Brazilija kot nova država s sklepom EK o ustreznosti?
EDPB je sprejel mnenje o osnutku sklepa Evropske komisije o ustreznosti za Brazilijo.
Osrednje sporočilo EDPB je previdno pozitivno. Odbor pritrjuje ugotovitvi, da brazilski pravni okvir – zlasti Zakon o varstvu osebnih podatkov (LGPD – Lei Geral de Proteção de Dados), dopolnjen z izvedbenimi akti in nadzornimi pristojnostmi brazilske agencije za varstvo podatkov (ANPD – Autoridade Nacional de Proteção de Dados) – v veliki meri sledi načelom in zahtevam prava Unije ter sodni praksi Sodišča Evropske unije. Vendar EDPB Komisijo izrecno poziva, naj nekatera področja dodatno pojasni in sistematično spremlja, da bi bila dejanska raven varstva v praksi res primerljiva z evropsko.
Prvo takšno področje so presoje učinkov na varstvo osebnih podatkov. EDPB izpostavlja, da so ocene učinka (DPIA) glavno orodje za upravljanje tveganj pri obdelavah z večjim vplivom na pravice posameznikov. Komisija naj zato pojasni, kako se zahteve po teh ocenah izvajajo po LGPD in podzakonskih pravilih, ter naj v spremljanju ustreznosti preverja, ali so ti postopki v praksi učinkoviti in podvrženi nadzoru.
Drugo vprašanje se nanaša na omejitve preglednosti zaradi poslovne in industrijske skrivnosti. Odbor opozarja, da pravica do obveščenosti in dostopa ne sme biti izvotljena s preširoko razlago varovanih skrivnosti, zlasti če bi to oslabilo možnost posameznika, da uveljavlja svoje pravice, ali oslabilo nadzorna in korektivna pooblastila ANPD. Komisija je pozvana, naj v končnem aktu natančneje opiše razmerje med dolžnostmi preglednosti in zakonitimi omejitvami ter kako bodo nadzorniki v Braziliji zagotavljali sorazmernost takih omejitev.
Tretji sklop pripomb se nanaša na nadaljnje prenose podatkov iz Brazilije v druge tretje države (t. i. onward transfers). EDPB želi jasen okvir, da se izjemni režimi prenosov uporabljajo res izjemoma in v pogojih, ki so primerljivi z evropskim režimom po členu 49 GDPR, z jasnim obveščanjem posameznikov o tveganjih in okoliščinah prenosa ter z dokazljivimi odgovornostmi udeleženih upravljavcev in obdelovalcev.
Posebej občutljivo je vprašanje dostopa državnih organov do osebnih podatkov za namene javne varnosti, obrambe, državne varnosti ter preiskovanja in pregona kaznivih dejanj. EDPB poudarja, da LGPD praviloma ne velja za obdelave, ki jih brazilski javni organi izvajajo izključno za te namene, hkrati pa ugotavlja, da brazilsko pravo deloma vendarle posega tudi na področje kazenskih preiskav in vzdrževanja javnega reda. Komisija naj zato dodatno opredeli, kdaj in kako se LGPD uporablja v teh kontekstih, kakšen je obseg preiskovalnih in korektivnih pooblastil ANPD zoper organe pregona ter kako je v Braziliji opredeljen pojem nacionalne varnosti. Ta pojasnila so potrebna, da bo mogoče zanesljivo presoditi nujnost, sorazmernost, neodvisen nadzor in razpoložljivost učinkovitih pravnih sredstev – štiri temeljna jamstva, ki jih Unija zahteva pri dostopih države do podatkov.
Z vidika postopka je pomembno, da je mnenje EDPB posvetovalne narave, vendar nosi veliko težo. Mehanizem ustreznosti se zaključi v štirih korakih: predlog Evropske komisije, mnenje EDPB, odobritev držav članic v odboru in končna sprejetje sklepa s strani Komisije. Tak sklep Komisija nato redno pregleduje, praviloma vsakih nekaj let, ter ga lahko spremeni, začasno omeji ali razveljavi, če se okoliščine v tretji državi bistveno spremenijo.
