Dane osobowe i oszustwa — Brazylia

Ochrona danych

Ogólna ustawa o ochronie danych osobowych (ustawa 13.709/2018), obowiązująca od września 2020 roku, z sankcjami od sierpnia 2021 roku, obejmuje każde przetwarzanie danych w Brazylii lub dotyczące osób przebywających w Brazylii, także przez platformy zagraniczne, i określa: podstawy prawne (zgoda, wykonanie umowy, prawnie uzasadniony interes i inne), zasady (celowość, niezbędność, przejrzystość, bezpieczeństwo), prawa osób, których dane dotyczą (potwierdzenie przetwarzania, dostęp, sprostowanie, anonimizacja, usunięcie, przenoszenie, informacja o udostępnianiu, cofnięcie zgody), wzmocnioną ochronę danych wrażliwych — pochodzenia, religii, poglądów politycznych, zdrowia, życia seksualnego, danych genetycznych i biometrycznych — szczególną zgodę jednego z rodziców na przetwarzanie danych dzieci poniżej 12 lat i przetwarzanie danych nastolatków w ich najlepszym interesie, obowiązkowego inspektora ochrony danych (encarregado, DPO), zgłaszanie naruszeń do ANPD i osobom, których dotyczą, oraz sankcje — upomnienie, karę do 2 % obrotu w Brazylii, nie więcej niż 50 mln reali za naruszenie, blokadę lub usunięcie danych. Krajowy Urząd Ochrony Danych (Autoridade Nacional de Proteção de Dados, ANPD), niezależny od 2022 roku, wydaje regulacje (wymiar sankcji w 2023 roku, przekazywanie danych za granicę w 2024 roku, dane dzieci) i nakłada sankcje; poprawka konstytucyjna 115/2022 wpisała ochronę danych do praw podstawowych, a LGPD uzupełniają Marco Civil da Internet (ustawa o prawach i obowiązkach w internecie z 2014 roku) i Kodeks ochrony konsumenta (Código de Defesa do Consumidor). Rozpowszechnianie zdjęć intymnych bez zgody jest przestępstwem (ustawa 13.718/2018), a ofiara może żądać ich usunięcia od platform bez orzeczenia sądu (Marco Civil, art. 21). Brazylia nie ma decyzji Unii Europejskiej stwierdzającej odpowiedni stopień ochrony danych.

Polak znajdzie w LGPD wiele z RODO — podstawy prawne, prawa osób, inspektora ochrony danych, zgłaszanie naruszeń, kary liczone od obrotu — z różnicami: kary do 2 % obrotu i 50 mln reali zamiast do 20 mln euro lub 4 % obrotu, szczególna ochrona dzieci do 12 lat (w Polsce nastolatek sam zgadza się na usługi internetowe od 16 lat) i urząd, który pierwsze sankcje nałożył dopiero w 2023 roku. Wobec brazylijskich firm Polaka mieszkającego w Brazylii chroni LGPD, ale wobec polskich firm — banku, operatora, sklepu internetowego — RODO i Prezes UODO działają nadal, także z Brazylii.

Przekazywanie danych osobowych z Unii do Brazylii wymaga standardowych klauzul umownych lub innych zabezpieczeń, bo Brazylia nie ma decyzji o odpowiednim stopniu ochrony, a z Brazylii za granicę — na przykład klauzul ANPD z 2024 roku. W codziennym życiu liczy się co innego: CPF (brazylijski numer podatkowy) jest wszechobecnym identyfikatorem, o który pytają apteki, sklepy i aplikacje, a wielkie wycieki — dziesiątki milionów numerów CPF — są rutyną; warto podawać go tylko tam, gdzie jest naprawdę potrzebny, i pilnować kont oraz kredytów na swoje nazwisko.

Najważniejsze punkty

W praktyce

• Użytkownik żąda od serwisu lub aplikacji — kanałem obowiązkowego inspektora ochrony danych (encarregado) — dostępu do danych, ich sprostowania lub usunięcia; pełną informację trzeba przekazać w ciągu 15 dni; bez odpowiedzi — petycja do ANPD (online) albo skarga do Procon (urzędu ochrony konsumentów) i w serwisie consumidor.gov.br.
• Po wycieku danych firma musi zawiadomić ANPD i osoby, których dane dotyczą, w rozsądnym terminie (trzy dni robocze według regulacji z 2024 roku); poszkodowany może żądać odszkodowania w juizado especial cível (sądzie do spraw drobnych roszczeń), bez adwokata do 20 płac minimalnych.
• Rozpowszechnianie zdjęć intymnych bez zgody zgłasza się w komisariacie ds. cyberprzestępczości (Delegacia de Crimes Cibernéticos), a usunięcia żąda się bezpośrednio od platformy, która musi działać bez orzeczenia sądu; SaferNet pomaga. Ofiara mieszkająca w Polsce zawiadamia też polską policję (art. 191a KK), a StopNCII.org pozwala zablokować ponowne publikacje na dużych platformach.
• Rodzice dziecka poniżej 12 lat mogą żądać usunięcia konta założonego bez ich zgody; platformy muszą weryfikować wiek w sposób proporcjonalny.
• Wielkie wycieki (Serasa, ministerstwa, operatorzy) są częste: sprawdzanie kont, uwierzytelnianie dwuskładnikowe i monitorowanie CPF w Registrato Banku Centralnego ograniczają szkody.
• Wobec polskich firm działa nadal RODO: żądanie z art. 15–17 i skarga do Prezesa UODO, po polsku, także z Brazylii.

Koszt i refundacja

Wykonywanie praw, petycja do ANPD i skarga do Procon są bezpłatne; juizado especial cível jest bezpłatny w pierwszej instancji; ANPD nałożył pierwsze sankcje w 2023 roku (Telekall, Ministerstwo Zdrowia, INSS i inne); skarga do UODO jest bezpłatna.

Gdzie się zwrócić

• ANPD — Krajowy Urząd Ochrony Danych (gov.br/anpd): petycje, regulacje.
• Procon i consumidor.gov.br — spory konsumenckie; juizados especiais cíveis.
• SaferNet Brasil i Delegacias de Crimes Cibernéticos — zdjęcia intymne i przestępstwa.
• UODO (Warszawa) — skargi wobec polskich administratorów; StopNCII.org — zdjęcia intymne.

Najczęstsze pytania

Źródła

• Ustawa 13.709/2018 — LGPD (tekst ujednolicony) — Planalto
• ANPD — Autoridade Nacional de Proteção de Dados — regulacje, petycje, sankcje
• Marco Civil da Internet — ustawa 12.965/2014 — Planalto
• UODO — polski organ — skargi wobec polskich firm, także z Brazylii

Artykuł ogólny: Ochrona danych

Oszustwa matrymonialne

Oszustwo „na miłość” to w Brazylii estelionato (art. 171 Kodeksu karnego, od roku do 5 lat, surowiej wobec osób starszych) albo oszustwo elektroniczne (fraude eletrônica, od 4 do 8 lat od 2021 roku), a od 2019 roku ściganie wymaga co do zasady wniosku ofiary. Zawiadomienie składa się w komisariatach ds. cyberprzestępczości lub online, a Pix ma mechanizm zwrotu pieniędzy w razie oszustwa. Brazylia ma miliony ofiar i jest zarazem bazą siatek, które biorą na cel ofiary w Europie.

Kodeks karny (Código Penal) karze oszustwo (estelionato) — osiągnięcie bezprawnej korzyści ze szkodą dla innej osoby przez wprowadzenie jej w błąd podstępem lub wybiegiem — karą od roku do 5 lat pozbawienia wolności i grzywną (art. 171), surowszą, gdy ofiarą jest osoba starsza lub bezbronna, a oszustwo elektroniczne (fraude eletrônica) — popełnione dzięki informacjom podanym przez ofiarę lub osobę trzecią wprowadzoną w błąd w mediach społecznościowych, przez telefon albo za pomocą fałszywej wiadomości e-mail — karą od 4 do 8 lat (ustawa 14.155/2021). Od pakietu antykryminalnego (Pacote Anticrime, ustawa 13.964/2019) ściganie oszustwa wymaga wniosku ofiary (representação), złożonego w ciągu sześciu miesięcy, z wyjątkami (gdy ofiarą jest administracja publiczna, dziecko lub nastolatek, osoba z niepełnosprawnością intelektualną, osoba powyżej 70 lat lub ubezwłasnowolniona). Oszustwa matrymonialne — „golpe do amor”, „golpe do falso militar americano” (na fałszywego amerykańskiego żołnierza), „golpe do casamento” (na ślub) — oraz „rzeźnia świń” (pig butchering) z kryptowalutami są kwalifikowane jako estelionato lub oszustwo elektroniczne. Brazylia notuje miliony ofiar oszustw cyfrowych rocznie (Pix, sklonowany WhatsApp, fałszywe infolinie banków) i jest też bazą siatek, które biorą na cel ofiary w Europie i Stanach Zjednoczonych. Zawiadomienie składa się w komisariatach ds. cyberprzestępczości (Delegacias de Crimes Cibernéticos, działających w większości stanów), w dowolnym komisariacie albo przez internet (delegacia eletrônica); Pix, brazylijski system płatności natychmiastowych, ma od 2021 roku specjalny mechanizm zwrotu (Mecanismo Especial de Devolução, MED), który pozwala bankowi zablokować i zwrócić środki w razie oszustwa, jeśli uruchomi się go szybko; te drogi uzupełniają SaferNet, Procon (urząd ochrony konsumentów) i serwis consumidor.gov.br.

Polacy stykają się z brazylijskimi oszustwami z dwóch stron. Na miejscu najczęstsze są oszustwa przez Pix, którym w Brazylii płaci się niemal za wszystko: sklonowany WhatsApp „syna” lub „znajomego” proszącego o pilny przelew, fałszywa infolinia banku, fałszywa „inwestycja”. Z daleka — profile „Brazylijek” i „Brazylijczyków” w serwisach randkowych, które po tygodniach rozmów proszą o pieniądze na bilet do Polski, cło za paczkę albo operację.

W Polsce oszustwo (art. 286 KK) jest ścigane z urzędu; w Brazylii bez wniosku ofiary (representação) złożonego w ciągu sześciu miesięcy ani policja, ani prokuratura nie mogą działać — także wtedy, gdy ofiara wróciła już do Polski. Przelew Pix zatwierdzony przez ofiarę bank odzyskuje tylko przez MED, jeśli pieniądze są jeszcze na koncie odbiorcy. CPF (brazylijski numer podatkowy) jest kluczem do tożsamości: kto poda go oszustowi, ryzykuje kredyty, karty SIM i konta zakładane na swoje nazwisko.

Najważniejsze punkty

Przestępstwo	Estelionato (art. 171): od roku do 5 lat, surowiej wobec osób starszych i bezbronnych; oszustwo elektroniczne (art. 171 § 2-A): od 4 do 8 lat
Wniosek ofiary	Representação w ciągu sześciu miesięcy (od 2019 roku), z wyjątkami: administracja publiczna, małoletni, niepełnosprawność intelektualna, osoby powyżej 70 lat lub ubezwłasnowolnione
Gdzie zgłosić	Komisariaty ds. cyberprzestępczości; delegacia eletrônica; dowolny komisariat; Ministério Público
Pix	MED: blokada i zwrot środków w razie oszustwa — uruchomić szybko w banku
Banki	Reklamacja operacji nieautoryzowanych; orzecznictwo korzystne dla ofiar fałszywych infolinii
Ostrzeżenia	Banco Central, CVM (fałszywe inwestycje), SaferNet, Procon
Tendencja	Miliony oszustw cyfrowych rocznie; „golpe do amor” i „rzeźnia świń” coraz częstsze
Polska	Oszustwo z art. 286 KK ścigane z urzędu; w Brazylii bez representação w ciągu sześciu miesięcy sprawa stoi

W praktyce

• Przy pierwszej prośbie o pieniądze od znajomego z internetu — amerykańskiego żołnierza, inżyniera na platformie wiertniczej, bogatego wdowca, kobiety w kłopotach — zatrzymać się i sprawdzić: wyszukiwanie obrazem, prośba o wideorozmowę, odmowa każdego przelewu; żaden urząd celny ani szpital nie żąda zapłaty od osoby trzeciej.
• Po wysłaniu Pixa natychmiast skontaktować się z bankiem i uruchomić MED — środki można zablokować na koncie odbiorcy w pierwszych godzinach — oraz złożyć zawiadomienie (boletim de ocorrência) online lub w komisariacie; zachować rozmowy, profile, klucze Pix i potwierdzenia.
• Boletim de ocorrência i representação składa się w ciągu sześciu miesięcy; sprawę prowadzi stanowa Delegacia de Crimes Cibernéticos (albo delegacia eletrônica), a ściga prokuratura (Ministério Público).
• Fałszywe inwestycje proponowane przez „partnera” sprawdza się w CVM (Comissão de Valores Mobiliários, komisji papierów wartościowych) i w Banco Central; niezarejestrowane platformy kryptowalutowe to najczęstszy schemat. W Polsce listę ostrzeżeń publicznych prowadzi Komisja Nadzoru Finansowego.
• Ofiary — często kobiety po pięćdziesiątce — znajdują wsparcie w komisariatach dla kobiet, w ośrodkach pomocy społecznej (CRAS) i w grupach ofiar; wstyd jest pierwszym sprzymierzeńcem oszustów.
• Chronić CPF i WhatsApp: nie podawać numeru CPF przez telefon, włączyć w WhatsAppie weryfikację dwuetapową i sprawdzać w Registrato Banku Centralnego konta i kredyty na swoje nazwisko.

Koszt i refundacja

Zawiadomienie, MED i Procon są bezpłatne; pieniądze wysłane oszustowi rzadko wracają, chyba że Pix zablokowano szybko; adwokat może pozwać bank, który nie dopełnił obowiązków. W Polsce zawiadomienie na policji jest bezpłatne, a firmy „odzyskujące pieniądze” za opłatą z góry to zwykle drugie oszustwo.

Gdzie się zwrócić

• Stanowa Delegacia de Crimes Cibernéticos; delegacia eletrônica; Disque 190.
• Bank (MED dla Pixa); Banco Central (bcb.gov.br, Registrato); CVM (ostrzeżenia).
• SaferNet Brasil; Procon; consumidor.gov.br.
• Polska policja (także przez internet) — gdy ofiara mieszka w Polsce; Ambasada RP w Brasílii i Konsulat Generalny RP w Kurytybie — sytuacje nagłe.

Najczęstsze pytania

Źródła

• Kodeks karny Brazylii — estelionato (art. 171) — Planalto
• Banco Central do Brasil — Pix i mechanizm MED — zasady Pix
• SaferNet Brasil — zgłoszenia — kanał zgłoszeń
• Ambasada RP w Brasílii — gov.pl — oficjalne kontakty placówek RP

Artykuł ogólny: Oszustwa matrymonialne