LGPD-Konformität

Das brasilianische Allgemeine Datenschutzgesetz oder LGPD (Lei Geral de Proteção de Dados Pessoais) ist ein Gesetz, das 2018 verabschiedet wurde und 2020 in Kraft getreten ist.

Dieses Gesetz dient als rechtliche Grundlage für die Datennutzung von Personen in Brasilien, unabhängig davon, wo sich der Datenverarbeiter befindet. Ähnlich der DSGVO sind Unternehmen verpflichtet, die Daten von Personen zu schützen, unabhängig von deren Standort.

Die LGPD gewährt dem Datensubjekt 9 Rechte, definiert sensible Daten und etabliert eine neue Datenschutzbehörde.

In diesem Artikel werden wir erläutern, was die LGPD ist, welche Rechte Datensubjekte haben und wie DataSunrise Ihrem Unternehmen helfen kann, konform zu bleiben.

Die Definition von sensiblen Daten

Die LGPD definiert sensible Daten als eine besondere Kategorie persönlicher Daten, die aufgrund ihrer sensitiven Natur zusätzlichen Schutz verdienen. Sensible Daten sind alle Daten, die verbunden sind mit:

1. Rassische oder ethnische Herkunft
2. Religiöse Überzeugungen
3. Politische Meinungen
4. Gesundheits- oder biometrische Daten
5. Sexuelle Orientierung
6. Genetische Daten
7. Strafregister

Die Verarbeitung sensibler Daten ist unter der LGPD grundsätzlich verboten. Es gibt Ausnahmen wie die ausdrückliche Einwilligung des Datensubjekts oder wenn die Verarbeitung für einen bestimmten Zweck notwendig ist, wie zum Beispiel die öffentliche Gesundheit oder die Strafverfolgung.

Die LGPD stellt zusätzliche Anforderungen an die Verarbeitung sensibler Daten, wie zum Beispiel die Pflicht, die ausdrückliche Einwilligung des Datensubjekts einzuholen, das Datensubjekt über den spezifischen Zweck der Verarbeitung zu informieren und höhere Standards der Datensicherheit anzuwenden, um den Schutz sensibler Daten zu gewährleisten.

Rechte der Datensubjekte gemäß der LGPD

Die LGPD gewährt den Datensubjekten die folgenden Rechte:

1. Das Recht auf Datenzugang.
2. Das Recht, die bestehende Verarbeitung zu bestätigen.
3. Das Recht, die Berichtigung ungenauer, unvollständiger oder veralteter Daten zu verlangen.
4. Das Recht, unnötige oder überschüssige Informationen zu sperren oder zu löschen, wenn die Datenverarbeitung nicht im Einklang mit der LGPD steht.
5. Das Recht, Daten in einem strukturierten, gängigen und maschinenlesbaren Format an einen anderen Datenverarbeiter oder Dienst zu übertragen.
6. Das Recht, die Löschung personenbezogener Daten zu verlangen.
7. Das Recht, über öffentliche und private Einrichtungen informiert zu werden, mit denen Daten geteilt werden.
8. Das Recht auf Informationen über die Möglichkeit, die Einwilligung zu verweigern und deren Konsequenzen.
9. Das Recht, die Einwilligung zu widerrufen.

Diese Rechte können jedoch Einschränkungen und Ausnahmen unterliegen, wie zum Beispiel wenn die Verarbeitung zur Erfüllung gesetzlicher Pflichten oder zur Durchführung eines Vertrags erforderlich ist.

Vergleich zwischen der LGPD und der DSGVO

Die LGPD ähnelt der DSGVO darin, dass beide Gesetze für Unternehmen und Organisationen gelten, die personenbezogene Daten verarbeiten, unabhängig von ihrem Standort, und beiden Gesetzen ähnliche Rechte für Datensubjekte gewähren. Es gibt jedoch einige Unterschiede zwischen den beiden Gesetzen, wie zum Beispiel die Beschreibung sensibler Daten, Anforderungen zur Meldung von Datenverletzungen und Höchststrafen.

Zum Beispiel beträgt die Höchststrafe gemäß der DSGVO 4% des jährlichen weltweiten Umsatzes oder bis zu 20 Millionen Euro, je nachdem, welcher Betrag höher ist. Unter der LGPD betragen die Strafen 2% des Umsatzes in Brasilien für das vorherige Geschäftsjahr oder 50 Millionen Reais.

Wie können Unternehmen die LGPD einhalten?

Zunächst einmal müssen Sie wissen, wer die LGPD einhalten muss. Die LGPD gilt für jede natürliche oder juristische Person, die personenbezogene Daten in Brasilien verarbeitet, unabhängig von ihrem Standort. Dementsprechend müssen nicht nur brasilianische Unternehmen, sondern auch ausländische Unternehmen, die personenbezogene Daten brasilianischer Personen verarbeiten, die LGPD einhalten.

Die LGPD gilt sowohl für öffentliche als auch private Einrichtungen sowie für die Online- und Offline-Datenverarbeitung. Unternehmen müssen die Anforderungen der LGPD einhalten, einschließlich der Einholung von Einwilligungen, der Implementierung technischer und organisatorischer Maßnahmen für den Schutz personenbezogener Daten und der Bereitstellung der Rechte der Datensubjekte.

Die LGPD gilt nicht für:

1. Wenn Daten von einer Person ausschließlich für individuelle Zwecke verarbeitet werden.
2. Wenn Daten ausschließlich für journalistische, künstlerische, literarische oder akademische Zwecke verwendet werden.
3. Wenn Daten für nationale Sicherheit, öffentliche Sicherheit, strafrechtliche Ermittlungen oder Bestrafungsaktivitäten verwendet werden.

Die Autoridade Nacional de Proteção de Dados (ANPD) ist die Behörde, die für die Überwachung der Einhaltung der LGPD verantwortlich ist, Regeln und Vorschriften zum Datenschutz erlässt, administrative Sanktionen für Verstöße gegen die LGPD verhängt und Informationen über die Verarbeitung personenbezogener Daten von Datenverantwortlichen und -verarbeitern anfordert.

Um die LGPD einzuhalten, benötigen Sie Folgendes:

1. Ernennen Sie einen DPO (Data Protection Officer). Diese Person ist für die Einhaltung der LGPD verantwortlich und dient als Vermittler zwischen dem Unternehmen, den Einzelpersonen und der ANPD.
2. Identifizieren Sie die personenbezogenen Daten, mit denen Sie arbeiten, wie sie verarbeitet werden und die damit verbundenen Risiken.
3. Holen Sie die Einwilligung der Einzelpersonen ein, bevor Sie personenbezogene Daten sammeln, verwenden oder weitergeben.
4. Implementieren Sie angemessene technische und organisatorische Maßnahmen, um personenbezogene Daten vor unbefugtem Zugriff, Offenlegung, Änderung oder Zerstörung zu schützen.
5. Schulen Sie Ihre Mitarbeiter, wie sie die LGPD einhalten müssen und was sie tun sollen, um personenbezogene Daten zu schützen.
6. Führen Sie eine Dokumentation zur Einhaltung der LGPD.

Wie kann DataSunrise helfen?

DataSunrise ist eine Datenschutzsoftware, die Ihnen hilft, die Einhaltung verschiedener Datenschutzgesetze und -verordnungen wie CCPA, HIPAA und anderer zu gewährleisten.

Um zusammen mit DataSunrise die LGPD einzuhalten, können Sie Database Activity Monitoring verwenden. Sie wissen immer, wer Zugriff auf Daten hat, was dieser Benutzer mit diesen Daten gemacht hat und wann. Das Monitoring der Benutzeraktivitäten ermöglicht es Ihnen, die Sichtbarkeit der Benutzeraktionen zu erhöhen. Bei jeglicher Alarmierung kann DataSunrise Benachrichtigungen per E-Mail, SNMP und verschiedenen Instant Messengers senden.

DataSunrise bietet statische und dynamische Datenmaskierung zum Schutz sensibler Daten. Mit Dynamic Masking können Sie sensible Daten zum Zeitpunkt einer Abfrage verschleiern und benötigen keinen zusätzlichen Speicherplatz für eine Datenbankkopie. Mit Static Masking können Sie sensible Informationen in einem verschleierten Format als Kopie einer realen Datenbank senden.

Format-Preserving Encryption ermöglicht es Ihnen, das ursprüngliche Format sensibler Daten zu erhalten. Mit der Sensitiven Datenerkennung wissen Sie immer, wo sich sensible Daten befinden. Unsere OCR-Datenerkennung ermöglicht es Ihnen, sensible Daten in Bildern problemlos zu durchsuchen. Schnelles und genaues Suchen ermöglicht es Ihnen, Maskierungs-, Audit- und Sicherheitsregeln nach der Entdeckung auf die Daten anzuwenden.

DataSunrise stellt sicher, dass Ihre Daten unter Kontrolle sind und schützt sie, während Sie die verschiedenen Vorschriften und Gesetze wie die LGPD einhalten.