Í sífellt hnattvæddari heimi, þar sem gagnaskipti milli landa eru stöðug og nauðsynleg fyrir starfsemi ýmissa efnahagslegra og tæknilegra athafna, setja almennu persónuverndarlögin strangar reglur til að tryggja að réttindi skráðra aðila séu virt, jafnvel þegar þessar upplýsingar fara yfir landamæri.
Um þetta efni birti Persónuverndarstofnun Bandaríkjanna (ANPD) þann 23. ágúst 2024 ályktun CD/ANPD nr. 19/2024 („ályktunin“), sem setur fram verklagsreglur og reglur sem gilda um alþjóðlega gagnaflutninga.
Í fyrsta lagi er vert að hafa í huga að alþjóðleg flutningur á sér stað þegar umboðsmaður, hvort sem er innan eða utan Brasilíu, sendir, deilir eða veitir aðgang að persónuupplýsingum utan landsins. Sendandi umboðsmaðurinn kallast útflytjandi en móttökuumboðsmaðurinn kallast innflytjandi.
Jæja, alþjóðleg flutningur persónuupplýsinga getur aðeins átt sér stað þegar hann er studdur af lagalegum grunni sem kveðið er á um í LGPD og með einni af eftirfarandi aðferðum: löndum með fullnægjandi vernd, stöðluðum samningsákvæðum, alþjóðlegum fyrirtækjastöðlum eða sérstökum samningsákvæðum og að lokum, verndarábyrgðum og sérþörfum.
Meðal þeirra aðferða sem lýst er hér að ofan var staðlað samningsákvæði þegar þekkt í alþjóðlegu löggjafarsamhengi (sérstaklega í Evrópu, samkvæmt almennu persónuverndarreglugerðinni). Í brasilísku samhengi er einnig hægt að sjá fyrir sér útbreidda notkun þessa gernings í samningum.
Texti staðlaðra samningsákvæða er að finna í sömu reglugerð, í II. viðauka, sem inniheldur 24 ákvæði sem ANPD hefur sett fram og á að fella inn í samninga sem fela í sér alþjóðlega gagnaflutninga til að tryggja að útflytjendur og innflytjendur persónuupplýsinga njóti fullnægjandi verndar, sem jafngildir þeirri vernd sem brasilísk lög kveða á um. Fyrirtæki hafa 12 mánuði frá birtingardegi til að aðlaga samninga sína.
Notkun staðlaðra ákvæða hefur fjölda áhrifa á samninga umboðsmanna. Meðal þessara helstu áhrifa leggjum við áherslu á:
Breytingar á samningsskilmálum : Auk þess að ekki sé hægt að breyta texta staðlaðra ákvæða, ákveður ályktunin einnig að upprunalegur texti samningsins megi ekki stangast á við ákvæði staðlaðra ákvæða. Því verður umboðsmaðurinn að endurskoða og, ef nauðsyn krefur, breyta skilmálum samninganna til að tryggja að þeir séu í samræmi við alþjóðlega millifærsluna.
Dreifing ábyrgðar: Ákvæðin skilgreina skýrt ábyrgð aðila sem koma að vinnslu og vernd persónuupplýsinga og úthluta sérstökum skyldum bæði ábyrgðaraðila og vinnsluaðila. Þessi ábyrgð felur í sér að sanna að gripið sé til árangursríkra ráðstafana, gagnsæisskyldur, að réttindi skráðra aðila séu uppfyllt, að tilkynna öryggisatvik, að bæta fyrir tjón og að aðlagast ýmsum vinnsluaðferðum.
Gagnsæi : Ábyrgðaraðili skal, ef óskað er eftir því, veita hinum skráða aðila allar samningsákvæði sem notuð eru, að teknu tilliti til viðskipta- og iðnaðarleyndarmála, sem og birta á vefsíðu sinni, á tiltekinni síðu eða sem hluti af persónuverndarstefnunni, skýrar og aðgengilegar upplýsingar um alþjóðlegan gagnaflutning.
Hætta á viðurlögum: Brot á stöðluðum ákvæðum getur leitt til alvarlegra viðurlaga, þar á meðal sekta, auk þess að skaða orðspor fyrirtækjanna sem í hlut eiga.
Skilgreining á vettvangi og lögsögu : Öllum ágreiningi um skilmála staðlaðra ákvæða verður að leysa fyrir þar til bærum dómstólum í Brasilíu.
Vegna þessara áhrifa verður í mörgum tilfellum nauðsynlegt að endursemja samninga milli umboðsmanna til að fella inn staðlaðar ákvæði. Nánar tiltekið leggja staðlaðar ákvæði ANPD um alþjóðlega flutning persónuupplýsinga nýtt flækjustig á viðskiptasamninga, sem krefst ítarlegra endurskoðunar, aðlögunar á ákvæðum og meiri formfestu í viðskiptasamböndum. Með því að staðla starfshætti og tryggja réttaröryggi stuðla þessi ákvæði hins vegar að því að skapa öruggara og áreiðanlegra umhverfi fyrir dreifingu gagna yfir landamæri, sem er nauðsynlegt í sífellt samtengdari heimi.
