LGPD Datenschutzkonformität

Das brasilianische Allgemeine Datenschutzgesetz oder die LGPD (Lei Geral de Proteção de Dados Pessoais) ist ein Gesetz, das 2018 verabschiedet wurde und 2020 in Kraft trat.

Dieses Gesetz dient als rechtliche Grundlage für die Datennutzung von Einzelpersonen in Brasilien, unabhängig davon, wo sich der Datenverarbeiter befindet. Ähnlich wie die DSGVO sind Unternehmen verpflichtet, die Daten von Einzelpersonen zu schützen, unabhängig von deren Standort.

Die LGPD gewährt den Betroffenen 9 Rechte, gibt die Definition für sensible Daten an und etabliert eine neue Datenschutzbehörde.

In diesem Artikel werden wir erläutern, was die LGPD ist, welche Rechte die Betroffenen haben und wie DataSunrise Ihrem Unternehmen helfen kann, konform zu bleiben.

Die Definition von sensiblen Daten

Die LGPD definiert sensible Daten als eine spezielle Kategorie personenbezogener Daten, die aufgrund ihrer sensiblen Natur zusätzlichen Schutz verdienen. Sensible Daten sind alle Daten, die sich beziehen auf:

1. Rassische oder ethnische Herkunft
2. Religiöse Überzeugungen
3. Politische Meinungen
4. Gesundheits- oder biometrische Daten
5. Sexuelle Orientierung
6. Genetische Daten
7. Strafregister

Die Verarbeitung sensibler Daten ist generell unter der LGPD untersagt. Es gibt Ausnahmen wie die ausdrückliche Einwilligung der betroffenen Person oder wenn die Verarbeitung für einen bestimmten Zweck notwendig ist, wie öffentliche Gesundheit oder Strafverfolgung.

Die LGPD stellt zusätzliche Anforderungen an die Verarbeitung sensibler Daten, zum Beispiel die Verpflichtung, eine ausdrückliche Einwilligung der betroffenen Person einzuholen, die betroffene Person über den spezifischen Zweck der Verarbeitung zu informieren und höhere Standards der Datensicherheit anzuwenden, um den Schutz sensibler Daten zu gewährleisten.

Betroffenenrechte nach der LGPD

Die LGPD gewährt den Betroffenen folgende Rechte:

1. Das Recht auf Zugang zu Daten.
2. Das Recht, die bestehende Verarbeitung zu bestätigen.
3. Das Recht, die Berichtigung unrichtiger, unvollständiger oder veralteter Daten zu verlangen.
4. Das Recht, unnötige oder übermäßige Informationen zu sperren oder zu löschen, wenn die Daten nicht im Einklang mit der LGPD verarbeitet werden.
5. Das Recht, Daten in einem strukturierten, gängigen und maschinenlesbaren Format an einen anderen Datenverarbeiter oder Dienst zu übertragen.
6. Das Recht auf Löschung personenbezogener Daten.
7. Das Recht, über öffentliche und private Stellen informiert zu werden, mit denen Daten geteilt werden.
8. Das Recht auf Auskunft über die Möglichkeit, die Einwilligung zu verweigern, und deren Konsequenzen.
9. Das Recht, die Einwilligung zu widerrufen.

Diese Rechte können jedoch Einschränkungen und Ausnahmen unterliegen, beispielsweise wenn die Verarbeitung zur Einhaltung gesetzlicher Verpflichtungen oder zur Erfüllung eines Vertrags notwendig ist.

Vergleich der LGPD und der DSGVO

Die LGPD ähnelt der DSGVO darin, dass beide Gesetze für Unternehmen und Organisationen gelten, die personenbezogene Daten unabhängig von ihrem Standort verarbeiten, und dass beide den Betroffenen ähnliche Rechte gewähren. Es gibt jedoch einige Unterschiede zwischen den beiden Gesetzen, wie die Beschreibung sensibler Daten, Anforderungen an die Datenpannenbenachrichtigung und Höchststrafen.

Zum Beispiel beträgt die Höchststrafe nach der DSGVO 4% des weltweiten Jahresumsatzes oder bis zu 20 Millionen Euro, je nachdem, welcher Betrag höher ist. Nach der LGPD betragen die Strafen 2% des Umsatzes in Brasilien für das vorhergehende Geschäftsjahr oder 50 Millionen Reais.

Wie können Unternehmen die LGPD einhalten?

Zunächst müssen Sie wissen, wer die LGPD einhalten muss. Die LGPD gilt für jede natürliche oder juristische Person, die personenbezogene Daten in Brasilien verarbeitet, unabhängig von deren Standort. Daher müssen nicht nur brasilianische Unternehmen, sondern auch ausländische Unternehmen, die personenbezogene Daten brasilianischer Personen verarbeiten, die LGPD einhalten.

Die LGPD gilt sowohl für öffentliche als auch für private Einrichtungen sowie für die Online- und Offline-Datenverarbeitung. Unternehmen müssen die Anforderungen der LGPD einhalten, einschließlich der Einholung von Einwilligungen, der Implementierung technischer und organisatorischer Maßnahmen zum Schutz personenbezogener Daten und der Gewährleistung der Betroffenenrechte ihrer Kunden.

Die LGPD gilt nicht:

1. Wenn Daten von einer Person ausschließlich für individuelle Zwecke verarbeitet werden.
2. Wenn Daten nur für journalistische, künstlerische, literarische oder akademische Zwecke verwendet werden.
3. Wenn Daten für die nationale Sicherheit, öffentliche Sicherheit, strafrechtliche Ermittlungen oder Strafverfolgungsmaßnahmen verwendet werden.

Die Autoridade Nacional de Proteção de Dados (ANPD) ist die Behörde, die für die Überwachung der Einhaltung der LGPD, die Erlassung von Regeln und Vorschriften zum Datenschutz und zur Privatsphäre, die Verhängung von Verwaltungssanktionen bei Verstößen gegen die LGPD sowie die Anforderung von Informationen über die Verarbeitung personenbezogener Daten von Datenverantwortlichen und -verarbeitern zuständig ist.

Um konform mit der LGPD zu bleiben, benötigen Sie folgendes:

1. Ernennen Sie einen DPO (Data Protection Officer). Diese Person ist verantwortlich für die Einhaltung der LGPD und fungiert als Vermittler zwischen dem Unternehmen, den Einzelpersonen und der ANPD.
2. Identifizieren Sie die personenbezogenen Daten, mit denen Sie arbeiten, wie sie verarbeitet werden und die Risiken, die mit dieser Verarbeitung verbunden sind.
3. Holen Sie die Einwilligung der Einzelpersonen ein, bevor Sie personenbezogene Daten sammeln, verwenden oder weitergeben.
4. Implementieren Sie geeignete technische und organisatorische Maßnahmen, um personenbezogene Daten vor unbefugtem Zugriff, Offenlegung, Änderung oder Zerstörung zu schützen.
5. Schulen Sie die Mitarbeiter darin, wie sie die LGPD einhalten müssen und was sie tun sollten, um personenbezogene Daten zu schützen.
6. Führen Sie Dokumentationen über die Einhaltung der LGPD.

Wie kann DataSunrise helfen?

DataSunrise ist eine Datenschutzsoftware, die Ihnen hilft, konform mit verschiedenen Datenschutzverordnungen und -gesetzen wie der CCPA, HIPAA und anderen zu bleiben.

Um zusammen mit DataSunrise die LGPD einzuhalten, können Sie Database Activity Monitoring nutzen. Sie wissen immer, wer Zugang zu den Daten hat, was dieser Benutzer mit den Daten gemacht hat und wann. Die Überwachung der Benutzeraktivitäten ermöglicht es Ihnen, die Sichtbarkeit der Benutzeraktionen zu erhöhen. Wenn es eine Warnung gibt, kann DataSunrise Benachrichtigungen per E-Mail, SNMP und verschiedene Instant-Messenger senden.

DataSunrise bietet statische und dynamische Datenmaskierung zum Schutz sensibler Daten. Mit der dynamischen Maskierung können Sie sensible Daten zum Zeitpunkt der Abfrage verbergen und benötigen keinen zusätzlichen Speicherplatz für eine Datenbankkopie. Mit der statischen Maskierung können Sie sensible Informationen in einem verschleierten Format als Kopie einer echten Datenbank senden.

Format-Beibehaltende Verschlüsselung ermöglicht es Ihnen, das ursprüngliche Format sensibler Daten beizubehalten. Mit der Entdeckung sensibler Daten wissen Sie immer, wo sensible Daten gespeichert sind. Mit unserer OCR-Datenerkennung können Sie problemlos nach sensiblen Daten in Bildern suchen. Eine schnelle und genaue Suche ermöglicht es Ihnen, nach der Entdeckung von Daten Maskierungs-, Audit- und Sicherheitsregeln auf diese anzuwenden.

DataSunrise stellt sicher, dass Ihre Daten unter Kontrolle sind und schützt sie, während Sie unterschiedlichen Verordnungen und Gesetzen wie der LGPD entsprechen.