Anche se è stato rinviato, il LGPD è già alla base della decisione della STF

Il provvedimento provvisorio 959, pubblicato in un'edizione straordinaria della Gazzetta Ufficiale dell'Unione il 29, ha rinviato l'entrata in vigore della Legge generale sulla protezione dei dati (LGPD) al 3 maggio 2021. La proroga della LGPD era già all'ordine del giorno del Congresso nazionale. Il disegno di legge 1.179/2020, che prevedeva la proroga della vacanza legale La legge per il 1° gennaio 2021 e le sanzioni per agosto del prossimo anno sono state approvate dal Senato federale il 3 aprile e sono passate alla Camera dei Deputati il ​​13. Molto probabilmente, la discussione sulla proroga del termine e sul rinvio delle sanzioni avrà luogo quando la misura provvisoria sarà esaminata dal Congresso.

Purtroppo, in un momento così particolare per la società, con l'avvento della pandemia di Covid-19 e l'intenso dibattito sull'uso dei dati personali a fini di monitoraggio, al fine di contribuire a combattere il coronavirus, il Brasile non ha ancora una legge sulla protezione dei dati in vigore, né una propria autorità nazionale in materia.

La magistratura, tuttavia, è già stata chiamata a pronunciarsi su numerosi ricorsi che hanno come oggetto proprio la messa in discussione dell'uso dei dati personali nel contesto della pandemia. A titolo di esempio, si citano i cinque ricorsi diretti di incostituzionalità. [1] ricevuto dall'STF in relazione alla Misura Provvisoria 954/2020, che prevede la condivisione dei dati degli utenti da parte dei fornitori di servizi di telecomunicazioni con l'Istituto Brasiliano di Geografia e Statistica (IBGE). La Misura 954 mira a consentire la produzione di statistiche ufficiali, attraverso interviste a distanza nell'ambito delle indagini sulle famiglie durante la pandemia. I dati che gli operatori devono condividere sono l'elenco di nomi, numeri di telefono e indirizzi dei consumatori, siano essi persone fisiche o giuridiche.

Alcune argomentazioni utilizzate nelle cause sono state: a) violazione delle norme costituzionali che garantiscono la dignità umana, l'inviolabilità della vita privata, dell'onore e dell'immagine, la riservatezza dei dati e l'autodeterminazione informativa; b) assenza di requisiti costituzionali di pertinenza e urgenza per la trattazione della questione mediante un provvedimento provvisorio; c) mancanza di collegamento tra la finalità per cui i dati saranno utilizzati e la situazione di emergenza sanitaria pubblica, senza chiarimento del motivo della condivisione dei dati; d) mancata dimostrazione dell'idoneità e necessità dei dati, senza delimitazione dell'ambito di tutela nell'operazione di trattamento dei dati; e) irragionevolezza del provvedimento provvisorio, poiché la ricerca statistica viene effettuata a campione, non richiedendo i numeri di telefono e gli indirizzi di tutti i clienti degli operatori, consentendo un'enorme concentrazione di informazioni nello Stato relative non solo al singolo individuo, ma anche alla comunità, il che potrebbe comportare un'ingerenza illegittima nei confronti dei cittadini. [2].

Il 6387, la Giudice Rosa Weber, relatrice dei ricorsi, ha concesso una misura cautelare nell'ADI 24, sospendendo l'efficacia del provvedimento provvisorio 954/2020 e disponendo il trattamento congiunto delle altre ADI, con riproduzione della decisione pronunciata nei rispettivi procedimenti. È interessante notare che, tra le motivazioni addotte dal Giudice e nei chiarimenti forniti dall'Agenzia Nazionale delle Telecomunicazioni (Anatel), chiamata a commentare il procedimento, figurano numerosi riferimenti alla LGPD, sia diretti che indiretti, attraverso l'invocazione dei suoi principi e di diversi contenuti delle sue disposizioni.

Nella decisione, infatti, il ministro riconosce che “il rispetto della privacy e l’autodeterminazione informativa sono stati sanciti nell’articolo 2, I e II, della legge n. 13.709/2018 (Legge generale sulla protezione dei dati personali), come fondamenti specifici per la disciplina della protezione dei dati personali” [3].

Si sottolinea inoltre che la misura provvisoria No. L'articolo 954 non definisce l'oggetto delle statistiche da produrre, lo scopo specifico e la portata. Inoltre, il Ministro sottolinea che, non definendo chiaramente come e per cosa saranno utilizzati i dati raccolti, “Il MP n. 954/2020 non offre le condizioni per valutarne l’adeguatezza e la necessità, intese come compatibilità del trattamento con le finalità indicate e limitazione dello stesso al minimo necessario per il conseguimento delle stesse” [4].

Sottolinea inoltre che “Il Regolamento n. 954/2020 non prevede un meccanismo tecnico o amministrativo in grado di proteggere i dati personali da accessi non autorizzati, perdite accidentali o usi impropri, sia nella loro trasmissione che nel loro trattamento” [5].

Infine, il ministro sottolinea che tale situazione è aggravata dal fatto che la LGPD, che definisce i criteri per ritenere gli agenti responsabili dei danni causati dal trattamento dei dati personali, non è ancora in vigore. [6]L'Anatel, nella sua dichiarazione agli atti, ha raccomandato l'adozione di misure volte a garantire i principi stabiliti nella Costituzione federale, nella Legge generale sulle telecomunicazioni e nella Legge generale sulla protezione dei dati, attraverso:

a) la solida attuazione del rapporto giuridico che verrà instaurato tra IBGE e ciascuno dei fornitori di servizi di telecomunicazione richiesti; b) la delimitazione specifica della finalità dell’uso dei dati richiesti [7]; c) limitare le richieste all'universo dei dati strettamente necessari al raggiungimento della finalità [8]; d) la delimitazione del periodo di utilizzo e la forma di cessione dei dati [9]; ee) l'applicazione di buone pratiche di sicurezza, trasparenza e controllo [10]".

Infine, nonostante l'ulteriore rinvio della sua entrata in vigore, i principi e le disposizioni della LGPD sono stati riconosciuti dalla magistratura brasiliana come motivi accessori nelle sue decisioni. Inoltre, il diritto alla privacy e alla protezione dei dati personali è già presente in numerose altre leggi sparse, tra cui la legislazione a tutela dei consumatori. Le agenzie per la tutela dei consumatori hanno agito con grande insistenza, richiedendo chiarimenti alle aziende sospettate di violare la privacy dei propri consumatori, oltre ad applicare sanzioni severe.

D'altra parte, in un sondaggio pubblicato da Cisco nel gennaio 2020 [11] Per quanto riguarda gli investimenti delle aziende nella privacy, la maggior parte delle organizzazioni ha dichiarato di aver ottenuto rendimenti molto positivi, con il 40% che ha dichiarato di aver ottenuto benefici pari ad almeno il doppio delle spese. Hanno riscontrato una riduzione delle perdite dovute a violazioni dei dati, una maggiore efficienza operativa grazie al controllo dei dati e la creazione di un rapporto di fidelizzazione e fiducia con i consumatori, oltre a rendere l'azienda più attraente per gli investitori.

In questo contesto, l’idoneità a GDPR, oltre a rappresentare un'esigenza impellente, rappresenta senza dubbio un vantaggio competitivo per le aziende. protezione della privacy e dei dati personali Si tratta certamente di un investimento cruciale per quelle società che pensano al loro futuro a medio e lungo termine.