Kansainvälinen tietosuojaLukuaika 4 min
LGPD ja evästesuostumus Brasiliassa: mitä sivustojen tulee tietää
Miten Brasilian LGPD koskee evästeitä: oikeusperusteet, milloin suostumus tarvitaan, mitä ANPD odottaa evästebannereilta ja miten laki eroaa EU:n evästesäännöistä.
Brasilian yleinen tietosuojalaki (LGPD) koskee evästeitä aina, kun ne keräävät henkilötietoja, kuten henkilöön tai laitteeseen liitettyjä tunnisteita. Brasiliassa ei ole erillistä evästelakia, joten jokainen evästeen käyttötarkoitus tarvitsee LGPD:n mukaisen oikeusperusteen. Mainos- ja useimmissa analytiikkaevästeissä perusteena on yleensä suostumus, jonka on oltava vapaa, tietoinen, yksiselitteinen ja peruutettavissa milloin tahansa.
Mikä LGPD on ja keitä se koskee?
LGPD on Brasilian laki 13.709/2018, maan yleinen tietosuojalaki, jonka valvonnasta vastaa kansallinen tietosuojaviranomainen (ANPD). Se muistuttaa läheisesti GDPR:n käsitteitä: rekisterinpitäjät ja henkilötietojen käsittelijät, oikeusperusteet, rekisteröidyn oikeudet ja osoitusvelvollisuus.
Sen soveltamisala on alueen ulkopuolelle ulottuva. Laki koskee tilanteita, joissa käsittely tapahtuu Brasiliassa, käsittelyn tarkoituksena on tarjota tavaroita tai palveluita Brasiliassa oleville henkilöille tai se koskee siellä sijaitsevien henkilöiden tietoja, tai henkilötiedot on kerätty Brasiliassa. Eurooppalainen tai yhdysvaltalainen yritys, jolla on brasilialaisia asiakkaita tai kävijöitä, kuuluu tyypillisesti lain piiriin.
Ovatko evästeet LGPD:n mukaan henkilötietoja?
Monet ovat. LGPD määrittelee henkilötiedot tunnistettuun tai tunnistettavissa olevaan luonnolliseen henkilöön liittyviksi tiedoiksi, ja evästetunnisteet, IP-osoitteet ja mainostunnisteet voivat tehdä henkilöstä tunnistettavan, etenkin yhdistettyinä muihin tietoihin.
Todella anonymisoidut tiedot jäävät lain ulkopuolelle, mutta anonymisoinnin kynnys on korkea. Kohtele analytiikka- ja mainosevästeitä henkilötietoina, ellet voi osoittaa muuta. Perusteellinen evästekartoitus kertoo, mitkä evästeet keräävät mitä, ja se on oikeusperusteen valinnan lähtökohta.
Mikä oikeusperuste koskee evästeitä?
Yhtä vastausta ei ole: jokainen evästeen käyttötarkoitus tarvitsee jonkin LGPD:n oikeusperusteen, ja suostumus on vain yksi niistä. Tämä on suurin rakenteellinen ero EU:hun, jossa ePrivacy-direktiivi edellyttää suostumusta muille kuin välttämättömille evästeille riippumatta siitä, mikä GDPR:n oikeusperuste kattaa myöhemmän käsittelyn.
Käytännössä useimmat organisaatiot päätyvät tuttuun ratkaisuun:
- Ehdottoman välttämättömät evästeet, kuten istunto-, tietoturva- ja kuormantasausevästeet, voivat yleensä nojata oikeutettuun etuun tai käyttäjän pyytämän sopimuksen täyttämiseen.
- Analytiikkaevästeet voivat joskus nojata oikeutettuun etuun dokumentoidun intressivertailun jälkeen, mutta suostumus on turvallisempi valinta, etenkin kun tietoja menee kolmansille osapuolille.
- Mainos- ja sivustojen välisen seurannan evästeet edellyttävät yleensä suostumusta, kun otetaan huomioon, kuinka tunkeilevia ne ovat ja kuinka vaikea niitä on perustella oikeutetulla edulla.
Oikeutettu etu ei LGPD:ssä ole vapaakortti. Käsittelyn on kunnioitettava henkilön oikeutettuja odotuksia ja perusoikeuksia, siinä saa käyttää vain tarkoitukseen ehdottoman välttämättömiä tietoja, ja ANPD voi pyytää tietosuojan vaikutustenarviointiraporttia, kun nojaat siihen. Artikkelimme oikeutetusta edusta ja evästeistä selittää, miten eurooppalaiset viranomaiset lähestyvät samaa kysymystä.
Mikä tekee suostumuksesta pätevän LGPD:n mukaan?
Suostumuksen on oltava vapaa, tietoinen ja yksiselitteinen tahdonilmaisu tiettyä tarkoitusta varten. Yleiset luvat ovat mitättömiä, ja todistamistaakka suostumuksen asianmukaisesta hankkimisesta on rekisterinpitäjällä.
Evästebannereiden osalta tämä tarkoittaa käytännön tarkistuslistaa:
- Selitä jokainen evästeen käyttötarkoitus selkeällä kielellä, brasilialaiselle yleisölle portugaliksi, ennen kuin pyydät suostumusta.
- Älä lataa muita kuin välttämättömiä evästeitä, ennen kuin henkilö tekee valinnan.
- Vältä valmiiksi rastitettuja ruutuja äläkä käsittele hiljaisuutta tai selaamisen jatkamista suostumuksena.
- Tarjoa hylkäysvaihtoehto, joka on yhtä helppo löytää ja käyttää kuin hyväksyminen.
- Anna ihmisten muuttaa tai peruuttaa suostumus myöhemmin maksuttomalla ja helpolla menettelyllä, kuten pysyvällä asetuslinkillä.
- Kirjaa, milloin, miten ja mihin käyttötarkoituksiin suostumus annettiin.
Mitä ANPD odottaa evästebannereilta?
ANPD on julkaissut evästeitä ja henkilötietoja koskevan ohjeistuksen, joka muistuttaa paljon eurooppalaisten viranomaisten neuvoja. Sen pääteemat ovat läpinäkyvyys, yksityiskohtainen valinta ja manipuloinnin välttäminen.
Ohjeistus suosii evästeiden luokittelua käyttötarkoituksen mukaan, ensimmäistä tasoa, jolla on selkeät vaihtoehdot, joihin kuuluu muiden kuin välttämättömien evästeiden hylkääminen, toista tasoa tai evästekäytäntöä, jossa on enemmän yksityiskohtia, sekä suunnittelua, joka ei ohjaa ihmisiä hyväksymään. Se on ohjeistusta eikä lakia, mutta se kertoo, miten viranomainen tulkitsee LGPD:n periaatteita tutkinnassa. Katso näin suunnittelet vaatimustenmukaisen ja käyttäjäystävällisen evästebannerin malleja, jotka täyttävät sekä brasilialaiset että eurooppalaiset odotukset.
Valvontakeinot ovat mittavat. LGPD:n mukaisia seuraamuksia ovat varoitukset, rikkomuksen julkistaminen, kyseisten tietojen estäminen tai poistaminen sekä sakot, jotka ovat enintään 2 % yrityksen Brasilian liikevaihdosta ja enintään 50 miljoonaa Brasilian realia (R$) rikkomusta kohden.
Miten LGPD eroaa EU:n evästesäännöistä?
Näistä kahdesta järjestelmästä syntyy usein samankaltaisia bannereita, mutta ne perustuvat eri oikeudellisiin perusteisiin. Tämä taulukko tiivistää eroista evästeiden kannalta tärkeimmät.
| EU (GDPR ja ePrivacy) | Brasilia (LGPD) | |
|---|---|---|
| Evästekohtainen sääntö | Kyllä, ePrivacy-direktiivin 5 art. 3 kohta | Ei, vain yleinen tietosuojalaki |
| Oikeusperuste muille kuin välttämättömille evästeille | Suostumus | Mikä tahansa pätevä peruste; mainonnassa tyypillisesti suostumus |
| Suostumuksen vaatimustaso | Vapaasti annettu, yksilöity, tietoinen, yksiselitteinen | Vapaa, tietoinen, yksiselitteinen, tiettyjä käyttötarkoituksia varten |
| Kattaa muun kuin henkilötietoja sisältävän laitteelle tallentamisen | Kyllä | Vain kun mukana on henkilötietoja |
| Valvontaviranomainen | Kansalliset viranomaiset, joita EDPB koordinoi | ANPD |
| Enimmäissakko | 20 milj. € tai 4 % maailmanlaajuisesta vuosiliikevaihdosta | 2 % Brasilian liikevaihdosta, enintään 50 milj. R$ rikkomusta kohden |
Jos sinulla on jo käytössä ratkaisu, joka täyttää GDPR:n evästesuostumusta koskevat vaatimukset, sen mukauttaminen Brasiliaa varten on enimmäkseen kielestä, oikeusperusteen dokumentoinnista käyttötarkoituksittain ja hyvien tietueiden pitämisestä kiinni.
Yhteenveto
Kohtele LGPD:tä GDPR:n läheisenä sukulaisena. Siitä puuttuu evästekohtainen sääntö, mutta suostumus on edelleen käytännön oletus mainosevästeille ja turvallisempi vaihtoehto useimmassa Brasiliassa oleville henkilöille suunnatussa analytiikassa. Dokumentoi oikeusperusteesi jokaiselle käyttötarkoitukselle, anna kävijöille selkeä hylkäysmahdollisuus ja säilytä suostumustietueet, jotka voit esittää pyydettäessä. Cookieshin kaltaiset työkalut voivat näyttää brasilialaisille kävijöille maantieteellisesti kohdennetun LGPD-bannerin GDPR- ja CCPA-kokemustesi rinnalla.
Tämä artikkeli on yleistä tietoa eikä oikeudellista neuvontaa. Kun teet omaa tilannettasi koskevia päätöksiä, käänny pätevän tietosuoja-asiantuntijan puoleen.
Usein kysytyt kysymykset
Onko evästebanneri pakollinen Brasiliassa?
LGPD ei mainitse evästebannereita nimenomaisesti. Käytännössä, jos nojaat suostumukseen analytiikka- tai mainosevästeissä, banneri tai vastaava käyttöliittymä on käytännöllisin tapa kerätä ja tallentaa suostumus, ja ANPD:n ohjeistus olettaa sellaisen olevan käytössä.
Voinko käyttää samaa evästebanneria Brasiliassa ja EU:ssa?
EU-tasoinen opt-in-banneri täyttää yleensä LGPD:n odotukset tai ylittää ne, joten moni yritys käyttää sitä uudelleen Brasiliassa. Tarjoa teksti portugaliksi ja varmista, että evästekäytäntösi kuvaa mahdolliset Brasilia-kohtaiset oikeusperusteet, joihin nojaat.
Kuka valvoo LGPD:tä?
Autoridade Nacional de Proteção de Dados (ANPD) on Brasilian kansallinen tietosuojaviranomainen. Se antaa määräyksiä ja ohjeistusta, käsittelee valituksia, tekee tutkintoja ja voi määrätä hallinnollisia seuraamuksia.
Edellyttääkö LGPD tietosuojavastaavaa?
Rekisterinpitäjien odotetaan yleensä nimeävän henkilötietojen käsittelystä vastaavan henkilön, jota kutsutaan nimellä encarregado, ja julkaisevan hänen yhteystietonsa. ANPD on antanut säännöt, jotka lieventävät tätä joidenkin pienten käsittelijöiden osalta, joten tarkista voimassa olevat vaatimukset.
Lähteet
Cookieshin toimitus
Tietosuojainsinöörejä ja vaatimustenmukaisuuden asiantuntijoita, jotka kirjoittavat tuotetiimeille käytännön ohjeita suostumuksista, evästeistä ja tietosuojasta.
