I dati sensibili secondo la LGPD

La LGPD identifica i dati “sensibili” come diversi dai dati “regolari” e applica regole speciali a questa categoria di dati personali.

Potendo esporre più facilmente l’utente a rischi di discriminazione, i dati sensibili devono essere trattati con ulteriori livelli di sicurezza e con basi giuridiche molto specifiche.

In generale, puoi trattare dati sensibili solo se l’utente (o, se minorenne, il suo genitore/tutore legale) ha dato il proprio consenso per quel particolare trattamento. Si applicano comunque alcune eccezioni.

Il consenso secondo la LGPD

Essendo il consenso un argomento piuttosto delicato e spesso rilevante quando si parla di trattamento dei dati online, scopriamo qualcosa di più sui requisiti richiesti.

Secondo la LGPD, il consenso deve essere “libero, informato e non ambiguo”. Ciò significa che il consenso non deve essere forzato, l’azione di consenso richiesta all’utente deve essere chiara e gli utenti devono essere adeguatamente informati prima di prestare il consenso.

Per quanto riguarda il consenso per i minori di 12 anni, l’utente deve ottenere un consenso specifico ed esplicito da parte di un genitore o di un tutore.

* Nota: in Brasile, l’età riconosciuta per la piena capacità giuridica è di 18 anni.

La legislazione precedente versus LGPD

La legislazione precedente alla LGPD consentiva alle aziende di raccogliere e trattare dati personali disponibili al pubblico su internet o su qualsiasi altra fonte pubblica. Ai sensi della LGPD, questo non è più consentito.

Secondo le linee guida della LGPD, i dati personali pubblici possono essere raccolti e trattati solo in due modi:

• per la stessa finalità per il quale i dati sono stati originariamente trattati – nel qual caso il consenso dell’utente non è richiesto; oppure
  
  
• per una diversa finalità per la quale, in qualità di titolare del trattamento, puoi applicare una legittima base giuridica.
  
  

Nota: in base a quanto detto sopra, lo “scraping” o qualsiasi altro genere di raccolta di dati disponibili pubblicamente con finalità di marketing o altro saranno molto probabilmente limitate dalla LGPD.

Dati sensibili: i casi in cui il consenso non è necessario 

In caso di trattamento di dati sensibili, il consenso può essere evitato solo se il trattamento è assolutamente necessario per:

• l’adempimento di un obbligo di legge che spetta al titolare del trattamento;
  
  
• il trattamento condiviso necessario alla pubblica amministrazione per l’esecuzione di direttive pubbliche;
  
  
• la realizzazione di studi da parte di un ente di ricerca – garantendo, ove possibile, l’anonimato dei dati personali sensibili;
  
  
• la tutela degli interessi vitali e dell’incolumità fisica dell’utente o di terzi;
  
  
• la tutela della salute nelle procedure svolte da personale, autorità o servizi sanitari;
  
  
• il controllo sanitario in una procedura eseguita da professionisti o enti sanitari;
  
  
• il regolare esercizio dei diritti – anche contrattuali, giudiziari, amministrativi, nonché di quelli concessi mediante arbitrato; o
  
  
• la prevenzione di frodi e la sicurezza dell’utente (ad es. per l’identificazione e l’autenticazione della registrazione nei sistemi elettronici) – a condizione che i suoi diritti siano tutelati e non siano superati dalle sue libertà.
  
  

Dati dei minori: eccezioni all'obbligo di consenso 

Ai sensi della LGPD, le eccezioni si applicano se il trattamento è necessario per contattare i genitori o i tutori legali, o per proteggere il minore. I dati possono essere utilizzati solo una volta e non devono essere memorizzatI o condivisi con terzi senza un adeguato consenso.

Conseguenze del mancato adeguamento

Le conseguenze della mancata conformità alla LGPD prevedono sanzioni fino a 50 milioni di real brasiliani (circa 11,5 milioni di euro) o fino al 2% del fatturato annuo dell’azienda in Brasile, per ogni violazione. Altrettanto rilevanti sono anche gli altri provvedimenti che possono essere attuati nei confronti delle organizzazioni che hanno commesso una violazione.

Ai sensi della LGPD, tra i provvedimenti che l’Autorità brasiliana per la protezione dei dati personali può prendere ci sono avvertimenti, multe, la divulgazione pubblica della violazione, il divieto di continuare con le attività di trattamento oggetto dell’infrazione o l’obbligo di cancellare i dati ottenuti tramite quelle stesse attività.

Questo significa che se l’uso improprio riguarda, ad esempio, la raccolta di indirizzi email, l’organizzazione rischia di non poter utilizzare l’intera lista di email in suo possesso.

Inoltre, come il GDPR, la LGPD consente agli utenti di chiedere all’organizzazione il risarcimento di eventuali danni civili (pecuniari o morali) derivanti dall’inosservanza delle norme sulla privacy.

 

Vuoi sapere se la legge brasiliana riguarda la tua azienda? Il nostro team di professionisti ti offre una consulenza Privacy allineata alla tua realtà aziendale! Contatta ora!