Regulamentações de Dados por País
Como cumprir as leis de privacidade na América Latina sem estresse?
Na SafeData, ajudamos sua empresa a se adaptar de forma simples e segura às regulamentações de proteção de dados do Chile, México, Colômbia e Brasil.
Selecione um país abaixo para conhecer sua legislação, evitar multas caras e projetar seu software e infraestrutura de tecnologia com as melhores práticas de segurança desde o primeiro dia.
Chile Ver Lei Oficial
1. A Lei
Lei N° 21.719 (Proteção de Dados Pessoais) Estabelece a nova Agência de Proteção de Dados Pessoais e redefine o tratamento e os direitos sobre os dados dos cidadãos no Chile, alinhando-se aos padrões globais de privacidade.
2. Riscos e Sanções
- Classificação de Infrações: As infrações são divididas em leves, graves e gravíssimas, dependendo do impacto sobre os titulares dos dados.
- Escala de Multas: Multa de até 5.000 UTM para infrações leves, até 10.000 UTM para graves e até 20.000 UTM para infrações gravíssimas.
- Reincidentes Grandes Empresas: Se uma empresa (não qualificada como PME) reincidir em infrações graves ou gravíssimas, a multa pode chegar a até 1% ou 3% do faturamento anual das vendas e serviços do último ano, respectivamente.
- Registro Nacional: As sanções aplicadas são públicas e registradas no Registro Nacional de Sanções e Conformidade da Agência de Proteção de Dados Pessoais.
3. Impacto em Arquitetura e Software
- Criptografia Obrigatória: Criptografia de dados pessoais tanto em trânsito (TLS) quanto em repouso (AES-256).
- Privacy by Design: Design modular de bancos de dados relacionais e não relacionais que permita expurgar, anonimizar ou transferir informações a pedido do usuário.
- Gestão de Consentimento: Implementação de interfaces que registrem de forma explícita e granular a aceitação dos termos.
México Ver Lei Oficial
1. A Lei
LFPDPPP (Lei Federal de Proteção de Dados Pessoais em Posse de Particulares) Regula o tratamento de dados pessoais por empresas privadas, com especial ênfase na obtenção de consentimento explícito e na proteção estrita de dados sensíveis.
2. Riscos e Sanções
- Multas Administrativas do INAI: Multas de 100 a 160.000 vezes o valor da UMA (Unidade de Medida e Atualização) para infrações menores, e de 200 a 320.000 UMAs para infrações graves.
- Agravante para Dados Sensíveis: Se a infração envolver dados sensíveis (saúde, biométricos ou financeiros), as multas podem ser duplicadas (até 640.000 UMAs).
- Responsabilidade Criminal (Prisão): Penas de 3 meses a 3 anos de prisão por causar vazamentos de segurança em bancos de dados visando lucro, e de 6 meses a 5 anos de prisão por tratar dados com engano (penas são duplicadas para dados sensíveis, até 10 anos de prisão).
- Adicional por Reincidência: Se a infração persistir de forma reiterada, será aplicada uma multa adicional de 100 a 320.000 vezes a UMA.
3. Impacto em Arquitetura e Software
- Dados Sensíveis: Armazenamento de dados biométricos, financeiros ou de saúde em repositórios com criptografia assimétrica e controle estrito de chaves.
- Direitos ARCO: Implementação de endpoints de API automatizados para processar de forma segura as solicitações de Acesso, Retificação, Cancelamento e Oposição.
- Rastreabilidade: Logs detalhados de quem acessa quais dados e com qual finalidade.
Colômbia Ver Lei Oficial
1. A Lei
Lei 1581 de 2012 (Regime Geral de Habeas Data) Desenvolve o direito constitucional dos cidadãos de conhecer, atualizar e retificar as informações coletadas sobre eles em bancos de dados ou arquivos.
2. Risks and Sanctions
- Multas Sucessivas da SIC: Multas institucionais e individuais de até 2.000 salários mínimos mensais vigentes (SMLMV) no momento da imposição da sanção. As multas podem ser sucessivas (acumulativas) enquanto persistir o descumprimento.
- Suspensão Operacional: Suspensão temporária das atividades relacionadas ao tratamento de dados por um prazo de até seis (6) meses, obrigando a adoção de medidas corretivas.
- Fechamento de Operações: Fechamento temporário das operações após o período de suspensão caso persista o descumprimento, e fechamento imediato e definitivo das operações que envolvam o tratamento de dados pessoais sensíveis em caso de infração grave.
- Responsabilidade Disciplinar: No caso de órgãos e entidades públicas, as infrações são enviadas à Procuradoria-Geral da Nação para investigações disciplinares.
3. Impacto em Arquitetura e Software
- Comprovação de Consentimento: Armazenamento de logs de auditoria imutáveis (logs protegidos) que comprovem como, quando e sob quais termos a autorização do usuário foi obtida.
- Dados de Menores: Isolamento e criptografia especial para dados correspondentes a menores de idade.
- Revogação Granular: Permitir que os usuários revoguem permissões de forma granular (por exemplo, revogar marketing sem afetar o serviço contratado).
Brasil Ver Lei Oficial
1. A Lei
LGPD (Lei Geral de Proteção de Dados - Lei nº 13.709/2018) Regula o tratamento de dados pessoais de indivíduos no Brasil, independentemente de onde esteja localizada a sede da empresa ou de onde os dados sejam armazenados.
2. Riscos e Sanções
- Multas Simples da ANPD: Multas de até 2% do faturamento bruto do último ano da empresa (ou grupo/conglomerado) no Brasil, líquida de impostos, limitada a um teto absoluto de R$ 50.000.000,00 (cinquenta milhões de reais) por infração.
- Multas Diárias: Aplicadas para forçar a regularização, respeitando o mesmo limite global de R$ 50 milhões.
- Bloqueio e Eliminação: Bloqueio temporário dos dados pessoais a que se refere a infração até a regularização, ou eliminação total (exclusão) dos referidos dados.
- Proibição de Tratamento: Proibição parcial ou total do exercício de atividades relacionadas ao tratamento de dados pessoais, paralisando as operações da organização.
3. Impacto em Arquitetura e Software
- Transferências Internacionais: Rastreamento e relatório automatizado dos fluxos de dados pessoais que saem do Brasil.
- Comunicação entre Microsserviços: Criptografia interna de todas as requisições (mTLS) que compartilhem informações pessoalmente identificáveis.
- Portal do DPO: Implementação de interfaces de comunicação direta com o Encarregado de Dados (DPO) para resolver solicitações dentro dos prazos legais.