Die brasilianische Datenschutzregulierung LGPD. Auffällige Ähnlichkeiten zur DSGVO

Die brasilianische Datenschutzregulierung LGPD. Auffällige Ähnlichkeiten zur DSGVO

Wenn auch Brasilien im Augenblick mehr leider für die Abholzung des Regenwaldes im Focus des Interesses liegt, hat man dort aktuell eine interessante Datenschutzregulierung: Eine brasilianische DSGVO – die LGPD.

Die DSGVO setzt sich immer mehr als Vorlage für moderne Datenschutzregulierung durch. Kalifornien hat dies bereits weitestgehend übernommen. Aber auch in Brasilien orientiert man sich sehr stark an der DSGVO.

Grundsätzlich ähneln sich DSGVO und sehr. Einige Regelungen bedürfen aber noch der ausfüllenden Konkretisierung durch die nationale Datenschutzbehörde, die sogenannte ANPD. Es gibt noch sehr viele Leerstellen und damit deutlich mehr Rechtsunsicherheit als durch die DSGVO.

Im Folgenden ein kurzer Überblick über die Unterschiede der beiden Datenschutzgesetze, wobei dieser Überblick nicht abschließend ist.

Zunächst fällt auf, dass die LGPD teilweise andere Definitionen verwendet, im Kern aber das Gleiche abbildet. (Bspw.: erscheint die Definition der Anonymisierung, welche in der DSGVO nicht auftritt, da anonymisierte Daten nicht als personenbezogene Daten gelten. Der Begriff der Pseudonymisierung wird aber nicht verwandt, jedoch angedeutet). Entscheidend ist aber vor allem, dass der Begriff der personenbezogenen Daten, der des Verantwortlichen und des Betroffenen übereinstimmen. 

Hinsichtlich der LGPD-konformität sind insbesondere die Rechtsgrundlagen und die Rechte der Betroffenen zu beachten. Dies ist insoweit nicht neu.

Die LGPD sieht in Art. 7 LGPD mehr Rechtsgrundlagen vor als die DSGVO. 

Die Rechte der Betroffenen unterscheiden sich ebenfalls, vgl. Art. 17-22 LGPD. Allerdings lediglich in Feinheiten:

• In der LGPD wird von einem Recht Daten zu anonymisieren gesprochen dies kennt die DSGVO in ähnlicher Form unter der Beschränkung des Zugriffs der Daten. 

• Das Recht auf Vergessenwerden sieht die LGPD nicht direkt vor, hier wird allein ein allgemeines Recht auf Löschung aufgeführt.

• Bei dem Auskunftsrecht der LGPD wird unterschieden zwischen der Erteilung einer einfachen Auskunft und einer ausführlichen Auskunft, Art. 19 LGPD. Die einfache Auskunft wäre knapper und unverzüglich zu erteilen. Die ausführliche Auskunft wäre umfangreicher, quasi vollständig und detaillierter, aber sie wäre erst innerhalb von 15 Tagen zu erteilen. Welchen Umfang insbesondere die einfache Auskunft tatsächlich haben soll müsste sich noch in der Rechtspraxis herausstellen. Dazu gibt es bisher keine Leitlinien der nationalen Datenschutzbehörde.

Bei Datenschutzverstößen sind grundsätzlich immer die Datenschutzbehörde (ANPD) und der Betroffene zu informieren, Art. 48 LGPD. Jedoch enthält die LGPD keine Maximalfrist von 72 Stunden wir die DSGVO. Wie viel Zeitfür die Meldungtatsächlich eingeräumt, bleibt unklar und muss noch von der ANPD konkretisiert werden

Auch den Bereich der Auftragsverarbeitung spricht die LGPD an. Jedoch wie insgesamt auffällt sind die Themen nicht so dezidiert geregelt wie in der DSGVO. Bei der LGPD ist auch vorgesehen, dass der Auftragsverarbeiter den Anweisungen des Verantwortlichen folgt, Art. 39 LGPD. Der Abschluss eines Auftragsverarbeitungsvertrages wird jedoch nicht zwingend vorgesehen. 

Fazit: auch wenn sich die Regulierung der DSGVO ähnelt und sich insoweit die Rechtsanwendung vertraut anfühlt, bleiben viele Leerstellen, die nur durch die nationale Datenschutzaufsicht und die Rechtsprechung gefüllt werden können.

Siehe auch auf LinkedIn

Henning Kochist in der Wirtschaftskanzlei Ruhmann Peters Altmeyer PartG mbB am Standort Marburg Rechtsanwalt, Fachanwalt für IT-Recht, Fachanwalt für Arbeitsrecht und zertifizierter (zugleich auch behördlicher) Datenschutzbeauftragter sowie Geschäftsführer der RPA Datenschutz + Compliance GmbH.  

Folgen auf: Xing oder LinkedIn