Jeśli Twoja firma obsługuje klientów zarówno w Brazylii, jak i w Unii Europejskiej, podlegasz dwóm z najważniejszych na świecie regulacji ochrony danych: brazylijskiej Lei Geral de Proteção de Dados Pessoais (LGPD, ustawa nr 13.709/2018) i europejskiemu Ogólnemu Rozporządzeniu o Ochronie Danych (RODO). Chociaż oba akty prawne mają podobne cele, a LGPD była inspirowana RODO, istnieją znaczące różnice, które bezpośrednio wpływają na Twoją strategię zgodności. Ten przewodnik porównuje oba systemy, aby pomóc Ci zbudować zintegrowane podejście, ze szczególnym uwzględnieniem perspektywy polskiej i roli Urzędu Ochrony Danych Osobowych (UODO).
Pochodzenie i podstawy
RODO. Przyjęte w 2016 roku i obowiązujące od maja 2018 roku, RODO jest rozporządzeniem bezpośrednio stosowanym we wszystkich 27 państwach członkowskich UE. Opiera się na zasadzie, że ochrona danych jest prawem podstawowym (art. 8 Karty Praw Podstawowych UE). Jest precyzyjne, szczegółowe i uzupełnione obszernym orzecznictwem oraz wytycznymi organów krajowych. W Polsce UODO jest organem nadzorczym, a RODO uzupełnia polska ustawa o ochronie danych osobowych.
LGPD. Uchwalona w 2018 roku i obowiązująca od września 2020 roku, LGPD została w dużej mierze zainspirowana RODO, ale dostosowana do brazylijskiego kontekstu prawnego. Zawiera elementy Kodeksu Ochrony Konsumentów, Marco Civil da Internet i Konstytucji Federalnej (art. 5, pkt X i XII). ANPD, utworzona w 2020 roku, nadal buduje pełne ramy regulacyjne.
Zakres stosowania
Kto jest chroniony
RODO: Każda osoba fizyczna (podmiot danych) znajdująca się w Unii Europejskiej, niezależnie od obywatelstwa lub miejsca zamieszkania.
LGPD: Każda osoba fizyczna, której dane osobowe są przetwarzane w operacjach prowadzonych na terytorium Brazylii, mających na celu oferowanie towarów lub usług osobom w Brazylii, lub obejmujących dane zebrane w Brazylii (art. 3).
Które firmy muszą przestrzegać przepisów
RODO: Każda organizacja, gdziekolwiek na świecie, która przetwarza dane osobowe osób w UE, pod warunkiem że oferuje towary lub usługi mieszkańcom UE lub monitoruje ich zachowanie (art. 3). Brak progu obrotów ani minimalnego wolumenu danych.
LGPD: Każda organizacja, gdziekolwiek na świecie, która prowadzi operacje przetwarzania na warunkach art. 3. Również bez progu obrotów.
Oba akty prawne mają zakres eksterytorialny, co oznacza, że firmy spoza Brazylii lub UE mogą być zobowiązane do ich przestrzegania. UODO zajmował się już sprawami dotyczącymi firm spoza Europy.
Podstawy prawne przetwarzania
To jeden z obszarów, w których oba akty są najbardziej podobne, ale z istotnymi różnicami.
RODO: Sześć podstaw prawnych (art. 6) — zgoda, wykonanie umowy, obowiązek prawny, żywotne interesy, interes publiczny i prawnie uzasadniony interes.
LGPD: Dziesięć podstaw prawnych (art. 7) — sześć z RODO plus ochrona kredytu, ochrona zdrowia, badania naukowe prowadzone przez instytucje badawcze i regularne wykonywanie praw.
| Podstawa prawna | RODO | LGPD |
|---|---|---|
| Zgoda | Art. 6(1)(a) | Art. 7, I |
| Obowiązek prawny | Art. 6(1)(c) | Art. 7, II |
| Wykonanie umowy | Art. 6(1)(b) | Art. 7, V |
| Prawnie uzasadniony interes | Art. 6(1)(f) | Art. 7, IX |
| Ochrona żywotnych interesów | Art. 6(1)(d) | Art. 7, VII |
| Interes publiczny | Art. 6(1)(e) | Art. 7, III |
| Ochrona kredytu | Nie przewidziano | Art. 7, X |
| Ochrona zdrowia | Włączona w żywotne interesy | Art. 7, VIII (samodzielna podstawa) |
| Badania naukowe | Włączone w interes publiczny | Art. 7, IV (samodzielna podstawa) |
| Wykonywanie praw | Włączone w obowiązek prawny | Art. 7, VI (samodzielna podstawa) |
LGPD jest bardziej szczegółowa w swoich podstawach prawnych, tworząc samodzielne podstawy dla sytuacji, które RODO traktuje jako podkategorie szerszych podstaw.
Zgoda
RODO: Musi być dobrowolna, konkretna, świadoma i jednoznaczna (art. 7). Ciężar dowodu spoczywa na administratorze. Zgoda na dane wrażliwe musi być wyraźna (art. 9).
LGPD: Musi być dobrowolna, świadoma i jednoznaczna, udzielona na piśmie lub w inny sposób potwierdzający wyrażenie woli podmiotu danych (art. 8). Dla danych wrażliwych zgoda musi być konkretna i wyodrębniona (art. 11).
Różnice praktyczne są subtelne, ale istotne. RODO wymaga, aby zgoda była “konkretna” dla każdego celu, podczas gdy LGPD wymaga jej “na określone cele”. LGPD precyzuje również, że pisemna zgoda musi pojawić się w klauzuli wyodrębnionej od innych postanowień umownych. UODO opublikował szczegółowe wytyczne dotyczące zgody w ramach RODO.
Prawa podmiotów danych
Oba akty prawne przyznają solidny zestaw praw, ale z istotnymi różnicami:
| Prawo | RODO | LGPD |
|---|---|---|
| Dostęp | Art. 15 | Art. 18, I i II |
| Sprostowanie | Art. 16 | Art. 18, III |
| Usuwanie | Art. 17 (prawo do bycia zapomnianym) | Art. 18, IV (anonimizacja, blokowanie lub usunięcie) |
| Przenoszenie danych | Art. 20 | Art. 18, V |
| Sprzeciw | Art. 21 | Art. 18, IV (częściowo) |
| Przegląd decyzji zautomatyzowanych | Art. 22 | Art. 20 |
| Informacja o udostępnianiu | Implicite w art. 13-14 | Art. 18, VII (wyraźne prawo) |
| Termin odpowiedzi | 1 miesiąc (z możliwością przedłużenia do 3) | 15 dni na potwierdzenie; rozsądny termin na pozostałe |
Istotna różnica: LGPD gwarantuje wyraźnie prawo do informacji o podmiotach, którym dane zostały udostępnione (art. 18, VII), podczas gdy RODO traktuje to jako część obowiązków przejrzystości. LGPD przewiduje również przegląd decyzji zautomatyzowanych (art. 20), ale bez wymogu interwencji człowieka, który RODO ustanawia w art. 22.
Dane wrażliwe
RODO: Szczególne kategorie danych osobowych (art. 9) — pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub światopoglądowe, przynależność związkowa, dane genetyczne, dane biometryczne, dane dotyczące zdrowia, życia seksualnego lub orientacji seksualnej. Przetwarzanie jest zabronione, z wyjątkiem określonych przypadków.
LGPD: Dane wrażliwe (art. 5, II) — pochodzenie rasowe lub etniczne, przekonania religijne, opinia polityczna, przynależność związkowa lub członkostwo w organizacji religijnej, filozoficznej lub politycznej, dane dotyczące zdrowia, życia seksualnego, dane genetyczne lub biometryczne.
Kategorie są podobne, ale nie identyczne. LGPD obejmuje “przekonania filozoficzne” i “członkostwo w organizacjach filozoficznych lub politycznych”, które nie mają bezpośredniego odpowiednika w RODO. RODO wyraźnie obejmuje “poglądy polityczne”, podczas gdy LGPD używa “opinii politycznej”.
Międzynarodowe przekazywanie danych
RODO: Przekazywanie poza EOG wymaga decyzji o adekwatności, Standardowych Klauzul Umownych (SKU), Wiążących Reguł Korporacyjnych (BCR) lub innego zatwierdzonego mechanizmu (rozdział V). Proces jest rygorystyczny i dobrze uregulowany. UODO nadzoruje przestrzeganie tych mechanizmów przez polskie firmy, ze szczególną uwagą po wyroku Schrems II.
LGPD: Art. 33 wymienia kilka warunków międzynarodowego przekazywania, w tym kraje z odpowiednim poziomem ochrony, szczególne klauzule umowne, klauzule standardowe, wiążące reguły korporacyjne i szczegółową zgodę. ANPD nadal reguluje mechanizmy, a ramy nie są tak rozwinięte jak europejskie.
W praktyce firmy, które już dysponują SKU zgodnie z RODO, mogą je dostosować do LGPD, ale powinny poczekać na ostateczne regulacje ANPD, aby zapewnić pełną zgodność.
Sankcje i egzekwowanie
| Aspekt | RODO | LGPD |
|---|---|---|
| Maksymalna kara | 20 mln EUR lub 4% światowego obrotu | 50 mln BRL lub 2% przychodów w Brazylii |
| Podstawa kalkulacji | Światowy obrót | Przychody w Brazylii (nie światowe) |
| Organ | Krajowe organy nadzorcze (UODO itd.) | ANPD |
| Bezpośrednia kompetencja sankcyjna | Tak | Tak |
| Sankcje niepieniężne | Zakaz przetwarzania | Blokowanie, usuwanie, zawieszenie, zakaz |
| Powództwo cywilne | Tak (art. 82) | Tak (Kodeks Cywilny + Kodeks Konsumencki) |
RODO przewiduje potencjalnie znacznie wyższe kary pieniężne (światowa vs. tylko brazylijska podstawa kalkulacji). UODO nakładał już znaczące kary na polskie i międzynarodowe firmy. Jednak LGPD oferuje surowe sankcje niepieniężne — zawieszenie lub zakaz działalności przetwarzania może być dla firmy bardziej niszczące niż kara finansowa.
IOD / Encarregado
RODO: Obowiązkowy dla organów publicznych, systematycznego monitorowania na dużą skalę lub przetwarzania danych wrażliwych na dużą skalę (art. 37).
LGPD: Obowiązkowy dla wszystkich administratorów (art. 41). ANPD może ustanowić zwolnienia dla agentów przetwarzających o niewielkiej skali.
LGPD jest szersza w tym wymogu: podczas gdy RODO ogranicza obowiązek do określonych sytuacji, LGPD nakłada go jako regułę ogólną.
Strategia zgodności dla firm działających w obu jurysdykcjach
1. Zacząć od zgodności z RODO. Wymagania europejskie są na ogół bardziej restrykcyjne. Solidna zgodność z RODO pokrywa większość obowiązków LGPD. Polskie firmy już zgodne z wytycznymi UODO mają znaczącą przewagę.
2. Dodać elementy specyficzne dla LGPD. Cztery dodatkowe podstawy prawne, 15-dniowy termin odpowiedzi na potwierdzenie, wyraźne prawo do informacji o udostępnianiu i sankcje niepieniężne wymagają szczególnej uwagi.
3. Dostosować podstawę kalkulacji sankcji. RODO oblicza na podstawie światowego obrotu; LGPD na podstawie przychodów w Brazylii. Może to wpłynąć na analizę ryzyka.
4. Śledzić ANPD. Brazylijski organ nadal buduje swoje ramy regulacyjne. Przepisy dotyczące międzynarodowych transferów, ocen skutków i kryteriów adekwatności są w fazie opracowywania.
5. Dokumentować wszystko. Rejestry przetwarzań (art. 30 RODO), rejestry incydentów (oba) i rejestry żądań podmiotów danych (oba) są niezbędne do wykazania zgodności.
- Każdy administrator oraz – gdy ma to zastosowanie – przedstawiciel administratora prowadzą rejestr czynności przetwarzania danych osobowych, za które odpowiadają. W rejestrze tym zamieszcza się wszystkie następujące informacje: […]
— RODO, artykuł 30
Aby sprawdzić zgodność swojej strony w kilka sekund, skorzystaj z naszego bezpłatnego skanera zgodności. Aby pogłębić temat, zapoznaj się z naszym przewodnikiem po obowiązkowych elementach polityki prywatności.
Podsumowanie
LGPD i RODO dzielą wspólne pochodzenie i cele, ale różnią się w szczegółach, które mają znaczenie w praktyce. LGPD ma więcej podstaw prawnych, szerszy zakres wymagań dotyczących IOD i potencjalnie surowsze sankcje niepieniężne. RODO przewiduje wyższe kary finansowe, bardziej szczegółowe prawa podmiotów danych i bardziej dojrzałe ramy regulacyjne, z doświadczeniem organów takich jak UODO. Dla firm działających w obu jurysdykcjach najskuteczniejszym podejściem jest bazowanie na zgodności z RODO i uzupełnianie jej o specyfikę LGPD. Bierność nie wchodzi w grę: ryzyka regulacyjne po obu stronach Atlantyku nadal rosną.
