Vente à emporter (AI)
- La LGPD est entrée en vigueur le 18 septembre 2020 ; les dispositions d’application devraient entrer en vigueur le 1er août 2021.
- LGPD ressemble au RGPD, mais n’est pas une transposition directe et contient plusieurs dérogations spécifiques.
- La couverture géographique comprend également la transformation sans établissement brésilien sous certaines conditions.
- Principales différences : exceptions, clauses manquantes (par ex. obligations contractuelles, seuils pour l’analyse d’impact), obligation d’OPD et régimes d’amendes.
Le Brésil a promulgué sa nouvelle loi sur la protection des données – la loi n° 13.709 du 14 août 2018, loi générale sur la protection des données à caractère personnel (“Lei Geral de Proteção de Dados”, “LGPD”) – aujourd’hui, le 18 septembre 2020. L’entrée en vigueur des dispositions d’application est prévue pour le 1er août 2021.
- LGPD en portugais
- traduction anglaise (pour les membres de l’IAPP)
- traduction française (via DeepL)
- site officiel du LGPD
La LGPD ressemble en de nombreux points au RGPD, mais il ne s’agit pas d’une reprise directe.
Transformation par des entreprises sans établissement au Brésil dépendent géographiquement du LGPDsi elle :
- être exportés sur le territoire du Brésil
- leur but est d’offrir des biens ou des services à des personnes physiques au Brésil ;
- concernent des données personnelles qui ont été collectées au Brésil. C’est le cas si la personne concernée se trouvait au Brésil au moment de la collecte – l’état de fait se recoupe donc avec celui de l’observation du comportement selon l’art. 3, al. 2, let. b RGPD.
La LGPD contient toutefois une exception notable au champ d’application, sans précédent dans le RGPD : elle ne s’applique pas au traitement de données personnelles qui
- ont été achetés en dehors du Brésil,
- ne sont pas transmises au-delà des frontières,
- ne font pas l’objet d’une communication ( ?), et
- ne sont pas partagées avec un responsable du traitement ou un sous-traitant brésilien ; à condition que
- l’État du traitement dispose d’un niveau de protection adéquat.
Quelques autres Différences avec le RGPDsur la base des données de dataguidance.com :
- Les données anonymes peuvent exceptionnellement être considérées comme des données personnelles si elles sont utilisées pour créer ou enrichir un profil de la personnalité (ce qui est toutefois également le cas selon le RGPD, car le fait de les associer à une personne devrait transformer des données factuelles en données personnelles) ;
- il n’existe pas de directives concrètes pour les contrats entre responsables du traitement et sous-traitants ;
- la LGPD contient une base juridique spécifique pour le traitement (i) de données personnelles sensibles par des instituts de recherche à des fins de recherche et (ii) pour le traitement de données personnelles ordinaires à des fins de vérification de la solvabilité ;
- une exemption pour les PME de l’obligation de tenir un registre des traitements fait défaut ;
- Les critères de seuil pour la réalisation d’une analyse d’impact relative à la protection des données font défaut et l’autorité de contrôle peut ordonner qu’une telle analyse soit réalisée. Des dispositions relatives à la consultation de l’autorité de contrôle font défaut ;
- l’obligation de désigner un DPO ne s’applique qu’aux responsables, mais ici sans exception (l’autorité de surveillance pouvant toutefois édicter des dispositions d’exécution) ;
- l’autorité de contrôle peut édicter des exigences minimales en matière de sécurité des données ;
- il manque un délai maximal pour la notification des violations de la sécurité des données ;
- Les demandes des personnes concernées doivent être traitées sans délai ; si cela n’est pas possible, il faut le signaler de manière motivée. Les demandes d’information doivent en principe être traitées dans un délai de 15 jours ;
- l’obligation d’information est un peu plus large que celle prévue par le RGPD ;
- Les amendes peuvent être simples ou par jour de violation (par exemple en cas de non-respect d’une décision), chacune pouvant atteindre un montant d’environ 8,5 millions de CHF.