Ley general de protección de datos personales

La Ley General de Protección de Datos Personales ( en portugués : Lei Geral de Proteção de Dados Pessoais , o LGPD ; Lei 13709/2018 ), es una ley estatutaria sobre protección de datos y privacidad en la República Federativa de Brasil . ^{[ 1 ]} El objetivo principal de la ley es unificar 40 leyes brasileñas diferentes que regulan el tratamiento de datos personales . ^{[ 2 ]} La LGPD contiene disposiciones y requisitos relacionados con el tratamiento de datos personales de personas, cuando los datos son de personas ubicadas en Brasil, cuando los datos se recopilan o procesan en Brasil, o cuando los datos se utilizan para ofrecer bienes o servicios a personas en Brasil. ^{[ 3 ]}

La LGPD entró en vigor el 18 de septiembre de 2020, pero su aplicabilidad se retrotrajo al 16 de agosto de 2020. Las sanciones previstas en la normativa solo se aplicarán a partir del 1 de agosto de 2021. ^{[ 4 ] [ 5 ]}

La autoridad nacional de protección de datos responsable de hacer cumplir la LGPD es la Autoridade Nacional de Proteção de Dados , o ANPD. ^{[ 6 ]}

La LGPD contiene sesenta y cinco artículos y define nuevos conceptos jurídicos en el derecho brasileño, como datos personales y datos personales sensibles . La ley establece los derechos de los titulares de datos personales y las condiciones bajo las cuales dichos datos pueden ser recopilados, procesados, almacenados y compartidos. También especifica las obligaciones de la entidad que procesa esos datos y las excepciones a la ley. ^{[ 7 ]}

En el artículo 18 , la LGPD permite al interesado el derecho a hacer lo siguiente: ^{[ 8 ] [ 9 ]}

1. Para confirmar que sus datos personales están siendo procesados.
2. Para acceder a sus datos personales.
3. Para corregir datos personales incompletos, incorrectos o desactualizados.
4. Anonimizar, bloquear o eliminar cualquier dato personal innecesario, excesivo o que no cumpla con la normativa.
5. Solicitar que un responsable del tratamiento de datos transfiera sus datos personales a otro proveedor de servicios o productos.
6. Para eliminar sus datos personales.
7. Recibir información sobre cómo se han compartido sus datos personales.
8. Recibir información sobre su derecho a no dar su consentimiento para el tratamiento de sus datos personales.
9. Para retirar el consentimiento para el tratamiento de sus datos personales.

El artículo 7 describe las condiciones bajo las cuales se pueden procesar los datos personales: ^{[ 5 ] [ 9 ]}

1. Con el consentimiento del interesado.
2. Para cumplir con las responsabilidades legales o reglamentarias del responsable del tratamiento de datos.
3. Para la administración pública y la ejecución de las políticas públicas establecidas en leyes, reglamentos o contratos.
4. Para estudios de investigación (anonimizados siempre que sea posible).
5. Para ejecutar un contrato.
6. Para ejercer la ley brasileña .
7. Para proteger la vida o la seguridad personal.
8. Por profesionales de la salud o del saneamiento, para salvaguardar la salud de una persona.
9. Por el interés legítimo del responsable del tratamiento o de un tercero, a menos que ello infrinja los derechos legales del interesado.
10. Para proteger la calificación crediticia.

El artículo 48 de la LGPD establece que el responsable del tratamiento de datos debe informar a la autoridad nacional de protección de datos y al interesado, si se produce un incidente de seguridad que pueda resultar en daños o riesgos relevantes, en un plazo razonable (según lo define la ANPD). ^{[ 9 ]}

El artículo 52 establece que la multa máxima por infringir la LGPD es del dos por ciento de los ingresos de una empresa privada en Brasil, hasta un máximo de 50 millones de reales . ^{[ 2 ]}

El proceso de combinar distintas leyes de protección de datos en una sola se inspiró en el Reglamento General de Protección de Datos (RGPD) de la UE , adoptado el 14 de abril de 2016. La LGPD y el RGPD tienen definiciones similares de datos personales y, esencialmente, los mismos derechos de los interesados. Las normativas difieren en la base jurídica para el tratamiento de datos, ya que la LGPD incluye, además, la realización de estudios de investigación y la protección de las calificaciones crediticias . Asimismo, la LGPD no especifica un plazo para la notificación de las violaciones de datos y las sanciones por su incumplimiento son inferiores a las del RGPD. ^{[ 2 ] [ 10 ]}

En 2015, el Gobierno brasileño emitió el Proyecto Preliminar de Ley de Protección de Datos Personales y lo sometió a consulta pública, antes de ser enviado al Congreso para su debate y votación. ^{[ 11 ]}

El 14 de agosto de 2018, el Congreso Nacional de Brasil aprobó por primera vez la Ley General de Protección de Datos Personales. ^{[ 12 ]}

El 28 de diciembre de 2018, Michel Temer emitió la medida provisional 869 que modificó la LGPD para incluir la creación de una autoridad nacional de protección de datos responsable de hacer cumplir la ley llamada Autoridade Nacional de Proteção de Dados (ANPD). ^{[ 13 ]}

El 29 de abril de 2020, el presidente Jair Bolsonaro emitió la Medida Provisional 959 que pospuso la fecha de entrada en vigor de la LGPD al 3 de mayo de 2021. El 26 de agosto de 2020, la Cámara de Diputados , la cámara baja de Brasil , enmendó la medida para que la LGPD entrara en vigor el 31 de diciembre de 2020. El Senado Federal , la cámara alta de Brasil , decidió entonces que cualquier aplazamiento era nulo porque la fecha de entrada en vigor ya había sido decidida por el Congreso. ^{[ 10 ]} La LGPD fue aprobada en el Senado el 16 de septiembre de 2020 y enviada a Jair Bolsonaro para su promulgación el 17 de septiembre de 2020. La LGPD se convirtió en ley el 18 de septiembre de 2020 y su aplicabilidad se retrotrajo al 16 de agosto de 2020. Las sanciones bajo la regulación solo se aplicarían a partir de agosto de 2021. ^{[ 4 ] [ 5 ]}

• Habeas data , un recurso constitucional en la Constitución brasileña.

• Ley General de Protección de Datos de Brasil (LGPD, traducción al inglés)