LGPD ja küpsiste nõusolek Brasiilias: mida veebisaidid teadma peavad

Brasiilia isikuandmete kaitse üldseadus (LGPD) kehtib küpsistele alati, kui need koguvad isikuandmeid, näiteks inimese või seadmega seotud identifikaatoreid. Brasiilial ei ole eraldi küpsiseseadust, seega vajab iga küpsise eesmärk LGPD õiguslikku alust. Reklaami- ja enamiku analüütikaküpsiste puhul on selleks tavaliselt nõusolek, mis peab olema vaba, teadlik, üheselt mõistetav ja igal ajal tagasivõetav.

Mis on LGPD ja kellele see kehtib?

LGPD on Brasiilia seadus 13.709/2018, riigi üldine andmekaitseseadus, mida jõustab riiklik andmekaitseasutus (ANPD). See kordab tihedalt IKÜM-i mõisteid: vastutavad ja volitatud töötlejad, õiguslikud alused, andmesubjekti õigused ja aruandekohustus.

Selle ulatus on eksterritoriaalne. Seadus kehtib, kui töötlemine toimub Brasiilias, kui töötlemise eesmärk on pakkuda kaupu või teenuseid Brasiilias asuvatele inimestele või see hõlmab seal asuvate isikute andmeid või kui isikuandmed koguti Brasiilias. Euroopa või USA ettevõte, kellel on Brasiilia kliente või külastajaid, kuulub tavaliselt reguleerimisalasse.

Kas küpsised on LGPD järgi isikuandmed?

Paljud on. LGPD määratleb isikuandmed kui teabe, mis on seotud tuvastatud või tuvastatava füüsilise isikuga, ning küpsise ID-d, IP-aadressid ja reklaami identifikaatorid võivad inimese tuvastatavaks muuta, eriti koos muude andmetega.

Tõeliselt anonüümitud andmed jäävad seadusest välja, kuid anonüümimise lävi on kõrge. Käsitle analüütika- ja reklaamiküpsiseid isikuandmetena, kui sa ei suuda näidata teisiti. Põhjalik küpsiste audit ütleb, millised küpsised mida koguvad, ja see on õigusliku aluse valimise lähtepunkt.

Milline õiguslik alus küpsistele kehtib?

Ühte vastust ei ole: iga küpsise eesmärk vajab ühte LGPD õiguslikest alustest ning nõusolek on neist ainult üks. See on suurim struktuuriline erinevus ELiga, kus e-privaatsuse direktiiv nõuab mittevajalike küpsiste puhul nõusolekut sõltumata sellest, milline IKÜM-i õiguslik alus hilisemat töötlemist katab.

Praktikas jõuab enamik organisatsioone tuttavasse kohta.

• Rangelt vajalikud küpsised, näiteks seansi-, turva- ja koormusjaotuse küpsised, saavad tavaliselt toetuda õigustatud huvile või kasutaja taotletud lepingu täitmisele.
• Analüütikaküpsised võivad mõnikord toetuda õigustatud huvile pärast dokumenteeritud kaalumistesti, kuid nõusolek on turvalisem valik, eriti kui andmed lähevad kolmandatele osapooltele.
• Reklaami- ja saitideülese jälgimise küpsised eeldavad üldjuhul nõusolekut, arvestades nende pealetükkivust ja seda, kui raske on neid õigustatud huviga põhjendada.

Õigustatud huvi LGPD järgi ei ole vabapääse. Töötlemine peab austama inimese õigustatud ootusi ja põhiõigusi, kasutama ainult eesmärgi jaoks rangelt vajalikke andmeid ning ANPD võib sellele toetumisel nõuda andmekaitse mõjuaruannet. Meie artikkel õigustatud huvist ja küpsistest selgitab, kuidas Euroopa reguleerijad sama küsimust käsitlevad.

Mis teeb nõusoleku LGPD järgi kehtivaks?

Nõusolek peab olema vaba, teadlik ja üheselt mõistetav tahteavaldus konkreetse eesmärgi jaoks. Üldised volitused on tühised ja vastutav töötleja kannab tõendamiskoormat, et nõusolek hangiti nõuetekohaselt.

Küpsisebännerite puhul tähendab see praktilist kontrollnimekirja.

1. Selgita iga küpsise eesmärki selges keeles, Brasiilia sihtrühma jaoks portugali keeles, enne nõusoleku küsimist.
2. Ära laadi mittevajalikke küpsiseid, kuni inimene on valiku teinud.
3. Väldi eelnevalt märgitud ruute ja ära käsitle vaikimist ega sirvimise jätkamist nõustumisena.
4. Paku keeldumisvalikut, mida on sama lihtne leida ja kasutada kui nõustumist.
5. Lase inimestel nõusolekut hiljem muuta või tagasi võtta tasuta ja lihtsa protsessiga, näiteks püsiva seadete lingi kaudu.
6. Salvesta, millal, kuidas ja millisteks eesmärkideks nõusolek anti.

Mida ANPD küpsisebännerilt ootab?

ANPD on avaldanud küpsiste ja isikuandmete juhise, mis kõlab suuresti nagu Euroopa reguleerijate nõuanded. Selle peamised teemad on läbipaistvus, üksikasjalik valik ja manipuleerimise puudumine.

Juhis toetab küpsiste liigitamist eesmärgi järgi, esimest kihti selgete valikutega, mis hõlmavad mittevajalikest küpsistest keeldumist, teist kihti või küpsisepoliitikat üksikasjalikuma teabega ning disaini, mis ei sunni inimesi nõustuma. See on pigem juhis kui õigusakt, kuid annab märku, kuidas reguleerija LGPD põhimõtteid uurimisel tõlgendab. Mustreid, mis rahuldavad nii Brasiilia kui ka Euroopa ootusi, vaata artiklist kuidas kujundada nõuetele vastav ja kasutajasõbralik küpsisebänner.

Jõustamisvahendid on mahukad. LGPD sanktsioonide hulka kuuluvad hoiatused, rikkumise avalikustamine, asjaomaste andmete blokeerimine või kustutamine ning trahvid kuni 2% ettevõtte Brasiilia käibest, ülempiiriga 50 miljonit R$ rikkumise kohta.

Kuidas LGPD ELi küpsisereeglitega võrdub?

Need kaks korda annavad sageli sarnaseid bännereid, kuid toetuvad erinevatele õiguslikele alustele. See tabel võtab kokku erinevused, mis küpsiste jaoks kõige olulisemad on.

	EL (IKÜM ja e-privaatsus)	Brasiilia (LGPD)
Küpsisespetsiifiline reegel	Jah, e-privaatsuse direktiivi art 5 lg 3	Ei, ainult üldine andmekaitseseadus
Õiguslik alus mittevajalikele küpsistele	Nõusolek	Mis tahes kehtiv alus; reklaami puhul on tüüpiline nõusolek
Nõusoleku standard	Vabatahtlik, konkreetne, teadlik, ühemõtteline	Vaba, teadlik, üheselt mõistetav, konkreetsete eesmärkide jaoks
Hõlmab mitteisikuandmete salvestamist seadmesse	Jah	Ainult siis, kui on tegemist isikuandmetega
Reguleerija	Riiklikud asutused, mida koordineerib EDPB	ANPD
Maksimaalne trahv	20 mln € või 4% ülemaailmsest aastakäibest	2% Brasiilia käibest, ülempiiriga 50 mln R$ rikkumise kohta

Kui sul on juba seadistus, mis vastab IKÜM-i küpsiste nõusoleku nõuetele, on selle kohandamine Brasiilia jaoks enamasti keele, õigusliku aluse dokumenteerimise eesmärgi kaupa ja hea arvestuse pidamise küsimus.

Kokkuvõte

Käsitle LGPD-d IKÜM-i lähisugulasena. Sellel puudub küpsisespetsiifiline reegel, kuid nõusolek jääb praktiliseks vaikevalikuks reklaamiküpsiste puhul ja turvalisemaks valikuks enamiku Brasiilias asuvatele inimestele suunatud analüütika jaoks. Dokumenteeri iga eesmärgi õiguslik alus, paku külastajatele selget keeldumisvalikut ja hoia nõusolekukirjeid, mille saad nõudmisel esitada. Tööriistad nagu Cookiesh saavad näidata Brasiilia külastajatele geosihitud LGPD bännerit koos sinu IKÜM-i ja CCPA kogemustega.

See artikkel on üldine teave, mitte õigusnõustamine. Oma konkreetse olukorra kohta otsuste tegemiseks pea nõu kvalifitseeritud privaatsusspetsialistiga.