Das neue brasilianische Datenschutzgesetz

Am 14. August 2018 wurde das Allgemeine Gesetz zum Schutz personenbezogener Daten – "GSPD" (Bundesgesetz Nr. 13.709/2018) erlassen. Es tritt innerhalb von 18 Monaten in Kraft.

Alle Daten (Aussagen, Informationen, Bilder, Aufzeichnungen usw.), die sich direkt oder indirekt auf eine identifizierte oder identifizierbare Person beziehen, ob physisch oder digital, fallen unter den Schutz des GSPD.

Vor jeder Verarbeitung personenbezogener Daten (Erhebung, Einreichung, Klassifizierung, Übermittlung, Verbreitung, Löschung u.a.) sollte geprüft werden, ob es berechtigte Gründe im Sinne des GSDP gibt eine solche Verarbeitung durchzuführen. Ein berechtigter Grund liegt unter anderem im Falle einer freien, eindeutigen und informierten Einwilligung, der Einhaltung einer rechtlichen Verpflichtung, aber auch bei der Prüfung der Kreditwürdigkeit des Dateninhabers vor.

Eine Einwilligung des Dateninhabers ist daher nicht immer erforderlich. Dennoch gewährleistet das GSPD einen gewissen Schutz des Dateninhabers durch allgemeine Grundsätze und die Gewährung bestimmter Rechte. Dies schließt das Recht des Dateninhabers ein, die ihn betreffenden Informationen einzusehen, zu bearbeiten und von der Datenverarbeitung auszuschließen. Darüber hinaus gewährt das GSPD einen stärkeren Schutz sensibler Daten, insbesondere in Bezug auf Rasse, Religion und politische Orientierung.

Der Gesetzentwurf enthielt einige relevante Aspekte, die jedoch von Präsident Michel Temer abgelehnt wurden, darunter die Schaffung der Nationalen Datenschutzbehörde ("NDSB“) sowie die Verhängung von Sanktionen im Zusammenhang mit der Aussetzung oder dem Verbot des Betriebs bzw. der Ausübung von Tätigkeiten im Zusammenhang mit der Datenverarbeitung.

Hinsichtlich des Vetos zur Gründung der NDSB teilte Präsident Temer mit, dass dieses darauf zurückzuführen sei, dass die NDSB in der vorgesehenen Ausgestaltung verfassungswidrig gewesen wäre. Er hat bereits erklärt, dass er mit der Schaffung einer solchen Agentur dem Grunde nach einverstanden sei, und einen neuen – verfassungsgemäßen – Gesetzentwurf für deren Errichtung vorschlagen zu wollen.

Mit Blick auf den Ausschluss von Sanktionen im Zusammenhang mit der Aussetzung oder dem Verbot des Betriebs bzw. der Ausübung von Tätigkeiten im Zusammenhang mit der Datenverarbeitung ist hervorzuheben, dass das GSPD nichtsdestotrotz relevante administrative Sanktionen vorsieht. Diese reichen von Verwarnungen bis hin zur Löschung personenbezogener Daten im Zusammenhang mit der Verletzung von Datenverarbeitungsgrundsätzen sowie Geldstrafen von höchstens 2% der Einnahmen des Unternehmens (mit einer Obergrenze von R$ 50 Millionen (ca. 11.3 Millionen Euro) pro Verstoß.

Das GSPD wird in absehbarer Zeit die Denkweise und Praktiken in Bezug auf die Art und Weise, wie Unternehmen mit persönlichen Daten ihrer Kunden und Mitarbeiter umgehen, verändern.

Schließlich ist zu beachten, dass das GSPD auch auf ausländische Unternehmen Anwendung finden kann. So muss das GSPD von jedem Unternehmen eingehalten werden, (i) das Daten in Brasilien verarbeitet, (ii) dessen Datenverarbeitungstätigkeit auf das Angebot oder die Erbringung von Dienstleistungen und Waren für in Brasilien ansässige Personen abzielt oder (iii) das Daten verarbeitet, die in Brasilien erhoben werden oder sich auf in Brasilien ansässige Personen beziehen.