Brasil ya ha emitido la primera multa por incumplimiento de la Ley de Protección de Datos

Una empresa de pequeño tamaño del sector de las telecomunicaciones fue sancionada por no realizar el tratamiento adecuado de los datos de sus clientes.

La protección de datos personales está adquiriendo una nueva connotación en el país vecino, Brasil. La Ley General de Protección de Datos (LGPD), que ha estado en vigencia durante casi tres años, ya se está utilizando como base legal para la imposición de multas a las empresas que no se han adaptado.

A principios de julio, la Autoridad Nacional de Protección de Datos (ANPD) -el organismo encargado de supervisar a las empresas públicas y privadas que operan en Brasil- impuso la primera multa a una empresa del sector de las telecomunicaciones: Telekall Infoservice.

La empresa, clasificada como una pequeña empresa, recibió una advertencia por no cooperar con la ANPD y deberá pagar una multa de 26.496.000 Gs. Este monto puede reducirse según lo establecido en el artículo 18 de la resolución de la ANPD que regula la cuantificación y aplicación de las sanciones administrativas. Sin embargo, para ello, Telekall debe renunciar expresamente al derecho de apelar la decisión de primera instancia.

Esta es una advertencia importante para las empresas que han optado por no cumplir con la ley brasileña. La multa impuesta a Telekall no fue más alta debido a su condición de pequeña empresa. El artículo 11 del reglamento de la ANPD considera los ingresos del infractor como uno de los elementos para determinar el valor base de la multa simple. Es decir, los montos de las multas se calculan en función del tamaño del infractor.

La multa de 26.496.000 Gs refleja un tipo de multa simple, con valores de 13.248.000 Gs por infracción al artículo 7 y 13.248.000 Gs por infracción al artículo 5 del Reglamento de Fiscalización. De esta manera, la empresa está siendo penalizada por infracciones como la falta de registro de operaciones, la falta de envío de Informe de Impacto de Protección de Datos, la falta de un oficial de protección de datos y el incumplimiento de las solicitudes de la ANPD.

El artículo 11 del reglamento de la ANPD también considera los ingresos del infractor como uno de los elementos para determinar el valor base de la multa simple. La sanción se produjo después de la infracción del artículo 41 de la LGPD. Este artículo establece que el controlador debe designar al oficial de protección de datos (DPO).

La penalización marca un nuevo momento para las organizaciones en todo el territorio brasileño. Las empresas que aún no se han adaptado deben iniciar el proceso de inmediato. Y aquellas que ya se han adaptado deben realizar una auditoría del trabajo realizado para verificar la eficacia de los controles implementados y si es necesario realizar ajustes.

Además de las empresas privadas, los organismos públicos también están bajo la lupa de la ANPD. El Ministerio de Salud es una de estas instituciones públicas que está siendo investigada por incumplimiento de la LGPD. La Autoridad está investigando conductas como la falta de comunicación a los titulares sobre incidentes de seguridad, el incumplimiento de las solicitudes de la ANPD, la falta de un oficial de protección de datos y medidas de seguridad informática.

Además de DATASUS, otros organismos del sector de la salud están siendo investigados por la ANPD, como es el caso de la Secretaría de Estado de Salud de Santa Catarina, que está siendo investigada por la falta de comunicación a los titulares sobre incidentes cibernéticos y el incumplimiento de las disposiciones de la ANPD.

El Instituto de Pesquisas Jardim Botânico de Río de Janeiro, la Secretaría de Educación del Distrito Federal, el Instituto de Asistencia al Servidor Público Estatal de São Paulo (IAMSPE) y la Secretaría de Desarrollo Social, Niño y Juventud de Pernambuco son otros organismos públicos objeto de investigaciones de conducta. Las multas simples o diarias no se aplican a las instituciones del sector público.

Por Guilherme Guimarães

Abogado y socio fundador de Guilherme Guimarães Advogados Associados (www.guilhermeguimaraes.adv.br) y Datalege Consultoria Empresarial (www.datalege.com.br). Se especializa en el campo del Derecho Digital, Protección de Datos y es experto en Seguridad de la Información por la Universidad Tecnológica Latinoamericana (UTFPR). Contribuyó en la redacción del Marco Civil de Internet (Ley 12.965/2014). También es consultor y conferencista en el campo de la tecnología y es responsable de la elaboración de Políticas de Seguridad de la Información y Protección de Datos Personales para diversas corporaciones.