El RGPD en Brasil. ¿Qué debo saber?

El denominado Reglamento General de Protección de Datos (RGPD) en Brasil (LGPD en portugués) está en vigor desde el 18 de septiembre de 2020. Por lo tanto, las empresas que aún no se hayan adaptado a la nueva normativa deben aplicar los cambios necesarios lo antes posible. Esto se debe a que las sanciones por incumplimiento de la ley comenzarán a aplicarse a partir de 2021.

Para aquellos que no tengan muy claro por dónde empezar, hemos elaborado esta guía con todo lo que necesitas saber sobre el RGPD en Brasil y sus repercusiones. De este modo, tu empresa podrá empezar el próximo año sin tener que preocuparse por ningún tipo de sanción legal. Sigue leyendo.

Acerca del Reglamento General de Protección de Datos en Brasil

El Reglamento General de Protección de Datos (RGPD – en Brasil) fue promulgado por el entonces presidente Michel Temer en agosto de 2018 y entró en vigor en septiembre de 2020. Este “plazo” de dos años entre su aprobación y su entrada en vigor sirvió para que las empresas se adaptaran a la nueva normativa. Por lo tanto, quienes ni siquiera saben qué es el RGPD ni cuáles son sus efectos van algo retrasados. La buena noticia es que aún hay tiempo para “recuperar el terreno perdido” y reorganizar el funcionamiento de su negocio para ajustarse a la ley. Para empezar, veamos una breve contextualización sobre qué es el RGPD.

El Reglamento General de Protección de Datos regula en qué condiciones pueden llevarse a cabo la recogida, el tratamiento y la cesión de los datos de los usuarios. Actualmente está en vigor una normativa más transparente para la gestión de esta información, de modo que los ciudadanos tienen una mayor garantía de que sus datos personales se utilizarán para los fines acordados previamente con las empresas.

LEE TAMBIÉN: FACTURA EN LA CIUDAD DE SÃO PAULO: DESCUBRE CÓMO FUNCIONA

Hasta entonces, vivíamos en un contexto de ausencia total de regulación, en el que la información de los usuarios se reproducía y almacenaba sin ningún tipo de consentimiento ni parámetros de seguridad, lo que daba pie a una serie de problemas. Sin embargo, desde la entrada en vigor del RGPD, se ha establecido que:

El tratamiento de datos personales solo podrá llevarse a cabo en los siguientes casos:

I – previa autorización del titular;

II – para el cumplimiento de una obligación legal o reglamentaria por parte del responsable del tratamiento;

III – por parte de la administración pública, para el tratamiento y el uso compartido de los datos necesarios para la ejecución de las políticas públicas previstas en leyes y reglamentos o amparadas por contratos, acuerdos o instrumentos similares, […]

IV – encargar la realización de estudios a un organismo de investigación, garantizando, siempre que sea posible, el tratamiento anónimo de los datos personales;

V – cuando sea necesario para la ejecución de un contrato o de los trámites previos relacionados con un contrato en el que el interesado sea parte, a petición de este; VI – para el ejercicio habitual de derechos en procedimientos judiciales, administrativos o de arbitraje, estos últimos con arreglo a lo dispuesto en Ley n.º 9.307, de 23 de noviembre de 1996 (Ley de Arbitraje) ;

VII – para proteger la vida o la integridad física del propietario o de un tercero;

VIII – para la protección de la salud, en el marco de un procedimiento llevado a cabo por profesionales del ámbito sanitario o por entidades sanitarias;

VIII – con el único fin de proteger la salud, en el marco de un procedimiento llevado a cabo por profesionales sanitarios, servicios sanitarios o autoridades sanitarias;

Para las empresas que incumplan estas disposiciones, el RGPD en Brasil prevé la imposición de multas y sanciones administrativas que fijará la Autoridad Nacional de Protección de Datos – ANPD, una agencia federal encargada de supervisar la aplicación de la ley.

Solicitudes relacionadas con el RGPD

El RGPD en Brasil tiene repercusiones en todos los sectores de la economía. Básicamente, a partir de ahora será necesario informar de los motivos por los que se solicitan datos a los clientes y clientes potenciales, y saber cómo asignar la clasificación correcta a dichos datos, que se dividen en:

Datos personales – información que permita identificar a una persona, como el número de la Seguridad Social (RG y CPF), el nombre y la dirección.

Datos sensibles – información relacionada con los atributos más específicos de una persona, como el origen étnico o racial, las posiciones políticas, las convicciones religiosas, la orientación sexual y otros aspectos similares.

También conviene señalar otro concepto importante, que es el tratamiento de datos:

Tratamiento de datos – Cualquier acción relacionada con datos personales se considera un “tratamiento”, desde el momento en que se recogen los datos hasta el momento en que se eliminan.

Una vez aclaradas estas distinciones, veamos algunos acontecimientos clave que merecen nuestra atención.

Recopilación de datos sin consentimiento

La compra de listas de clientes potenciales, incluso antes de la entrada en vigor del RGPD, ya era una práctica éticamente inapropiada. A partir de ahora, se convierte en un delito.

Por lo tanto, bajo ninguna circunstancia el departamento comercial de su empresa debe compartir ni recibir datos de los usuarios sin el consentimiento adecuado de las personas afectadas.

Además, la información que ya obra en poder de la organización no debe utilizarse para ningún fin distinto al indicado en el momento de su recogida. Los datos procedentes de un estudio de mercado realizado hace unos años, por ejemplo, no pueden utilizarse de ninguna otra forma. En este caso, el uso de los datos personales de cualquier persona para un simple contacto comercial ya constituye una infracción de la ley.

Comunicarse con su base de clientes potenciales

Supongamos que ya dispones de una base de datos de clientes y clientes potenciales con los que te comunicas regularmente a través de diferentes canales de comunicación, como el correo electrónico y WhatsApp. Para mantener este tipo de comunicación, será necesario identificar en qué casos se puede volver a contactar con estas personas.

Según el RGPD en Brasil, debe demostrarse que este contacto es necesario para el funcionamiento de la empresa, lo que no incluye las acciones de marketing.

Recopilación de datos

Al igual que en el caso de la comunicación, la recogida de datos debe estar debidamente justificada. Por lo tanto, los datos solicitados, ya sean de carácter personal o sensible, deben considerarse estrictamente necesarios para el funcionamiento de la empresa.

Por ello, es necesario revisar todos los formularios en circulación dirigidos al público de su empresa con el fin de cumplir con los requisitos legales. Los directivos, junto con el asesor jurídico, deben llegar a un consenso sobre qué información puede considerarse esencial.

Tipos de consentimientos

Más allá de saber qué hay que evitar, es importante conocer algunos conceptos que figuran en la ley para no incurrir en infracciones y comprender, en términos más generales, cómo gestionar los datos de tus clientes. Veamos, pues, algunas aclaraciones al respecto.

Según la ley, el consentimiento se define como una declaración de voluntad clara e inequívoca. En la práctica, se trata de una declaración expresa en la que el usuario manifiesta su acuerdo con el tipo de finalidad que se va a dar a los datos en cuestión.

Desde esta perspectiva, el consentimiento, de acuerdo con lo establecido por el RGPD en Brasil, debe reunir los siguientes requisitos:;

El consentimiento debe ser libre: La concesión del consentimiento no puede ser “impuesta” ni inducida, sino que debe ser una elección. Si una empresa incluye una casilla de consentimiento en un formulario, ello significa que no existe la opción de aceptar o rechazar las condiciones propuestas.

El consentimiento debe ser inequívoco: Depende de que el usuario lo manifieste mediante un acto positivo. En otras palabras, debe haber una acción por parte del usuario que indique su aceptación, ya sea enviando un correo electrónico, mediante una firma electrónica o incluso haciendo clic en un lugar concreto. No puede haber ninguna duda sobre si se ha prestado el consentimiento o no;

El consentimiento debe otorgarse para una finalidad concreta y específica: El consentimiento debe otorgarse para una finalidad concreta y específica. Informar del motivo por el que se utilizan los datos personales forma parte integrante de la lógica del RGPD. La empresa no podrá en ningún caso utilizar los datos recopilados para una finalidad que no se haya especificado en el formulario de consentimiento.

Ante tantas exigencias, es posible que algunas personas se pregunten: ¿es estrictamente necesario el consentimiento para ponerse en contacto con el responsable del proyecto?

No necesariamente, porque contamos con lo que en Derecho se denomina convencionalmente «interés legítimo» y «contratos». Este mecanismo legitima el contacto comercial realizado de forma razonable.

Conoce cuáles son los derechos de los usuarios según el RGPD

El RGPD también establece una serie de derechos de los usuarios, que a menudo conllevan obligaciones que deben cumplir las empresas.

Descubre cuáles son los principales:

• Derecho a confirmar la existencia del tratamiento;
• Derecho de acceso a los datos;
• Derecho a rectificar datos incompletos, inexactos u obsoletos;
• Derecho a anonimizar, bloquear o suprimir datos innecesarios, excesivos o tratados en contravención de las disposiciones del RGPD;
• Derecho a la portabilidad de los datos a otro proveedor de servicios o productos, previa solicitud expresa, de conformidad con la normativa de la autoridad nacional y respetando los secretos comerciales e industriales;
• Derecho a la supresión de los datos personales tratados con el consentimiento del interesado;
• Derecho a la información sobre las entidades públicas y privadas con las que el responsable del tratamiento ha compartido datos;
• Derecho a recibir información sobre la posibilidad de no dar su consentimiento y sobre las consecuencias de negarlo;
• Derecho a revocar el consentimiento.

La aplicación del RGPD en tu empresa merece un seguimiento adecuado. Como ya hemos señalado, cualquier incumplimiento puede acarrear sanciones de diversa índole, lo que expone a tu empresa a riesgos legales que se podrían evitar por completo.