ley?

Cabe recordar, en primer lugar, que las disposiciones de la LGPD relativas a las sanciones administrativas sólo entrarán en vigor el 1 de agosto de 2021. A partir de esa fecha, la ANPD podrá aplicar, tras un procedimiento administrativo que permita la plena defensa, las siguientes sanciones administrativas :

· advertencia, indicando el plazo para la adopción de medidas correctivas;

· multa simple de hasta el 2% (dos por ciento) de la facturación de la persona jurídica privada, grupo o conglomerado en Brasil en su último ejercicio, excluidos impuestos, limitada en total a R$ 50.000.000,00 (cincuenta millones de reales) por infracción;

· multa diaria, sujeta al límite total a que se refiere el inciso II;

· publicación de la infracción después de que su ocurrencia haya sido debidamente investigada y comprobada;

· bloqueo de los datos personales a que se refiere la infracción hasta que se regularice;

· supresión de los datos personales a los que se refiere la infracción;

· suspensión parcial del funcionamiento del banco de datos a que se refiere la infracción por un plazo máximo de 6 (seis) meses, prorrogables por igual período, hasta que la actividad de tratamiento sea regularizada por el responsable del tratamiento;

· Suspensión de la actividad de tratamiento de datos personales a que se refiere la infracción por un plazo máximo de 6 (seis) meses, prorrogables por igual período; Es

· prohibición parcial o total de realizar actividades relacionadas con el tratamiento de datos.

¿La ANPD colabora con otras entidades y organismos públicos en el ejercicio de sus competencias?

Sí. La ANPD debe coordinarse con otras entidades y organismos públicos para asegurar el cumplimiento de su misión institucional, actuando como órgano central de interpretación de la LGPD y estableciendo normas y lineamientos para su implementación.

La LGPD determina, por ejemplo, que la ANPD y los organismos y entidades públicas responsables de la regulación de sectores específicos de la actividad económica y gubernamental deben coordinar sus actividades, en los ámbitos de actuación correspondientes, con miras a asegurar el cumplimiento de sus atribuciones con la mayor cuidado posible. eficiencia y promover el buen funcionamiento de los sectores regulados. Asimismo, la LGPD determina que la ANPD deberá comunicar a las autoridades competentes las infracciones penales de las que tenga conocimiento.

Es importante señalar que la aplicación de las sanciones previstas en la LGPD es competencia exclusiva de la ANPD, y sus competencias prevalecerán, en materia de protección de datos personales, sobre las competencias conexas de otras entidades u órganos de la administración pública. .

¿Cuál es el perfil de los Directores de la ANPD? ¿Cómo se eligen?

La LGPD determina que el Directorio de la ANPD estará integrado por 5 (cinco) directores, incluido el Gerente General. Los miembros son elegidos por el Presidente de la República y designados por él, previa aprobación del Senado Federal, y deben ser elegidos entre brasileños que tengan reputación intachable, nivel superior de instrucción y alta reputación en el campo de la especialidad de la cargos a los que serán designados.

La duración del mandato de los miembros del Consejo de Administración será de 4 (cuatro) años. Con el fin de garantizar que dichos períodos no coincidan (es decir, que terminen en años diferentes), los períodos de los primeros miembros de la Junta Directiva designados serán 2 (dos), 3 (tres), 4 (cuatro) , 5 (cinco) y 6 (seis) años, según lo establecido en el acta de nombramiento.

¿Para qué sirve el Consejo Nacional de Protección de Datos Personales y Privacidad – CNPDPP?

El Consejo Nacional de Protección de Datos Personales y Privacidad es una entidad consultiva que posibilita la participación de diferentes segmentos sociales en la conformación del entorno normativo de protección de datos personales. Sus funciones principales son:

· proponer lineamientos estratégicos y otorgar subsidios para la elaboración de la Política Nacional de Protección de Datos Personales y Privacidad y para el desempeño de la ANPD;

· preparar informes anuales que evalúen la implementación de las acciones de la Política Nacional de Protección de Datos Personales y Privacidad;

· sugerir acciones a ser realizadas por la ANPD;

· preparar estudios y celebrar debates y audiencias públicas sobre la protección de datos personales y la privacidad; Es

· difundir conocimientos sobre la protección de datos personales y la privacidad a la población.

La participación en el Consejo Nacional de Protección de Datos Personales y Privacidad tendrá la consideración de prestación de un servicio público relevante y no remunerado.

Es importante señalar que la aplicación de las sanciones previstas en la LGPD es competencia exclusiva de la ANPD, y sus competencias prevalecerán, en materia de protección de datos personales, sobre las competencias conexas de otras entidades u órganos de la administración pública. .

¿Cuál es el perfil de los Directores de la ANPD? ¿Cómo se eligen?

La LGPD determina que el Directorio de la ANPD estará integrado por 5 (cinco) directores, incluido el Gerente General. Los miembros son elegidos por el Presidente de la República y designados por él, previa aprobación del Senado Federal, y deben ser elegidos entre brasileños que tengan reputación intachable, nivel superior de instrucción y alta reputación en el campo de la especialidad de la cargos a los que serán designados.

La duración del mandato de los miembros del Consejo de Administración será de 4 (cuatro) años. Con el fin de garantizar que dichos períodos no coincidan (es decir, que terminen en años diferentes), los períodos de los primeros miembros de la Junta Directiva designados serán 2 (dos), 3 (tres), 4 (cuatro) , 5 (cinco) y 6 (seis) años, según lo establecido en el acta de nombramiento.

¿Para qué sirve el Consejo Nacional de Protección de Datos Personales y Privacidad – CNPDPP?

El Consejo Nacional de Protección de Datos Personales y Privacidad es una entidad consultiva que posibilita la participación de diferentes segmentos sociales en la conformación del entorno normativo de protección de datos personales. Sus funciones principales son:

· proponer lineamientos estratégicos y otorgar subsidios para la elaboración de la Política Nacional de Protección de Datos Personales y Privacidad y para el desempeño de la ANPD;

· preparar informes anuales que evalúen la implementación de las acciones de la Política Nacional de Protección de Datos Personales y Privacidad;

· sugerir acciones a ser realizadas por la ANPD;

· preparar estudios y celebrar debates y audiencias públicas sobre la protección de datos personales y la privacidad; Es

· difundir conocimientos sobre la protección de datos personales y la privacidad a la población.

La participación en el Consejo Nacional de Protección de Datos Personales y Privacidad tendrá la consideración de prestación de un servicio público relevante y no remunerado.

¿Cómo se elegirán los miembros del CNPDPP?

La CNPDPP está integrada por veintitrés representantes, titulares y suplentes, de los siguientes órganos y entidades:

· 5 (cinco) del Poder Ejecutivo Federal;

· 1 (uno) del Senado Federal;

· 1 (uno) de la Cámara de Diputados;

· 1 (uno) del Consejo Nacional de Justicia;

· 1 (uno) del Consejo Nacional del Ministerio Público;

· 1 (uno) del Comité Directivo de Internet de Brasil;

· 3 (tres) de entidades de la sociedad civil con actividades relacionadas con la protección de datos personales;

· 3 (tres) de instituciones científicas, tecnológicas y de innovación;

· 3 (tres) centrales sindicales representativas de las categorías económicas del sector productivo;

· 2 (dos) entidades representativas del sector empresarial relacionado con el área de tratamiento de datos personales; Es

· 2 (dos) de entidades representativas del sector laboral.

Los miembros de la CNPDPP y sus suplentes serán designados por el Presidente de la República.

Las nominaciones de miembros representantes de los órganos del Poder Ejecutivo, del Poder Legislativo, del Consejo Nacional de Justicia, del Consejo Nacional del Ministerio Público y del Comité de Gestión de Internet en Brasil deben ser presentadas por los titulares de los órganos al Ministro de Estado. Titular de la Casa Civil de la Presidencia de la República.

Las demás candidaturas podrán ser presentadas libremente al Directorio de la ANPD por las entidades representativas de los distintos segmentos, en el plazo de treinta días, contados a partir de la publicación del aviso de convocatoria en el Diario Oficial de la Unión. Recibidas las postulaciones, la Junta Directiva formará una lista triple de titulares y suplentes para cada vacante, la cual será remitida al Ministro de Estado, Jefe de Gabinete de la Presidencia de la República, para su designación por el Presidente de la República. República.

Ver: https://www.gov.br/anpd/pt-br/composicao-1/conselho-nacional-de-protecao-de-dados-pessoais-e-privacidade-cnpd

¿Cómo participará la sociedad en el trabajo de la ANPD?

En los términos de la LGPD, corresponde a la ANPD escuchar a los agentes de tratamiento ya la sociedad en asuntos de interés relevante e informar sobre sus actividades y planificación. Asimismo, los reglamentos y normas que emita la ANPD deberán estar precedidos de consulta y audiencia pública, así como de análisis de impacto normativo.

Finalmente, cabe recordar que el CNPDPP es la forma de participación institucionalizada de los diferentes grupos sociales en la ANPD.

¿Las personas naturales y jurídicas, públicas o privadas, que realicen actividades de tratamiento de datos personales tendrán que trasladar sus bases de datos a la ANPD?

Las personas físicas o jurídicas que realicen tratamientos de datos no estarán obligadas a trasladar sus bases de datos a la ANPD. Corresponde a la ANPD supervisar y aplicar sanciones cuando el tratamiento de datos se produzca con infracción de la legislación en materia de protección de datos, mediante vía administrativa, con defensa contradictoria y plena.

EUROPA

¿Qué es el RGPD?

El Reglamento general de protección de datos es una ley de la Unión Europea que se implementó el 25 de mayo de 2018 y requiere que las organizaciones protejan los datos personales y defiendan los derechos de privacidad de cualquier persona en el territorio de la UE. El reglamento incluye siete principios de protección de datos que deben implementarse y ocho derechos de privacidad que deben facilitarse. También faculta a las autoridades de protección de datos a nivel de los estados miembros para hacer cumplir el RGPD con sanciones y multas. El RGPD reemplazó la Directiva de Protección de Datos de 1995, que creó un mosaico de leyes de protección de datos país por país. El RGPD, aprobado en el Parlamento Europeo por abrumadora mayoría, unifica la UE bajo un régimen único de protección de datos.

Lea nuestro resumen del RGPD para obtener una descripción general de la ley. ( https://gdpr.eu/que-es-gdpr/ )

¿Quién debe cumplir con el RGPD?

Cualquier organización que procese datos personales de personas en la UE debe cumplir con el RGPD. “Procesamiento” es un término amplio que cubre casi todo lo que puede hacer con los datos: recopilación, almacenamiento, transmisión, análisis, etc. “Datos personales” es cualquier información relacionada con una persona, como nombres, direcciones de correo electrónico, direcciones IP , color de ojos, afiliación política, etc. Incluso si una organización no está conectada a la UE, si procesa los datos personales de las personas en la UE (a través del seguimiento en su sitio web, por ejemplo), debe cumplir. El RGPD tampoco se limita a las empresas con fines de lucro.

Encuentra más información sobre quién debe cumplir con el RGPD: https://gdpr.eu/companies-outside-of-europe/ ¿Cómo participará la sociedad en el trabajo de la ANPD?

En los términos de la LGPD, corresponde a la ANPD escuchar a los agentes de tratamiento ya la sociedad en asuntos de interés relevante e informar sobre sus actividades y planificación. Asimismo, los reglamentos y normas que emita la ANPD deberán estar precedidos de consulta y audiencia pública, así como de análisis de impacto normativo.

Finalmente, cabe recordar que el CNPDPP es la forma de participación institucionalizada de los diferentes grupos sociales en la ANPD.

¿Las personas naturales y jurídicas, públicas o privadas, que realicen actividades de tratamiento de datos personales tendrán que trasladar sus bases de datos a la ANPD?

Las personas físicas o jurídicas que realicen tratamientos de datos no estarán obligadas a trasladar sus bases de datos a la ANPD. Corresponde a la ANPD supervisar y aplicar sanciones cuando el tratamiento de datos se produzca con infracción de la legislación en materia de protección de datos, mediante vía administrativa, con defensa contradictoria y plena.

EUROPA

¿Qué es el RGPD?

El Reglamento general de protección de datos es una ley de la Unión Europea que se implementó el 25 de mayo de 2018 y requiere que las organizaciones protejan los datos personales y defiendan los derechos de privacidad de cualquier persona en el territorio de la UE. El reglamento incluye siete principios de protección de datos que deben implementarse y ocho derechos de privacidad que deben facilitarse. También faculta a las autoridades de protección de datos a nivel de los estados miembros para hacer cumplir el RGPD con sanciones y multas. El RGPD reemplazó la Directiva de Protección de Datos de 1995, que creó un mosaico de leyes de protección de datos país por país. El RGPD, aprobado en el Parlamento Europeo por abrumadora mayoría, unifica la UE bajo un régimen único de protección de datos.

Lea nuestro resumen del RGPD para obtener una descripción general de la ley. ( https://gdpr.eu/que-es-gdpr/ )

¿Quién debe cumplir con el RGPD?

Cualquier organización que procese datos personales de personas en la UE debe cumplir con el RGPD. “Procesamiento” es un término amplio que cubre casi todo lo que puede hacer con los datos: recopilación, almacenamiento, transmisión, análisis, etc. “Datos personales” es cualquier información relacionada con una persona, como nombres, direcciones de correo electrónico, direcciones IP , color de ojos, afiliación política, etc. Incluso si una organización no está conectada a la UE, si procesa los datos personales de las personas en la UE (a través del seguimiento en su sitio web, por ejemplo), debe cumplir. El RGPD tampoco se limita a las empresas con fines de lucro.

Encuentra más información sobre quién debe cumplir con el RGPD: https://gdpr.eu/companies-outside-of-europe/

¿Cuáles son las multas del RGPD?

El RGPD permite a las autoridades de protección de datos de cada país imponer sanciones y multas a las organizaciones que considere infractoras. La sanción máxima es de 20 millones de euros o el 4 % de los ingresos globales, lo que sea mayor. Las autoridades de protección de datos también pueden imponer sanciones, como prohibiciones de procesamiento de datos o amonestaciones públicas.

Obtenga más información sobre cómo se evalúan las multas del RGPD: https://gdpr.eu/fines/

¿Cómo cumplo con el RGPD?

Las organizaciones pueden cumplir con el RGPD mediante la implementación de medidas de seguridad técnicas y operativas para proteger los datos personales que controlan. El primer paso es realizar una evaluación de GDPR para determinar qué datos personales controlan, dónde se encuentran y cómo se protegen. También deben cumplir con los principios de privacidad descritos en el RGPD, como obtener el consentimiento y garantizar la portabilidad de los datos. También se le puede solicitar que designe un Delegado de Protección de Datos y actualice su aviso de privacidad ( https://gdpr.eu/privacy-notice/ ), entre otras medidas organizativas.

Revise nuestra lista de verificación de GDPR para obtener más información sobre los pasos para el cumplimiento: https://gdpr.eu/checklist/

¿Qué es un Delegado de Protección de Datos?

Un Oficial de Protección de Datos (DPO) es un empleado dentro de su organización que es responsable de comprender el RGPD y garantizar el cumplimiento de su organización. El DPO es el principal punto de contacto de la autoridad de protección de datos. Por lo general, el DPO tiene conocimiento tanto de la tecnología de la información como de la ley.

Obtenga más información sobre el rol de Oficial de Protección de Datos aquí: https://gdpr.eu/data-protection-officer/

¿El RGPD requiere encriptación?

El RGPD requiere que las organizaciones implementen “medidas técnicas y organizativas apropiadas” para proteger los datos personales y proporciona una breve lista de opciones para hacerlo, incluido el cifrado. En muchos casos, el cifrado es el método más viable para proteger los datos personales. Por ejemplo, si envía regularmente correos electrónicos dentro de su organización que contienen información personal, puede ser más eficiente utilizar un servicio de correo electrónico encriptado que anonimizar la información cada vez.