Мировое регулирование5 мин чтения
LGPD и согласие на cookie в Бразилии: что нужно знать сайтам
Как бразильский LGPD применяется к cookie: правовые основания, когда нужно согласие, чего ANPD ждет от баннеров cookie и чем он отличается от правил ЕС.
Общий закон Бразилии о защите данных (LGPD) применяется к файлам cookie всякий раз, когда они собирают персональные данные, например идентификаторы, связанные с человеком или устройством. Отдельного закона о cookie в Бразилии нет, поэтому для каждой цели файла cookie нужно правовое основание по LGPD. Для рекламных и большинства аналитических файлов cookie таким основанием обычно служит согласие, которое должно быть свободным, информированным, недвусмысленным и отзываемым в любой момент.
Что такое LGPD и на кого он распространяется?
LGPD — это бразильский Закон № 13.709/2018, общий закон страны о защите данных, за соблюдением которого следит национальный орган по защите данных (ANPD). Он во многом повторяет концепции Общего регламента по защите данных (GDPR): контролеры и обработчики, правовые основания, права субъектов данных и подотчетность.
Его действие экстерриториально. Закон применяется, когда обработка происходит в Бразилии, когда она направлена на предложение товаров или услуг людям в Бразилии или касается данных находящихся там лиц, либо когда персональные данные были собраны в Бразилии. Европейская или американская компания с бразильскими клиентами или посетителями, как правило, подпадает под его действие.
Считаются ли файлы cookie персональными данными по LGPD?
Многие — да. LGPD определяет персональные данные как информацию, относящуюся к идентифицированному или идентифицируемому физическому лицу, а идентификаторы cookie, IP-адреса и рекламные идентификаторы могут сделать человека идентифицируемым, особенно в сочетании с другими данными.
Действительно анонимизированные данные выходят за рамки закона, но планка анонимизации высока. Считайте аналитические и рекламные файлы cookie персональными данными, если не можете доказать обратное. Тщательный аудит файлов cookie покажет, какие файлы cookie что собирают, а это отправная точка для выбора правового основания.
Какое правовое основание применяется к файлам cookie?
Единого ответа нет: для каждой цели файла cookie нужно одно из правовых оснований LGPD, и согласие — лишь одно из них. В этом главное структурное отличие от ЕС, где Директива ePrivacy требует согласия на необязательные файлы cookie независимо от того, какое правовое основание GDPR покрывает последующую обработку.
На практике большинство организаций приходят к знакомой схеме:
- Строго необходимые файлы cookie, например сеансовые, файлы cookie безопасности и балансировки нагрузки, обычно могут опираться на законный интерес или на исполнение договора, о котором попросил пользователь.
- Аналитические файлы cookie иногда могут опираться на законный интерес после задокументированной проверки баланса интересов, но согласие — более надежный вариант, особенно когда данные передаются третьим сторонам.
- Рекламные файлы cookie и файлы cookie для межсайтового отслеживания, как правило, требуют согласия, учитывая, насколько они инвазивны и как трудно обосновать их законным интересом.
Законный интерес по LGPD — не карт-бланш. Обработка должна учитывать законные ожидания и основные права человека, использовать только данные, строго необходимые для цели, а ANPD может запросить отчет о воздействии на защиту данных, если вы опираетесь на это основание. Как к тому же вопросу подходят европейские регуляторы, объясняется в нашей статье о законном интересе и файлах cookie.
Когда согласие действительно по LGPD?
Согласие должно быть свободным, информированным и недвусмысленным волеизъявлением для конкретной цели. Общие разрешения ничтожны, а бремя доказывания того, что согласие получено надлежащим образом, несет контролер.
Для баннеров cookie это сводится к практическому чек-листу:
- Прежде чем запрашивать согласие, понятным языком объясните каждую цель файлов cookie, для бразильской аудитории — на португальском.
- Не загружайте необязательные файлы cookie, пока человек не сделает выбор.
- Избегайте заранее отмеченных флажков и не считайте молчание или продолжение просмотра согласием.
- Предложите вариант отказа, который так же легко найти и использовать, как вариант согласия.
- Дайте людям возможность позже изменить или отозвать согласие с помощью бесплатной и простой процедуры, например через постоянную ссылку на настройки.
- Фиксируйте, когда, как и для каких целей было дано согласие.
Чего ANPD ожидает от баннеров cookie?
ANPD опубликовало рекомендации о файлах cookie и персональных данных, которые во многом напоминают советы европейских регуляторов. Их основные темы — прозрачность, детальный выбор и отсутствие манипуляций.
Рекомендации отдают предпочтение классификации файлов cookie по целям, первому уровню с понятными вариантами, включая отказ от необязательных файлов cookie, второму уровню или политике использования файлов cookie с более подробной информацией и дизайну, который не подталкивает людей к согласию. Это рекомендации, а не закон, но они показывают, как регулятор толкует принципы LGPD при расследовании. Паттерны, которые отвечают и бразильским, и европейским ожиданиям, описаны в статье о том, как спроектировать баннер cookie, соответствующий требованиям и удобный для пользователей.
Арсенал санкций внушительный. Санкции по LGPD включают предупреждения, публичное оглашение нарушения, блокировку или удаление соответствующих данных и штрафы до 2% выручки компании в Бразилии, но не более 50 млн реалов за одно нарушение.
Чем LGPD отличается от правил ЕС о cookie?
Два режима часто приводят к похожим баннерам, но опираются на разные правовые основы. В таблице собраны различия, наиболее важные для файлов cookie.
| ЕС (GDPR и ePrivacy) | Бразилия (LGPD) | |
|---|---|---|
| Специальное правило о cookie | Да, ст. 5(3) Директивы ePrivacy | Нет, только общий закон о защите данных |
| Правовое основание для необязательных файлов cookie | Согласие | Любое действительное основание; для рекламы обычно согласие |
| Стандарт согласия | Свободное, конкретное, информированное, недвусмысленное | Свободное, информированное, недвусмысленное, для конкретных целей |
| Охватывает хранение на устройстве неперсональных данных | Да | Только если затронуты персональные данные |
| Регулятор | Национальные органы при координации со стороны EDPB | ANPD |
| Максимальный штраф | 20 млн евро или 4% общемирового годового оборота | 2% выручки в Бразилии, но не более 50 млн реалов за одно нарушение |
Если у вас уже есть настройка, отвечающая требованиям GDPR к согласию на файлы cookie, адаптация для Бразилии сводится в основном к языку, документированию правового основания для каждой цели и аккуратному ведению записей.
Итоги
Относитесь к LGPD как к близкому родственнику GDPR. В нем нет специального правила о cookie, но согласие остается практическим вариантом по умолчанию для рекламных файлов cookie и более надежным выбором для большей части аналитики, ориентированной на людей в Бразилии. Задокументируйте правовое основание для каждой цели, дайте посетителям понятный вариант отказа и храните записи о согласии, которые можно предъявить по запросу. Такие инструменты, как Cookiesh, умеют показывать бразильским посетителям баннер LGPD с учетом геолокации наряду с вашими вариантами для GDPR и CCPA.
Эта статья носит общий информационный характер и не является юридической консультацией. Для решений, касающихся вашей конкретной ситуации, обратитесь к квалифицированному специалисту по защите данных.
Частые вопросы
Обязателен ли баннер cookie в Бразилии?
LGPD прямо не упоминает баннеры cookie. На практике, если вы опираетесь на согласие для аналитических или рекламных файлов cookie, баннер или аналогичный интерфейс — самый удобный способ получить и зафиксировать это согласие, и рекомендации ANPD исходят из его наличия.
Можно ли использовать один баннер cookie для Бразилии и ЕС?
Баннер с предварительным согласием по европейским стандартам обычно отвечает ожиданиям LGPD или превосходит их, поэтому многие компании используют его и для Бразилии. Предложите текст на португальском и убедитесь, что политика использования файлов cookie отражает правовые основания, на которые вы опираетесь именно в Бразилии.
Кто следит за соблюдением LGPD?
Autoridade Nacional de Proteção de Dados (ANPD) — национальный орган Бразилии по защите данных. Он издает нормативные акты и рекомендации, рассматривает жалобы, проводит расследования и может применять административные санкции.
Требует ли LGPD назначать ответственного за защиту данных?
Как правило, контролеры должны назначить лицо, ответственное за обработку данных, — так называемого encarregado — и опубликовать его контактные данные. ANPD приняло правила, смягчающие это требование для некоторых небольших операторов обработки, поэтому уточните действующие требования.
Источники
Редакция Cookiesh
Инженеры по защите данных и специалисты по комплаенсу пишут практические руководства о согласии, файлах cookie и защите данных для продуктовых команд.
