اللائحة العامة لحماية البيانات (GDPR) وقانون Lei Geral de Proteção de Dados Pessoais (LGPD) البرازيلي إطاران رئيسيان للخصوصية يحكمان جمع البيانات الشخصية واستخدامها وتخزينها ومشاركتها. تقوم اللائحتان كلتاهما على مبادئ مثل الشفافية وتقييد الغرض والأمن والمساءلة وحقوق الأفراد. غير أن GDPR وLGPD يختلفان في الأسس القانونية، والبنية التنظيمية، وحقوق أصحاب البيانات، ومتطلبات الإخطار بخرق البيانات، والنقل الدولي للبيانات، وبيانات الأطفال، وآليات الإنفاذ. وللمؤسسات العاملة في أوروبا والبرازيل، يُعد فهم هذه الفروق ضروريًا لبناء برنامج خصوصية يستوفي الإطارين كليهما دون ازدواجية غير لازمة في جهود الامتثال.
جنبًا إلى جنب: GDPR مقابل LGPD
| البُعد | 🇪🇺 GDPR | 🇧🇷 LGPD |
|---|---|---|
| القانون الأساسي | اللائحة (EU) 2016/679 | القانون رقم 13,709/2018 |
| تاريخ النفاذ | 25 مايو 2018 | سرت الأحكام الرئيسية من أغسطس 2020؛ والعقوبات الإدارية من أغسطس 2021 |
| الجهة التنظيمية | السلطات الإشرافية في الاتحاد الأوروبي/المنطقة الاقتصادية الأوروبية بتنسيق عبر EDPB | Autoridade Nacional de Proteção de Dados (ANPD) |
| الجهة الخاضعة للتنظيم | المتحكم في البيانات | المتحكم في البيانات |
| معالج البيانات | معالج البيانات | المشغل |
| الفرد | صاحب البيانات | صاحب البيانات / Titular |
| الأسس القانونية | ستة أسس بموجب المادة 6 + شروط المادة 9 للفئات الخاصة | أسس قانونية متعددة بموجب المادة 7، إضافة إلى قواعد خاصة بالبيانات الشخصية الحساسة بموجب المادة 11 |
| المصالح المشروعة | معترف بها صراحةً بموجب المادة 6(1)(f) | معترف بها كأحد الأسس القانونية في LGPD بموجب المادة 7 |
| DPO | مطلوب في حالات محددة | ينطبق إطار Encarregado، مع مراعاة قواعد LGPD وANPD، بما فيها القواعد الخاصة بصغار وكلاء المعالجة |
| البيانات الحساسة | الفئات الخاصة بموجب المادة 9 | البيانات الشخصية الحساسة بموجب المادة 5 والمادة 11 |
| بيانات الأطفال | ضمانات خاصة؛ تتناول المادة 8 بعض خدمات مجتمع المعلومات القائمة على الموافقة | حماية خاصة بموجب المادة 14 |
| الحق في نقل البيانات | نعم | نعم |
| اتخاذ القرار الآلي | حقوق خاصة بموجب المادة 22 | الحق في طلب مراجعة القرارات المستندة حصرًا إلى المعالجة الآلية بموجب المادة 20 |
| النقل الدولي للبيانات | قرارات الكفاية وSCCs وBCRs وغيرها من آليات الفصل الخامس | قرارات الكفاية والآليات التعاقدية وغيرها من آليات المادة 33 وفق قواعد ANPD |
| الإخطار بخرق البيانات | خلال 72 ساعة عمومًا إلى السلطة الإشرافية عند الاقتضاء | إخطار ANPD والأفراد المتضررين خلال 3 أيام عمل عمومًا في الحوادث المستوفية للشروط بموجب القرار رقم 15/2024 |
| الحد الأقصى للغرامة الإدارية | حتى 20 مليون يورو أو 4% من إجمالي الإيرادات السنوية العالمية في مخالفات محددة | حتى 2% من الإيرادات في البرازيل عن السنة المالية السابقة، بحد أقصى 50 مليون ريال برازيلي لكل مخالفة |
| الممثل المحلي | قد تُلزم المادة 27 بعض المؤسسات غير الأوروبية بتعيين ممثل في الاتحاد الأوروبي | لا يوجد مقابل مباشر للمادة 27 من GDPR |
ما هي GDPR؟
اللائحة العامة لحماية البيانات (GDPR) هي الإطار الشامل لحماية البيانات في الاتحاد الأوروبي.
تنظّم معالجة البيانات الشخصية من جانب المتحكمين في البيانات ومعالجيها، وتضع متطلبات تشمل:
- المشروعية والإنصاف
- الشفافية
- تقييد الغرض
- تقليل البيانات إلى الحد الأدنى
- الدقة
- تقييد مدة التخزين
- الأمن
- المساءلة
- حقوق الأفراد
- النقل الدولي للبيانات
قد تنطبق GDPR كذلك على مؤسسات خارج الاتحاد الأوروبي متى استوفيت شروط نطاقها الإقليمي.
ما هو LGPD؟
القانون البرازيلي Lei Geral de Proteção de Dados Pessoais (LGPD)، الصادر بالقانون رقم 13,709/2018، ينظّم معالجة البيانات الشخصية من جانب المؤسسات العامة والخاصة.
يفرض LGPD التزامات على:
- المتحكمين في البيانات
- المشغلين
- مسؤولي حماية البيانات / Encarregados
- المؤسسات التي تعالج بيانات شخصية
- المؤسسات التي تعالج بيانات شخصية حساسة
Autoridade Nacional de Proteção de Dados (ANPD) هي السلطة الوطنية لحماية البيانات في البرازيل. وقد أصدرت ANPD لوائح تشمل مجالات منها Encarregado، والإخطار بالحوادث الأمنية، والنقل الدولي للبيانات، والعقوبات، والقواعد الخاصة بصغار وكلاء المعالجة.
GDPR مقابل LGPD: أبرز الفروق
1. النطاق الإقليمي
GDPR
قد تنطبق GDPR على مؤسسات منشأة داخل الاتحاد الأوروبي أو خارجه متى استوفيت شروط المادة 3.
وقد يشمل ذلك بعض المؤسسات خارج الاتحاد الأوروبي التي:
- تعرض سلعًا أو خدمات على أفراد في الاتحاد الأوروبي
- ترصد سلوك أفراد في الاتحاد الأوروبي
- تعمل من خلال منشأة في الاتحاد الأوروبي
LGPD
قد ينطبق LGPD في الحالات الآتية:
- إجراء المعالجة في البرازيل
- أن تهدف المعالجة إلى عرض أو تقديم سلع أو خدمات لأفراد موجودين في البرازيل
- أن تكون البيانات الشخصية قد جُمعت في البرازيل
كما يتناول إطار النقل الدولي الصادر عن ANPD انطباق القانون البرازيلي لحماية البيانات على عمليات النقل الدولي.
الفرق الرئيسي: قد ينطبق كل من GDPR وLGPD على مؤسسات خارج إقليميهما، غير أن المعايير القانونية ليست متطابقة.
2. المتحكم في البيانات في الإطارين
GDPR
تستخدم GDPR مصطلح Controller (المتحكم في البيانات) للدلالة على المؤسسة التي تحدد أغراض معالجة البيانات الشخصية ووسائلها.
تستخدم GDPR:
- معالج البيانات
LGPD
وعلى نحو مماثل، يعرّف LGPD المتحكم في البيانات (Controlador) بأنه الجهة المسؤولة عن القرارات المتعلقة بمعالجة البيانات الشخصية.
يستخدم LGPD:
- المشغل
المصطلحات إذن متقاربة نسبيًا، وإن اختلفت الحقوق والالتزامات والإطار التنظيمي. ويتعلق مفهوما المعالج في الإطارين عمومًا بالجهات التي تعالج البيانات الشخصية نيابةً عن مؤسسة أخرى، لكن ينبغي تقييم المسؤوليات التعاقدية والقانونية وفق القانون المنطبق.
3. الأسس القانونية للمعالجة
هذا مجال مهم تتجلى فيه أوجه التشابه والاختلاف.
GDPR
تنص المادة 6 من GDPR على ستة أسس قانونية رئيسية:
- الموافقة
- العقد
- الالتزام القانوني
- المصالح الحيوية
- المهمة العامة
- المصالح المشروعة
تنطبق شروط إضافية على الفئات الخاصة من البيانات الشخصية بموجب المادة 9.
LGPD
تنص المادة 7 من LGPD على أسس قانونية متعددة للبيانات الشخصية العادية، منها:
- الموافقة
- الامتثال للالتزامات القانونية أو التنظيمية
- الإدارة العامة
- البحث
- تنفيذ العقد
- ممارسة الحقوق
- حماية الحياة
- حماية الصحة
- المصالح المشروعة
- حماية الائتمان
تنطبق أسس قانونية إضافية على البيانات الشخصية الحساسة بموجب المادة 11.
الفرق الرئيسي: يعترف الإطاران بالمصالح المشروعة، لكن بنيتهما القانونية ومتطلباتهما التفصيلية تختلفان.
4. الموافقة
GDPR
متى استُخدمت الموافقة أساسًا قانونيًا، وجب أن تكون:
- حرة
- محددة
- مستنيرة
- لا لبس فيها
يجب أن تكون المؤسسات قادرة على إثبات الحصول على الموافقة وأن توفر آلية فعالة لسحبها.
LGPD
يولي LGPD كذلك أهمية كبيرة للموافقة.
يجب أن تُمنح الموافقة وفق الشروط التي يحددها القانون، ويجوز لصاحب البيانات إلغاؤها.
ينبغي للمؤسسات الاحتفاظ بأدلة تبيّن:
- ما تم إبلاغه
- ما وافق عليه الفرد
- تاريخ الحصول على الموافقة
- غرض المعالجة
- كيفية سحب الموافقة
الخلاصة العملية: يمكن لمنصة موحدة لإدارة الموافقات أن تدعم GDPR وLGPD معًا، لكن يبقى من الضروري تقييم الأساس القانوني ومتطلبات الإشعار لكل منهما على حدة.
5. المصالح المشروعة
الإطاران أكثر تشابهًا في هذا الجانب مما توحي به كثير من صفحات المقارنة.
GDPR
يمكن أن تشكّل المصالح المشروعة بموجب المادة 6(1)(f) أساسًا قانونيًا متى لم تكن مصالح صاحب البيانات أو حقوقه وحرياته الأساسية راجحة على المصالح المشروعة للمتحكم في البيانات.
ينبغي للمؤسسات تقييم هذا الأساس وتوثيقه على النحو المناسب.
LGPD
المصالح المشروعة معترف بها صراحةً كذلك كأساس قانوني بموجب المادة 7.
على المتحكم في البيانات أن يراعي المصالح المشروعة له أو للغير، مع احترام الحقوق والحريات الأساسية وتطبيق الضمانات التي يقتضيها LGPD.
الفرق الرئيسي: يعترف الإطاران بالمصالح المشروعة، لكن المعايير القانونية وتوقعات التوثيق والتفسيرات التنظيمية ليست متطابقة.
6. حقوق أصحاب البيانات
GDPR
قد تشمل الحقوق بموجب GDPR:
- الحق في الوصول
- الحق في التصحيح
- الحق في المحو
- الحق في تقييد المعالجة
- الحق في نقل البيانات
- الحق في الاعتراض
- الحق في سحب الموافقة
- الحقوق المتعلقة باتخاذ القرار الآلي والتنميط
LGPD
يكفل LGPD حقوقًا منها:
- تأكيد وجود المعالجة
- الوصول إلى البيانات الشخصية
- التصحيح
- إخفاء هوية البيانات غير الضرورية أو المفرطة أو حجبها أو حذفها
- نقل البيانات
- حذف البيانات الشخصية المعالجة استنادًا إلى الموافقة، مع مراعاة الاستثناءات القانونية
- معلومات عن الجهات العامة والخاصة التي جرت مشاركة البيانات معها
- معلومات عن إمكانية رفض منح الموافقة
- سحب الموافقة
- مراجعة بعض القرارات الآلية
الفرق الرئيسي: تتداخل الحقوق إلى حد كبير، لكن صياغتها القانونية ونطاقها وآليات تطبيقها تختلف.
7. اتخاذ القرار الآلي
GDPR
تنص المادة 22 على حماية خاصة بشأن القرارات المستندة حصرًا إلى المعالجة الآلية والتي تُنتج آثارًا قانونية أو آثارًا مماثلة في أهميتها.
قد تكون للأفراد حقوق بشأن هذه القرارات، وفق الشروط والاستثناءات الواردة في GDPR.
LGPD
تمنح المادة 20 الأفراد الحق في طلب مراجعة القرارات المتخذة حصرًا على أساس المعالجة الآلية والتي تمس مصالحهم، ومنها القرارات الرامية إلى تحديد ملفاتهم الشخصية والمهنية والاستهلاكية والائتمانية.
لذا ينبغي للمؤسسات التي تستخدم الذكاء الاصطناعي أو أنظمة القرار الآلي أن تقيّم الإطارين معًا عند العمل في البرازيل والاتحاد الأوروبي.
8. البيانات الشخصية الحساسة
GDPR
تحدد GDPR فئات خاصة من البيانات الشخصية، منها:
- الأصل العرقي أو الإثني
- الآراء السياسية
- المعتقدات الدينية أو الفلسفية
- العضوية النقابية
- البيانات الجينية
- البيانات البيومترية المستخدمة لتحديد الهوية
- البيانات الصحية
- الحياة الجنسية أو التوجه الجنسي
تضع المادة 9 شروطًا مشددة لمعالجة هذه الفئات.
LGPD
يعرّف LGPD البيانات الشخصية الحساسة تعريفًا مستقلًا، ويشمل ذلك المعلومات المتعلقة بـ:
- الأصل العرقي أو الإثني
- المعتقدات الدينية
- الآراء السياسية
- العضوية في نقابة أو في منظمة دينية أو فلسفية أو سياسية
- الصحة
- الحياة الجنسية
- البيانات الجينية
- البيانات البيومترية
تخضع معالجة البيانات الحساسة للأسس القانونية والضمانات الخاصة المنصوص عليها في المادة 11 من LGPD.
9. بيانات الأطفال
GDPR
تنص GDPR على حماية خاصة للأطفال.
تحدد المادة 8 سنًّا افتراضية هي 16 عامًا لبعض خدمات مجتمع المعلومات القائمة على الموافقة، مع جواز أن تخفضها الدول الأعضاء في الاتحاد الأوروبي إلى ما لا يقل عن 13 عامًا.
تُلزم GDPR المؤسسات كذلك بمراعاة أوجه الضعف الخاصة بالأطفال ومصالحهم.
LGPD
تضع المادة 14 من LGPD متطلبات خاصة لمعالجة البيانات الشخصية للأطفال والمراهقين.
يجب أن تُجرى المعالجة بما يحقق مصلحتهم الفضلى.
فيما يخص بيانات الأطفال، يضع LGPD متطلبات موافقة خاصة يشترك فيها أحد الوالدين أو الوصي القانوني، وفق الإطار القانوني.
مهم: لا ينبغي اختزال LGPD في أنه يشترط موافقة الوالدين للأطفال «دون 12 عامًا» فقط. فالقانون يحمي الأطفال والمراهقين معًا، وتتوقف المتطلبات الدقيقة على سياق المعالجة.
10. مسؤول حماية البيانات / Encarregado
GDPR
لا يكون تعيين مسؤول حماية البيانات إلزاميًا إلا في الحالات التي تحددها المادة 37 من GDPR. ومنها بعض:
- أنشطة الرصد واسعة النطاق
- المعالجة واسعة النطاق للفئات الخاصة من البيانات
- أنشطة المعالجة التي تجريها السلطات العامة
LGPD
ينشئ LGPD دور Encarregado pelo tratamento de dados pessoais.
يؤدي Encarregado دور قناة اتصال مهمة بين:
- أصحاب البيانات
- المؤسسة
- ANPD
يتضمن قرار ANPD رقم 18/2024 قواعد إضافية بشأن تعيين Encarregado ومسؤولياته وطريقة عمله.
كما تتضمن القواعد الخاصة بصغار وكلاء المعالجة تبسيطات وإعفاءات محددة، ولذلك ليس دقيقًا القول إن كل متحكم في البيانات مشمول بـ LGPD يخضع لمتطلب DPO نفسه تمامًا.
11. الممثل المحلي
GDPR
قد تُلزم بعض المؤسسات خارج الاتحاد الأوروبي بتعيين ممثل الاتحاد الأوروبي بموجب المادة 27.
يمكن أن يعمل الممثل كجهة اتصال للأفراد والسلطات الإشرافية.
LGPD
لا ينشئ LGPD مقابلًا مباشرًا للمادة 27 من GDPR.
ومع ذلك، قد تحتاج المؤسسات الدولية إلى حوكمة مناسبة للخصوصية في البرازيل، وترتيبات للتواصل مع الجهات التنظيمية، وإلى Encarregado عند الاقتضاء.
مهم: لا ينبغي وصف خدمة تجارية باسم «ممثل البرازيل» بأنها مقابل قانوني للممثل المنصوص عليه في المادة 27 من GDPR.
12. الإخطار بخرق البيانات
GDPR
بموجب المادة 33، على المتحكم في البيانات عمومًا إخطار السلطة الإشرافية المختصة بخرق البيانات الشخصية المستوفي للشروط دون تأخير غير مبرر، وخلال 72 ساعة من علمه به متى أمكن ذلك.
إذا كان من المرجح أن ينطوي الخرق على مخاطر عالية على الأفراد، فقد يلزم كذلك إخطار أصحاب البيانات المتضررين.
LGPD
يحدد قرار ANPD رقم 15/2024 قواعد الإبلاغ عن الحوادث الأمنية المستوفية للشروط.
إذا كان من شأن الحادث الأمني أن يسبب خطرًا أو ضررًا ذا شأن لأصحاب البيانات، وجب على المتحكم في البيانات إخطار ANPD وأصحاب البيانات المتضررين خلال ثلاثة أيام عمل، مع مراعاة القواعد والاستثناءات المنطبقة.
قد يستفيد صغار وكلاء المعالجة من مهل مختلفة وفق إطار ANPD الخاص بهم.
الفرق الرئيسي: تعتمد GDPR مهلة 72 ساعة لإخطار السلطة الإشرافية، بينما يعتمد LGPD مهلة ثلاثة أيام عمل بموجب قرار ANPD رقم 15/2024 في الحوادث المستوفية للشروط.
13. النقل الدولي للبيانات
شهد هذا المجال تطورًا كبيرًا في ظل LGPD.
GDPR
يتيح الفصل الخامس من GDPR آليات منها:
- قرارات الكفاية
- البنود التعاقدية النموذجية
- القواعد المؤسسية الملزمة
- استثناءات محددة
قد تحتاج المؤسسات كذلك إلى ضمانات تكميلية وتقييمات لمخاطر النقل بحسب آلية النقل المستخدمة.
LGPD
يضع قرار ANPD رقم 19/2024 الإطار البرازيلي للنقل الدولي للبيانات. وقد تشمل الآليات:
- قرارات الكفاية الصادرة عن ANPD
- البنود التعاقدية النموذجية
- بنودًا تعاقدية خاصة
- القواعد المؤسسية العالمية
- آليات أخرى تنص عليها المادة 33 من LGPD
تضع اللائحة كذلك متطلبات تتعلق بأغراض عمليات النقل الدولي وضماناتها وتوثيقها.
الفرق الرئيسي: أصبح لدى LGPD اليوم إطار رسمي للنقل الدولي تديره ANPD، بدلًا من الاكتفاء بنهج تعاقدي عام.
14. نقل البيانات (قابلية النقل)
GDPR
تكفل المادة 20 من GDPR الحق في نقل البيانات في حالات محددة.
ويعني ذلك عمومًا الحصول على بيانات شخصية معينة بصيغة منظمة وشائعة الاستخدام وقابلة للقراءة آليًا، وإرسالها إلى متحكم آخر في البيانات متى كان ذلك ممكنًا تقنيًا.
LGPD
تعترف المادة 18 من LGPD كذلك بالحق في نقل البيانات، وفق الإطار التنظيمي والمتطلبات المنطبقة.
تصحيح مهم: ليس دقيقًا القول إن LGPD لا يتضمن حقًا في نقل البيانات.
15. إخفاء الهوية
GDPR
المعلومات المجهولة الهوية فعلًا، التي لا يمكن ربطها على نحو معقول بشخص يمكن تحديد هويته، تخرج عن تعريف البيانات الشخصية في GDPR.
LGPD
يميّز LGPD كذلك بين البيانات مجهولة الهوية والبيانات الشخصية، مع وضع معاييره الخاصة وطريقة تعامله مع إخفاء الهوية.
لذا ينبغي للمؤسسات توثيق منهجية إخفاء الهوية وتقييم ما إذا كان من الممكن على نحو معقول إعادة ربط البيانات بفرد بعينه.
16. تقييمات أثر حماية البيانات
GDPR
يُشترط إجراء تقييم أثر حماية البيانات (DPIA) عندما يُرجَّح أن تنطوي المعالجة على مخاطر عالية على حقوق الأفراد وحرياتهم. ومن الأمثلة المعتادة:
- الرصد واسع النطاق
- المعالجة واسعة النطاق للبيانات الحساسة
- بعض أنشطة الذكاء الاصطناعي أو التنميط
- التقييم المنهجي للأفراد
LGPD
ينص LGPD على Relatório de Impacto à Proteção de Dados Pessoais (RIPD)، أي تقرير أثر حماية البيانات الشخصية.
يجوز لـ ANPD أن تطلب من المتحكمين في البيانات إعداد RIPD وتقديمه في الحالات التي يحددها الإطار التنظيمي المنطبق.
لذا ينبغي للمؤسسات العاملة في الولايتين القضائيتين ألا تفترض أن تقييمًا واحدًا من نوع DPIA/RIPD يستوفي تلقائيًا متطلبات النظامين.
17. العقوبات
GDPR
في مخالفات جسيمة محددة، قد تصل الغرامات الإدارية بموجب GDPR إلى 20 مليون يورو أو 4% من إجمالي الإيرادات السنوية العالمية للسنة المالية السابقة، أيهما أعلى.
LGPD
قد تشمل العقوبات الإدارية بموجب LGPD:
- الإنذار
- غرامة تصل إلى 2% من الإيرادات في البرازيل عن السنة المالية السابقة
- غرامة بحد أقصى 50 مليون ريال برازيلي لكل مخالفة
- غرامات يومية، ضمن الحدود القانونية
- الإعلان عن المخالفة
- حجب البيانات الشخصية
- حذف البيانات الشخصية
- التعليق الجزئي لقاعدة البيانات
- تعليق أنشطة المعالجة
- الحظر الجزئي أو الكلي للأنشطة المتصلة بالمعالجة
تتوقف العقوبة المنطبقة على طبيعة المخالفة وظروفها.
الفرق الرئيسي: تُحتسب الغرامة القصوى في GDPR على أساس الإيرادات السنوية العالمية، بينما ترتبط الغرامة الإدارية الرئيسية في LGPD بالإيرادات في البرازيل وتخضع لسقف نقدي قانوني.
GDPR مقابل LGPD: أيهما أكثر صرامة؟
يصعب الجزم بأن أحد الإطارين أكثر صرامة على الإطلاق.
تتسم GDPR بتفصيل خاص في مجالات مثل:
- الأسس القانونية الستة
- الفئات الخاصة من البيانات
- نقل البيانات
- اتخاذ القرار الآلي
- النقل الدولي للبيانات
- مساءلة المتحكم في البيانات ومعالجها
- متطلبات ممثل الاتحاد الأوروبي
يتضمن LGPD متطلبات قوية في ما يخص:
- حقوق أصحاب البيانات
- الموافقة
- البيانات الشخصية الحساسة
- بيانات الأطفال
- حوكمة Encarregado
- النقل الدولي للبيانات
- الأمن
- المساءلة
لذا فإن النهج الصحيح للشركات الدولية هو تحديد الضوابط المشتركة ثم تطبيق المتطلبات الخاصة بكل ولاية قضائية.
هل يساعد الامتثال لـ GDPR في الامتثال لـ LGPD؟
نعم.
يمكن لبرنامج GDPR راسخ أن يشكّل أساسًا متينًا للامتثال لـ LGPD، لأن الإطارين يتضمنان متطلبات تتعلق بـ:
- سجلات جرد البيانات
- إشعارات الخصوصية
- الموافقة
- حقوق الأفراد
- الأمن
- إدارة الموردين
- النقل الدولي للبيانات
- الاستجابة للحوادث
- المساءلة
غير أن الامتثال لـ GDPR لا يعني تلقائيًا الامتثال لـ LGPD. وينبغي تقييم الضوابط الخاصة بالبرازيل، ولا سيما في ما يتعلق بـ:
- الأسس القانونية في LGPD
- متطلبات Encarregado
- المتطلبات التنظيمية الصادرة عن ANPD
- حقوق أصحاب البيانات في البرازيل
- الإخطار بالحوادث
- آليات النقل الدولي
- عقوبات LGPD
- إشعارات الخصوصية والحوكمة في البرازيل
بناء برنامج امتثال موحد لـ GDPR وLGPD
يمكن للمؤسسات العاملة في الولايتين القضائيتين الحد من ازدواجية الجهود بوضع إطار مشترك لإدارة الخصوصية.
1. رسم خرائط البيانات
حدّد:
- البيانات الشخصية
- أغراض المعالجة
- أصحاب البيانات
- المتحكمين في البيانات
- معالجي البيانات/المشغلين
- الجهات المتلقية
- مواقع التخزين
- مدد الاحتفاظ
- عمليات النقل الدولي
2. إدارة الأسس القانونية
أنشئ مصفوفة للأسس القانونية خاصة بكل ولاية قضائية تشمل:
- المادة 6 من GDPR
- المادة 9 من GDPR
- المادة 7 من LGPD
- المادة 11 من LGPD
3. إدارة حقوق الخصوصية
أنشئ سير عمل موحدًا لـ:
- طلبات أصحاب البيانات بموجب GDPR
- طلبات أصحاب البيانات بموجب LGPD
- التحقق من الهوية
- تتبع الطلبات
- مهل الرد
- الأدلة وسجلات التدقيق
4. إدارة الموافقات
أدِر:
- جمع الموافقات
- سجلات الموافقات
- سحب الموافقة
- تفضيلات ملفات تعريف الارتباط
- تفضيلات التسويق
- موافقة الأطفال عند الاقتضاء
5. إدارة الموردين
قيّم:
- معالجي البيانات بموجب GDPR
- المشغلين بموجب LGPD
- المعالجين الفرعيين
- مزودي الخدمات السحابية
- مزودي خدمات التحليلات
- المنصات الإعلانية
- الموردين الدوليين
6. الاستجابة لخرق البيانات
حافظ على إجراء موحد للاستجابة للحوادث مع مسارات تصعيد خاصة بكل ولاية قضائية.
ينبغي أن يحدد سير العمل:
- الولاية القضائية المنطبقة
- مستوى المخاطر
- عتبة الإخطار
- المهلة التنظيمية
- متطلبات إخطار الأفراد
- متطلبات الأدلة
7. إدارة النقل الدولي للبيانات
احتفظ بسجل لعمليات النقل يشمل:
- مصدّر البيانات
- مستورد البيانات
- بلد المقصد
- آلية النقل
- الضمانات التعاقدية
- التدابير الأمنية
- تقييمات النقل
الأسئلة الشائعة
هل LGPD هو النسخة البرازيلية من GDPR؟
ليس تمامًا. تأثر LGPD بالمبادئ العالمية لحماية البيانات ويشترك مع GDPR في كثير من المفاهيم، لكنه قانون برازيلي مستقل له أسسه القانونية وحقوقه وإطاره التنظيمي وآليات إنفاذه الخاصة.
إذا كنا ممتثلين لـ GDPR، فهل نكون ممتثلين لـ LGPD تلقائيًا؟
لا. الامتثال لـ GDPR يوفر أساسًا متينًا، لكن على المؤسسات تقييم المتطلبات الخاصة بـ LGPD ولوائح ANPD.
هل يتضمن LGPD ستة أسس قانونية مثل GDPR؟
لا. يتضمن LGPD قائمة أوسع من الأسس القانونية بموجب المادة 7، مع قواعد مستقلة للبيانات الشخصية الحساسة بموجب المادة 11.
هل يعترف LGPD بالمصالح المشروعة؟
نعم. المصالح المشروعة أحد الأسس القانونية بموجب المادة 7 من LGPD. غير أن المتطلبات ليست مطابقة للمادة 6(1)(f) من GDPR.
هل يشترط LGPD تعيين DPO؟
ينشئ LGPD دور Encarregado، مع متطلبات تفصيلية بموجب قرار ANPD رقم 18/2024. وقد تختلف الالتزامات الدقيقة بحسب المؤسسة وقواعد ANPD المنطبقة، بما فيها القواعد الخاصة بصغار وكلاء المعالجة.
هل يتضمن LGPD قاعدة الإخطار بخرق البيانات خلال 72 ساعة؟
لا. يعتمد إطار LGPD للإخطار بالحوادث الأمنية المستوفية للشروط مهلة ثلاثة أيام عمل بموجب قرار ANPD رقم 15/2024، لا قاعدة الـ 72 ساعة المعمول بها في GDPR.
هل يشترط LGPD تعيين ممثل في البرازيل؟
لا يوجد مقابل مباشر لمتطلب ممثل الاتحاد الأوروبي بموجب المادة 27 من GDPR. وعلى المؤسسات بدلًا من ذلك تقييم متطلباتها المتعلقة بـ Encarregado والحوكمة والتواصل مع الجهات التنظيمية.
هل يتضمن LGPD حقًا في نقل البيانات؟
نعم. تدرج المادة 18 من LGPD نقل البيانات ضمن حقوق أصحاب البيانات، وفق الإطار التنظيمي المنطبق.
هل ينظّم LGPD النقل الدولي للبيانات؟
نعم. يضع قرار ANPD رقم 19/2024 إطارًا تنظيميًا مفصلًا للنقل الدولي، يشمل قرارات الكفاية والآليات التعاقدية.
ما الشركات التي ينبغي أن تنظر في إجراء تقييم امتثال لـ GDPR وLGPD؟
يكتسب التقييم المشترك أهمية خاصة لدى شركات البرمجيات كخدمة (SaaS)، وشركات التقنية، وشركات التجارة الإلكترونية، وتجار التجزئة العالميين، وشركات الذكاء الاصطناعي، ومنصات الإعلان والتسويق، ومؤسسات الرعاية الصحية، وشركات التقنية المالية، ومزودي الخدمات السحابية، والمؤسسات التي تعالج بيانات عملاء من الاتحاد الأوروبي والبرازيل.
الامتثال لـ GDPR وLGPD مع RegulatoryBridge
إدارة GDPR وLGPD عبر إجراءات منفصلة تمامًا قد تؤدي إلى ازدواجية لا داعي لها وإلى ضوابط خصوصية غير متسقة.
تساعد RegulatoryBridge المؤسسات على بناء برامج منسقة للامتثال للخصوصية في أوروبا والبرازيل وغيرها من الولايات القضائية حول العالم.
قد يشمل دعمنا:
- تقييمات الامتثال لـ GDPR
- تقييمات الامتثال لـ LGPD
- رسم خرائط البيانات وجردها
- مراجعة إشعارات الخصوصية
- تقييمات الأسس القانونية
- إدارة الموافقات
- مسارات عمل حقوق أصحاب البيانات
- دعم Encarregado
- تقييمات الموردين ومعالجي البيانات/المشغلين
- تقييمات النقل الدولي للبيانات
- دعم DPIA وRIPD
- التخطيط الأمني وخطط الاستجابة لخرق البيانات
- الرصد التنظيمي
- تمثيل الخصوصية عبر الحدود
- الإدارة المستمرة للامتثال للخصوصية
غطِّ GDPR وLGPD ضمن برنامج واحد.
خطّط الضوابط مرة واحدة، والتزم مرتين. يمنحك RegulatoryBridge مسار DSAR واحدًا، ومسؤول حماية بيانات (DPO) واحدًا، ودليل إجراءات واحدًا للخروقات - يغطي كلا الإطارين.