Ramy prawne
Ogólna ustawa o ochronie danych osobowych (ustawa 13.709/2018), obowiązująca od września 2020 roku, z sankcjami od sierpnia 2021 roku, obejmuje każde przetwarzanie danych w Brazylii lub dotyczące osób przebywających w Brazylii, także przez platformy zagraniczne, i określa: podstawy prawne (zgoda, wykonanie umowy, prawnie uzasadniony interes i inne), zasady (celowość, niezbędność, przejrzystość, bezpieczeństwo), prawa osób, których dane dotyczą (potwierdzenie przetwarzania, dostęp, sprostowanie, anonimizacja, usunięcie, przenoszenie, informacja o udostępnianiu, cofnięcie zgody), wzmocnioną ochronę danych wrażliwych — pochodzenia, religii, poglądów politycznych, zdrowia, życia seksualnego, danych genetycznych i biometrycznych — szczególną zgodę jednego z rodziców na przetwarzanie danych dzieci poniżej 12 lat i przetwarzanie danych nastolatków w ich najlepszym interesie, obowiązkowego inspektora ochrony danych (encarregado, DPO), zgłaszanie naruszeń do ANPD i osobom, których dotyczą, oraz sankcje — upomnienie, karę do 2 % obrotu w Brazylii, nie więcej niż 50 mln reali za naruszenie, blokadę lub usunięcie danych. Krajowy Urząd Ochrony Danych (Autoridade Nacional de Proteção de Dados, ANPD), niezależny od 2022 roku, wydaje regulacje (wymiar sankcji w 2023 roku, przekazywanie danych za granicę w 2024 roku, dane dzieci) i nakłada sankcje; poprawka konstytucyjna 115/2022 wpisała ochronę danych do praw podstawowych, a LGPD uzupełniają Marco Civil da Internet (ustawa o prawach i obowiązkach w internecie z 2014 roku) i Kodeks ochrony konsumenta (Código de Defesa do Consumidor). Rozpowszechnianie zdjęć intymnych bez zgody jest przestępstwem (ustawa 13.718/2018), a ofiara może żądać ich usunięcia od platform bez orzeczenia sądu (Marco Civil, art. 21). Brazylia nie ma decyzji Unii Europejskiej stwierdzającej odpowiedni stopień ochrony danych.
Polak znajdzie w LGPD wiele z RODO — podstawy prawne, prawa osób, inspektora ochrony danych, zgłaszanie naruszeń, kary liczone od obrotu — z różnicami: kary do 2 % obrotu i 50 mln reali zamiast do 20 mln euro lub 4 % obrotu, szczególna ochrona dzieci do 12 lat (w Polsce nastolatek sam zgadza się na usługi internetowe od 16 lat) i urząd, który pierwsze sankcje nałożył dopiero w 2023 roku. Wobec brazylijskich firm Polaka mieszkającego w Brazylii chroni LGPD, ale wobec polskich firm — banku, operatora, sklepu internetowego — RODO i Prezes UODO działają nadal, także z Brazylii.
Przekazywanie danych osobowych z Unii do Brazylii wymaga standardowych klauzul umownych lub innych zabezpieczeń, bo Brazylia nie ma decyzji o odpowiednim stopniu ochrony, a z Brazylii za granicę — na przykład klauzul ANPD z 2024 roku. W codziennym życiu liczy się co innego: CPF (brazylijski numer podatkowy) jest wszechobecnym identyfikatorem, o który pytają apteki, sklepy i aplikacje, a wielkie wycieki — dziesiątki milionów numerów CPF — są rutyną; warto podawać go tylko tam, gdzie jest naprawdę potrzebny, i pilnować kont oraz kredytów na swoje nazwisko.
Najważniejsze punkty
| Akt | LGPD (ustawa 13.709/2018): obowiązuje od 2020 roku, sankcje od 2021; prawo podstawowe od 2022 roku |
|---|---|
| Organ | ANPD — Krajowy Urząd Ochrony Danych: regulacje, nadzór, sankcje |
| Prawa | Dostęp, sprostowanie, anonimizacja, usunięcie, przenoszenie, informacja o udostępnianiu, cofnięcie zgody |
| Dane wrażliwe | Pochodzenie, religia, poglądy, zdrowie, życie seksualne, dane genetyczne i biometryczne: szczególna zgoda |
| Małoletni | Zgoda jednego z rodziców poniżej 12 lat; najlepszy interes nastolatków |
| Sankcje | Upomnienie; kara do 2 % obrotu, 50 mln reali za naruszenie; blokada danych |
| Zdjęcia intymne | Przestępstwo (ustawa 13.718/2018); usunięcie przez platformę na żądanie ofiary (Marco Civil) |
| Polska i UE | Brak decyzji o odpowiednim stopniu ochrony; RODO działa nadal wobec polskich firm; skarga do UODO także z Brazylii |
W praktyce
- Użytkownik żąda od serwisu lub aplikacji — kanałem obowiązkowego inspektora ochrony danych (encarregado) — dostępu do danych, ich sprostowania lub usunięcia; pełną informację trzeba przekazać w ciągu 15 dni; bez odpowiedzi — petycja do ANPD (online) albo skarga do Procon (urzędu ochrony konsumentów) i w serwisie consumidor.gov.br.
- Po wycieku danych firma musi zawiadomić ANPD i osoby, których dane dotyczą, w rozsądnym terminie (trzy dni robocze według regulacji z 2024 roku); poszkodowany może żądać odszkodowania w juizado especial cível (sądzie do spraw drobnych roszczeń), bez adwokata do 20 płac minimalnych.
- Rozpowszechnianie zdjęć intymnych bez zgody zgłasza się w komisariacie ds. cyberprzestępczości (Delegacia de Crimes Cibernéticos), a usunięcia żąda się bezpośrednio od platformy, która musi działać bez orzeczenia sądu; SaferNet pomaga. Ofiara mieszkająca w Polsce zawiadamia też polską policję (art. 191a KK), a StopNCII.org pozwala zablokować ponowne publikacje na dużych platformach.
- Rodzice dziecka poniżej 12 lat mogą żądać usunięcia konta założonego bez ich zgody; platformy muszą weryfikować wiek w sposób proporcjonalny.
- Wielkie wycieki (Serasa, ministerstwa, operatorzy) są częste: sprawdzanie kont, uwierzytelnianie dwuskładnikowe i monitorowanie CPF w Registrato Banku Centralnego ograniczają szkody.
- Wobec polskich firm działa nadal RODO: żądanie z art. 15–17 i skarga do Prezesa UODO, po polsku, także z Brazylii.
Koszt i refundacja
Wykonywanie praw, petycja do ANPD i skarga do Procon są bezpłatne; juizado especial cível jest bezpłatny w pierwszej instancji; ANPD nałożył pierwsze sankcje w 2023 roku (Telekall, Ministerstwo Zdrowia, INSS i inne); skarga do UODO jest bezpłatna.
Ostatnie zmiany
ANPD nałożył pierwsze kary w 2023 roku, a w 2024 roku uregulował przekazywanie danych za granicę i zgłaszanie incydentów; poprawka 115/2022 podniosła ochronę danych do rangi prawa podstawowego; w 2024 roku ANPD wstrzymał wykorzystywanie danych Brazylijczyków przez Metę do trenowania sztucznej inteligencji, a następnie dopuścił je pod warunkami; STF potwierdził w 2020 roku ochronę danych jako odrębne prawo.
Gdzie się zwrócić
- ANPD — Krajowy Urząd Ochrony Danych (gov.br/anpd): petycje, regulacje.
- Procon i consumidor.gov.br — spory konsumenckie; juizados especiais cíveis.
- SaferNet Brasil i Delegacias de Crimes Cibernéticos — zdjęcia intymne i przestępstwa.
- UODO (Warszawa) — skargi wobec polskich administratorów; StopNCII.org — zdjęcia intymne.
Warto wiedzieć
LGPD jest ambitna, a ANPD młody: kary są rzadkie i niskie w porównaniu z europejskimi, a masowe wycieki — dziesiątki milionów numerów CPF — to rutyna. Najskuteczniej dochodzi się praw bezpośrednio u firmy i w bezpłatnych juizados especiais; a przy zdjęciach intymnych istnieje szybka droga, którą zna niewiele ofiar: usunięcie przez samą platformę, bez sędziego. Numer CPF chroni się jak PIN.
Najczęstsze pytania
Czy RODO chroni mnie w Brazylii?
Wobec firm z siedzibą w Unii — polskiego banku, operatora czy sklepu internetowego — tak, niezależnie od miejsca zamieszkania, ze skargą do Prezesa UODO. Wobec brazylijskich firm i platform działających na rynku brazylijskim obowiązuje LGPD, z bardzo podobnymi prawami (dostęp, sprostowanie, usunięcie, przenoszenie), dochodzonymi u inspektora firmy, w ANPD, w Procon lub w juizado especial cível. Polska firma obsługująca klientów w Brazylii podlega obu aktom — RODO i LGPD.
Czy w aptece muszę podawać CPF?
Nie: podanie CPF przy kasie jest dobrowolne i służy zwykle programom rabatowym i profilowaniu klienta, a zakupy leków to dane o zdrowiu, czyli dane wrażliwe w rozumieniu LGPD. Możesz odmówić i zapłacić cenę bez rabatu.
Ktoś rozpowszechnia w Brazylii moje zdjęcia intymne — co mogę zrobić?
Trzy kroki, także z Polski: żądanie usunięcia bezpośrednio od platformy na podstawie art. 21 Marco Civil, który obowiązuje ją do działania bez orzeczenia sądu (SaferNet pomaga); zawiadomienie w Delegacia de Crimes Cibernéticos lub online (ustawa 13.718/2018: od roku do 5 lat, surowiej, gdy sprawca był z ofiarą w bliskim związku), a z Polski także na polskiej policji (art. 191a KK); odszkodowanie w juizado especial cível. Zabezpiecz dowody — zrzuty ekranu z adresem i datą — i nie negocjuj ze sprawcą.
Źródła i linki urzędowe
- Ustawa 13.709/2018 — LGPD (tekst ujednolicony) — Planalto
- ANPD — Autoridade Nacional de Proteção de Dados — regulacje, petycje, sankcje
- Marco Civil da Internet — ustawa 12.965/2014 — Planalto
- UODO — polski organ — skargi wobec polskich firm, także z Brazylii
Sprawdzone linki do źródeł urzędowych lub referencyjnych. Otwierają się w nowej karcie.