Mikä LGPD on?
Lei Geral de Proteção de Dados (laki 13.709/2018) on Brasilian yleinen tietosuojalaki. Se tuli voimaan vuonna 2020, ja hallinnollisia seuraamuksia on sovellettu elokuusta 2021 alkaen. Laki on mallinnettu tiiviisti tietosuoja-asetuksen pohjalta: se määrittelee henkilötiedot laajasti, edellyttää oikeusperustetta jokaiselle käsittelyn tarkoitukselle ja antaa ihmisille oikeuden saada pääsy tietoihinsa sekä oikaista ja poistaa ne.
Laki ulottuu myös ulkomaisiin yrityksiin. Jos tarjoat tavaroita tai palveluita Brasiliassa oleville henkilöille tai käsittelet siellä kerättyjä tietoja, LGPD koskee sinua.
Miten evästeet liittyvät tähän?
Evästeet kuuluvat LGPD:n piiriin aina, kun ne keräävät henkilötietoja tai voidaan yhdistää henkilöön, mikä koskee useimpia analytiikka- ja mainosevästeitä. Toisin kuin EU:ssa, Brasiliassa ei ole erillistä lakia, joka edellyttäisi suostumusta jokaiselle ei-välttämättömälle evästeelle. Sen sijaan valitset jokaiselle käyttötarkoitukselle oikeusperusteen ja dokumentoit sen.
Vuonna 2022 ANPD julkaisi evästeitä koskevan ohjeistuksen. Se suosittelee evästeiden ryhmittelyä käyttötarkoituksen mukaan, muiden kuin välttämättömien evästeiden estämistä, kunnes kävijä suostuu, silloin kun nojaat suostumukseen, helppoa tapaa hylätä ne sekä valmiiksi rastitettujen ruutujen ja manipuloivan suunnittelun välttämistä.
Miten se eroaa EU:n säännöistä?
Suurin ero on oikeusperusteen joustavuus: oikeutettu etu voi kattaa joitakin vähäriskisiä evästeitä, jotka EU:ssa edellyttäisivät suostumusta. Käytännössä turvallisin valinta on näyttää Brasilian kävijöille sama ennakkosuostumusmalli, jota käytät Euroopassa, portugaliksi. Se täyttää ANPD:n odotukset ja pitää asetukset yhtenäisinä.