(1)

Az (EU) 2016/679 rendelet meghatározza a személyes adatoknak az uniós adatkezelők vagy adatfeldolgozók által a harmadik országokba és a nemzetközi szervezeteknek történő továbbítására vonatkozó szabályokat, amennyiben az említett adattovábbítás az alkalmazási körébe tartozik. A nemzetközi adattovábbításra vonatkozó szabályokat az említett rendelet V. fejezete (44–50. cikke) állapítja meg. Noha a személyes adatok Európai Unión kívüli országokba és onnan az Unióba történő áramlása elengedhetetlen a határokon átnyúló kereskedelem és a nemzetközi együttműködés bővítéséhez, a személyes adatoknak az Európai Unióban biztosított védelmi szintje nem sérülhet a harmadik országokba történő továbbítás esetén (2).

(2)

Az (EU) 2016/679 rendelet 45. cikkének (3) bekezdése értelmében a Bizottság végrehajtási jogi aktusok útján határozhat arról, hogy a harmadik ország, a harmadik ország valamely területe, illetve egy vagy több meghatározott ágazata, illetve valamely nemzetközi szervezet biztosítja a megfelelő szintű védelmet. E feltétel teljesülése esetén a személyes adatok harmadik országba történő továbbítására további engedély megszerzése nélkül kerülhet sor, az (EU) 2016/679 rendelet 45. cikke (1) bekezdésében és (103) preambulumbekezdésében előírtak szerint.

(3)

Az (EU) 2016/679 rendelet 45. cikkének (2) bekezdésében foglaltak szerint, a megfelelőségi határozat elfogadásának a harmadik ország jogrendjére vonatkozó átfogó elemzésen kell alapulnia, lefedve mind az adatátvevőre vonatkozó szabályokat, mind a személyes adatokhoz való, közigazgatási szervek általi hozzáférést illető korlátozásokat és biztosítékokat. Értékelésében a Bizottságnak meg kell állapítania, hogy a szóban forgó harmadik ország olyan szintű védelmet biztosít-e, amely „lényegében azonos” az Európai Unión belül biztosított védelem szintjével (3). A „lényegi egyenértékűség” értékelése az európai uniós jogszabályok, elsősorban az (EU) 2016/679 rendelet, valamint az Európai Unió Bíróságának ítélkezési gyakorlata alapján történik (4). Ezenkívül az Európai Adatvédelmi Testület megfelelőségi referenciája is fontos a védelem megfelelő szintjének további pontosítása és az ezzel kapcsolatos iránymutatás szempontjából (5).

(4)

Ahogy azt az Európai Unió Bírósága egyértelművé tette, harmadik ország nem kötelezhető arra, hogy az uniós jogrendben biztosított védelmi szinttel azonos védelmi szintet biztosítsanak (6). Különösen a harmadik ország által a személyes adatok védelme céljából igénybe vett eszközök különbözhetnek az Unióban alkalmazott eszközöktől, amennyiben – a gyakorlatban – ténylegesen megfelelő szintű védelmet biztosítanak (7). A megfelelőségre vonatkozó előírás ezért nem követeli meg az uniós szabályok pontról pontra történő leképezését. A vizsgálat ehelyett arra irányul, hogy a magánélet tiszteletben tartásához való jog és az adatvédelmi biztosítékok tartalmát (beleértve azok hatékony végrehajtását, felügyeletét és érvényesítését is), valamint a személyes adatok továbbításának körülményeit tekintve az Unión kívüli rendszer összességében véve biztosítja-e a védelem szükséges szintjét (8).

(5)

A Bizottság elemezte a Brazil Szövetségi Köztársaság (a továbbiakban: Brazília) jogszabályait és gyakorlatát. A (7)–(223) preambulumbekezdésben foglalt megállapítások alapján a Bizottság arra a következtetésre jutott, hogy Brazília megfelelő szintű védelmet biztosít az (EU) 2016/679 rendelet hatálya alá tartozó, az Unióból Brazília részére továbbított személyes adatok védelme tekintetében.

(6)

E határozat azzal a joghatással jár, hogy az Unión belüli adatkezelőktől és adatfeldolgozóktól a brazíliai adatkezelők és adatfeldolgozók részére történő adattovábbításra további engedély nélkül kerülhet sor. Ez a határozat nem érinti az (EU) 2016/679 rendeletnek a Koreai Köztársaságban letelepedett szervezetekre történő közvetlen alkalmazását, ha teljesülnek az említett rendelet 3. cikkében meghatározott, a rendelet területi hatályára vonatkozó feltételek.

(7)

Brazília a szövetségi alkotmányában (a továbbiakban: alkotmány) (9) meghatározott módon 26 államból és a szövetségi körzetből álló szövetségi köztársaság. A brazil államoknak saját alkotmányuk is van, ami nem lehet ellentétes a szövetségi alkotmánnyal (10). Brazíliában elnöki rendszer működik, amelyben a törvényhozó kamarák (vagyis a képviselőház és a szövetségi szenátus) elnökét és tagjait közvetlenül választják meg.

(8)

Az alkotmány alapvető jogként védi a magánélet és az adatok védelmét. Konkrétabban, az alkotmány 5. cikkének X. pontja védi az egyének magánéletét és privát szféráját, az 5. cikk XII. pontja garantálja a levéltitkot, beleértve az adatokat is, és az 5. cikk LXXIX. pontja rögzíti a személyes adatok online és offline védelméhez való jogot (11).

(9)

Az alkotmány 5. cikke értelmében az alkotmányban foglalt valamennyi jog vonatkozik a brazil állampolgárokra és a Brazíliában lakóhellyel rendelkező külföldiekre is. A szövetségi törvények egyértelművé tették, hogy Brazília területén minden személy jogosult az alapvető jogok védelmére függetlenül attól, hogy rendelkezik-e lakóhellyel vagy sem (12). Amint azt a vonatkozó jogelmélet is kiemeli, az alkotmányos ítélkezési gyakorlat tovább bővítette az ilyen jogok védelmének hatályát a külföldön élő külföldiekre is (13). Ennek eredményeként bármely külföldi, akár rendelkezik brazíliai lakóhellyel, akár nem, hivatkozhat az alkotmányban biztosított védelemre (14).

(10)

Brazília 1992-ben ratifikálta az Emberi Jogok Amerikai Egyezményét (15), az úgynevezett San José-i paktumot (a továbbiakban: egyezmény). Többek között az egyezmény 11. cikke garantálja a magánélethez való jogot, a 8. cikk pedig védi a tisztességes eljáráshoz való jogot. 1998-ban Brazília elismerte az Emberi Jogok Amerikaközi Bíróságának kötelező erejét az egyezmény értelmezése és alkalmazása tekintetében (16). A Bíróság határozatokat hozhat a jogok hatóságok általi alkalmazásáról a Brazíliában folytatott tevékenységekkel összefüggésben, beleértve a közbiztonsági és védelmi feladatokat ellátó hatóságokat is (17).

(11)

Brazília olyan általános jogi szabályozást fogadott el 2018-ban az adatvédelem területén, amely állampolgárságtól függetlenül minden egyén számára biztosítékokat nyújt: ez a „Lei Geral de Proteção de Dados” (a továbbiakban: az általános adatvédelemről szóló törvény) (18).

(12)

Elfogadása óta az általános adatvédelemről szóló törvényt további jogszabályok révén megerősítették és pontosították. A 2019. évi 13853. sz. törvény létrehozta Brazília adatvédelmi hatóságát, az Agência Nacional de Proteção de Dadost (a továbbiakban: adatvédelmi hatóság) (19), amely a 2022-ben elfogadott jogszabályok által független hatósággá vált (20). Ezeket a jogszabályokat további kötelező erejű rendeletek egészítették ki, többek között az adatvédelmi hatóság státuszának javítása (21), összetételének további meghatározása és igazgatóinak kinevezése céljából (22).

(13)

Amint azt e határozat (125)–(141) preambulumbekezdése részletesebben kifejti, az adatvédelmi hatóság az általános adatvédelemről szóló törvény értelmezéséért és végrehajtásáért felelős hatóság. Ebben az összefüggésben rendszeresen kötelező erejű rendeleteket bocsát ki a jog értelmezésére és alkalmazására. Például számos rendeletet fogadott el a szankciórendszer továbbfejlesztése és az adatvédelmi incidensek bejelentésére vonatkozó szabályok meghatározása érdekében (23). Az általános adatvédelemről szóló törvény alkalmazására és értelmezésére vonatkozóan az adatvédelmi hatóság további iránymutatást nyújt olyan dokumentumok és útmutatók révén, mint például a jogalap (pl. jogos érdek) és az általános adatvédelemről szóló törvény szerinti kulcsfogalmak (pl. szankciók, adatvédelmi tisztviselő) értelmezéséről elfogadott dokumentumok és útmutatók.

(14)

Az adatvédelem előmozdítására és védelmére irányuló nemzetközi együttműködésben való szerepvállalás részeként Brazília adatvédelmi hatósága 2023-ban az Európai Unió valamennyi adatvédelmi hatósága mellett a globális adatvédelmi közgyűlés tagja lett (24). Brazília továbbá megfigyelőként csatlakozott az Európa Tanácsnak az egyének személyes adataik gépi feldolgozása során való védelméről szóló egyezményéhez (25). Brazília továbbá élen jár az Egyesült Nemzetek Szervezetében (a továbbiakban: ENSZ) a magánélethez való jog terén elért számos előrelépés terén. Németországgal együtt Brazília is bevezette az ENSZ Közgyűlése által 2013-ban és 2014-ben elfogadott határozatokat a magánélethez való jogról a digitális érában (26). Ez az állásfoglalás többek között megjegyzi, hogy „a kommunikáció jogellenes vagy önkényes megfigyelése és/vagy lehallgatása, valamint a személyes adatok jogellenes vagy önkényes gyűjtése, mivel nagymértékben beavatkozó cselekmények, sértik a magánélet és a véleménynyilvánítás szabadságához való jogot, és ellentmondanak a demokratikus társadalom alapvetéseinek”. Az állásfoglalás elszólítja az államokat, hogy vizsgálják felül az adatgyűjtésre vonatkozó szabályokat annak érdekében, hogy azok összhangban legyenek az emberi jogok nemzetközi jogával, és hogy „olyan független, hatékony nemzeti felügyeleti mechanizmusokat hozzanak létre vagy tartsanak fenn, amelyek adott esetben biztosítják az átláthatóságot és az elszámoltathatóságot a kommunikáció állam általi megfigyelése, lehallgatása és a személyes adatok állami gyűjtése tekintetében” (27).

(15)

Brazília e határozat alapján továbbított személyes adatokra alkalmazandó jogi kerete felépítésében és fő alkotóelemeiben tehát nagyon hasonló az Európai Unióban alkalmazotthoz. Ennek része az a tény, hogy az említett keretrendszer nemcsak a nemzeti jogban meghatározott és az alkotmányban biztosított jogokra támaszkodik, hanem a nemzetközi jogban rögzített kötelezettségekre is, különösen az Emberi Jogok Amerikai Egyezménye Brazília általi betartása, valamint az Emberi Jogok Amerikaközi Bírósága joghatóságának elismerése révén (28).

(16)

Az általános adatvédelemről szóló törvény a személyes adatok Brazíliában történő kezelésére vonatkozik, függetlenül az ilyen tevékenység végzéséhez használt eszközöktől (29).

(17)

Az általános adatvédelemről szóló törvény 3. cikke pontosítja a törvény területi hatályát jelezve, hogy az alkalmazandó: 1. a Brazília területén végzett adatkezelési tevékenységekre (ez lefedi az Uniót, az államokat, a szövetségi körzetet és a településeket), 2. az olyan adatkezelési tevékenységekre, amelyek célja áruk vagy szolgáltatások kínálása vagy nyújtása, vagy a Brazília területén tartózkodó egyének adatainak kezelése, valamint 3. ha a kezelt személyes adatokat Brazília területén gyűjtötték. Ez hasonló az (EU) 2016/679 rendelet 3. cikkének megközelítéséhez.

(18)

Ezenkívül az általános adatvédelemről szóló törvény 3. cikkének II. pontja értelmében az ország területén tartózkodó természetes személyek személyes adatainak minden kezelése a törvény hatálya alá tartozik. Ez magában foglalja a területen tartózkodó egyének viselkedésének nyomon követése céljából végzett adatkezelést, függetlenül attól, hogy hol kezelik az adatokat.

(19)

Végezetül a Supremo Tribunal Federal (a továbbiakban: szövetségi legfelsőbb bíróság) ítélkezési gyakorlata szerint ebből az következik, hogy az alapvető jogok alkotmány által biztosított védelme, például az adatvédelemhez való jog minden személyre vonatkozik, függetlenül az érintett állampolgárságától vagy lakóhelyétől (30).

(20)

Az általános adatvédelemről szóló törvény 5. cikkének I. pontja a személyes adatokat azonosított vagy azonosítható természetes személyre vonatkozó információként határozza meg. A törvény kimondja, hogy az „érintett”„az a természetes személy, akire a kezelt személyes adatok vonatkoznak” (31).

(21)

Emellett az álnevesített adatok – vagyis olyan adatok, amelyek már nem azonosíthatnak közvetlenül vagy közvetve egy adott személyt, illetve nem rendelhetőek egy adott személyhez anélkül, hogy további adatokat használnának/azokkal kapcsolnák össze őket az információ eredeti állapotának helyreállításához – az általános adatvédelemről szóló törvény értelmében személyes adatnak minősülnek (32).

(22)

Ezzel szemben a teljesen anonimizált információk nem tartoznak az általános adatvédelemről szóló törvény hatálya alá (33). Az általános adatvédelemről szóló törvény 5. cikke értelmében az anonimizált adatok olyan adatok, amelyek az adatkezelés időpontjában rendelkezésre álló észszerű és technikai eszközök felhasználásával sem közvetlenül, sem közvetve nem kapcsolhatók egy egyénhez. Az általános adatvédelemről szóló törvény 12. cikke tovább pontosítja, hogy az anonimizált adatok nem minősülnek személyes adatnak, kivéve, ha az adatok anonimizálásának folyamata visszafordult, vagy ha „észszerű erőfeszítések” útján visszafordítható. Az általános adatvédelemről szóló törvény 12. cikke azt is hangsúlyozza, hogy annak meghatározásakor, hogy mi minősül „észszerűnek”, olyan objektív tényezőket kell figyelembe venni, mint például: 1. a visszafordításhoz szükséges költségek és idő, 2. a rendelkezésre álló technológia, és 3. az adatkezelő saját eszközeinek kizárólagos használata. Az anonimizálásra vonatkozó megközelítés és az általános adatvédelemről szóló törvényben az újbóli azonosítás lehetőségének kezelése érdekében bevezetett biztosítékok hasonlóak az Unióban alkalmazotthoz.

(23)

Ez megfelel az (EU) 2016/679 rendelet tárgyi hatályának, valamint annak „személyes adat”, „álnevesítés” és „anonim adat” fogalmának.

(24)

Az Európai Unióban és a brazil rendszerekben az „adatkezelés” fogalommeghatározása egyaránt a személyes adatokkal végzett „bármely műveletre” vonatkozik (34). Az általános adatvédelemről szóló törvény 5. cikkének X. pontja nem kimerítő jelleggel sorolja fel az adatkezelésnek minősülő tevékenységeket: „adatok gyűjtése, előállítása, fogadása, osztályozása, felhasználása, sokszorosítása, továbbítása, terjesztése, feldolgozása, archiválása, tárolása, törlése, értékelése vagy ellenőrzése, megváltoztatása, közlése, átadása, terjesztése vagy kinyerése, az azokhoz való hozzáférés”.

(25)

Az adatkezelő fogalmát az általános adatvédelemről szóló törvény úgy határozza meg, mint az a természetes vagy jogi személy – akár köz-, akár magánjogi –, aki vagy amely felelős a személyes adatok kezelésével kapcsolatos döntésekért (35).

(26)

Az adatfeldolgozó fogalmát az általános adatvédelemről szóló törvény úgy határozza meg, mint az a természetes vagy jogi személy – akár köz-, akár magánjogi –, aki vagy amely az adatkezelő nevében végzi személyes adatok feldolgozását (36). Az adatfeldolgozónak a feldolgozást az adatkezelő utasításai szerint kell végeznie, aki felelős a megfelelés ellenőrzéséért (37).

(27)

Az adatkezelőnek és az adatfeldolgozónak nyilvántartást kell vezetnie az általa végzett személyesadat-kezelési műveletekről, különösen, ha azok a jogos érdeken alapulnak (38).

(28)

Az általános adatvédelemről szóló törvény értelmében egyetemlegesen felelős két vagy több olyan adatkezelő, akik közvetlenül részt vesznek abban az adatkezelésben, amelynek következtében az érintett kárt szenvedett (39). Az adatfeldolgozó egyetemlegesen felelős az adatkezelés által okozott kárért, ha nem tesz eleget az általános adatvédelemről szóló törvény 44. cikkében meghatározott kötelezettségeinek, vagy ha nem követi az adatkezelő jogi utasításait (40).

(29)

Ezért az adatkezelők és adatfeldolgozók közötti kapcsolatot szabályozó, az általános adatvédelemről szóló törvény szerinti szabályok hasonlóak az (EU) 2016/679 rendelet IV. fejezetében foglaltakhoz.

(30)

Az európai uniós rendszerhez hasonlóan az általános adatvédelemről szóló törvény nem alkalmazandó az anonimizált adatokra (41), a személyes adatok kizárólag háztartási célú kezelésére (42), vagy a kizárólag a közbiztonság, a nemzetvédelem, az állambiztonság, illetve a bűncselekmények kivizsgálása és büntetőeljárás alá vonása céljából végzett adatkezelésre (43).

(31)

A közbiztonság, a nemzetvédelem, az állambiztonság, valamint a bűncselekmények kivizsgálása és büntetőeljárás alá vonása területén a mentesség azonban részleges. A szövetségi legfelsőbb bíróság a személyes adatok alkotmányos védelmének fényében értelmezte az általános adatvédelemről szóló törvény alkalmazhatóságát, és megállapította, hogy a benne foglalt fő elvek, jogok és célkitűzések a személyes adatok hatóságok általi valamennyi kezelésére alkalmazandók, beleértve a „hírszerzési” célból végzett adatkezelést is (44). Emellett a személyes adatoknak a közbiztonság, a nemzetvédelem, az állambiztonság, illetve a bűncselekmények kivizsgálása és büntetőeljárás alá vonása céljából történő kezelésének feltételeit az általános adatvédelemről szóló törvény 4. cikkének (2)–(4) bekezdése határozza meg, különösen annak megakadályozása érdekében, hogy a magánjogi szervezetek ilyen célból adatokat kezeljenek, illetve azért, hogy utasítsa az adatvédelmi hatóságot a kérdéssel kapcsolatos műszaki vélemények és ajánlások kiadására, valamint hogy felhatalmazza az adatvédelmi hatóságot, hogy ezekkel a tevékenységekkel kapcsolatban adatvédelmi hatásvizsgálatot kérjen (45). Ennek alapján az adatvédelmi hatóság például vizsgálatokat folytatott, és olyan iránymutatásokat adott ki, mint például az Igazságügyi és Közbiztonsági Minisztériumnak címzett műszaki feljegyzés a technológiák nyilvános helyeken történő használatáról, beleértve az arcfelismerést is (46). Ebben a feljegyzésben az adatvédelmi hatóság emlékeztetett arra, hogy az e célból történő adatkezelésnek összhangban kell állnia az általános adatvédelemről szóló törvény által meghatározott általános elvekkel és jogokkal (47).

(32)

Az általános adatvédelemről szóló törvény 4. cikkének II. pontja továbbá részleges mentességet vezet be a személyes adatok tudományos kutatási, újságírói és művészeti célú kezelése tekintetében.

(33)

A tudományos kutatás tekintetében a mentességet több tényező korlátozza. Először is, az általános adatvédelemről szóló törvény 4. cikkének II. pontja szerint az adatkezelést „kizárólag” tudományos kutatási célból kell végezni. Másodszor, az általános adatvédelemről szóló törvény 4. cikke II. pontjának b) alpontja megállapítja, hogy az ilyen típusú adatkezelésre a 7. cikk (a jogalap követelménye) és a 11. cikk (a különleges adatok kezelésére vonatkozó szabályok) alkalmazandó (48). Harmadszor, az adatvédelmi hatóság útmutatót dolgozott ki a tudományos és kutatási célú adatkezelésre alkalmazandó szabályok további pontosítása céljából, többek között azáltal, hogy szigorúan meghatározza, hogy mely szervezetek tekinthetők az általános adatvédelemről szóló törvény 5. cikkének XVII. pontjában meghatározott „kutatóintézetnek” (49). Ebben az iránymutatásban az adatvédelmi hatóság megerősíti, hogy a tudományos kutatási célú adatfeldolgozás csak részben mentesül az általános adatvédelemről szóló törvény alól, és hogy az általános jogelvek alkalmazandók (50).

(34)

Ami konkrétan az egészségügyi kutatáshoz használt adatokat illeti, az általános adatvédelemről szóló törvény további korlátozásokat tartalmaz. Egyrészt az általános adatvédelemről szóló törvény 13. cikke biztonsági kötelezettségeket állapít meg a használt adatbázisokra vonatkozóan, és ösztönzi az anonimizálási és álnevesítési technikák alkalmazását. Előírja továbbá, hogy a kutatási szervezeteket felelősségre kell vonni a személyes adatok védelmét szolgáló biztonsági intézkedések végrehajtásának elmulasztásáért (51). Ezzel szemben az egészségügyi kutatáshoz felhasznált adatok harmadik fél részére történő továbbítása „minden körülmények között tilos” (52).

(35)

A személyes adatok újságírói és művészeti célú kezelése tekintetében az általános adatvédelemről szóló törvény alóli mentesség hasonló az (EU) 2016/679 rendelet 85. cikkének (2) bekezdésében előírthoz. Az általános adatvédelemről szóló törvény szerinti mentesség azokra a helyzetekre vonatkozik, amikor az adatkezelésre „kizárólag” e célokból kerülne sor (53). Ennek értelmében amennyiben a sajtó, a média és a művészeti szervezetek más célból, például humánerőforrás-menedzsment vagy belső igazgatás céljából kezelnek személyes adatokat, az általános adatvédelemről szóló törvény teljes mértékben alkalmazandó.

(36)

A művészi kifejezés és a tömegtájékoztatás szabadsága egyaránt a véleménynyilvánítás szabadságának részét képezi az alkotmány 5. cikkének IX. pontja szerint, amely biztosítja a véleménynyilvánítás szabadságát a „szellemi, művészeti, tudományos és kommunikációs” beszéd esetében. Ami a véleménynyilvánítás szabadsága és más jogok (többek között a magánélet tiszteletben tartásához és az adatvédelemhez való jog) közötti egyensúlyt illeti, azt az alkotmányban meghatározott kritériumok szabályozzák, amelyeket a szövetségi legfelsőbb bíróság értelmezett. Közelebbről, a véleménynyilvánítás szabadságához való jog gyakorlása nem igényel előzetes engedélyt, de továbbra is az egyéb alapvető jogok védelme érdekében előírt korlátozásoknak van alávetve. Konkrétan, az egyén kártérítést követelhet az alkotmány 5. cikkének X. pontja értelmében a magánélethez való jog megsértése esetén. Ezek a biztosítékok beépültek továbbá az internet polgári jogi keretrendszeréről szóló törvénybe, amelyet 2014-ben fogadtak el az alapvető jogok online védelme érdekében (54). Az internet polgári jogi keretrendszeréről szóló törvény 7. cikkének I. pontja garantálja különösen „a magánélet sérthetetlenségét”, és kimondja a jogsértésből eredő anyagi vagy erkölcsi károk megtérítéséhez való jogot. Emellett a szövetségi legfelsőbb bíróság ítélkezési gyakorlatában utal arra, hogy „meg kell teremteni az egyensúlyt a jogok között, össze kell egyeztetni a véleménynyilvánítás szabadságához való jogot a magánélet sérthetetlenségével”, kiemelve a jogorvoslathoz való jog és a jogorvoslathoz való hozzáférés fontosságát a magánélet megsértése esetén (55). Egy másik ügyben a szövetségi legfelsőbb bíróság emlékeztetett arra, hogy „a sajtószabadságot és a társadalmi kommunikációt más alkotmányos elvekkel – például a magánélet sérthetetlenségével és az adatvédelemhez való joggal – összhangban kell gyakorolni” (56).

(37)

Végezetül az általános adatvédelemről szóló törvény mentesíti a törvény hatálya alól az olyan adatok kezelését, amelyek Brazílián kívülről származnak, és amelyeket vagy 1. nem osztanak meg brazíliai adatfeldolgozóval vagy nem adnak át neki, vagy 2. olyan országból származnak, amelyet az általános adatvédelemről szóló törvény alapján megfelelőnek ítéltek, mindaddig, amíg az adatokat nem továbbítják másik országba (57). Az adatvédelmi hatóság az adattovábbításról szóló rendeletében kötelező értelmezést adott ki annak érdekében, hogy szigorúan elhatárolja ezt a két esetet (58).

(38)

Az első forgatókönyv szerint a személyes adatok Brazílián keresztüli, az országban történő további kezelés nélküli puszta továbbítása ki van zárva a törvény hatálya alól (59). Azonban amint az adatokhoz hozzáférnek, azokat felhasználják vagy más módon kezelik Brazíliában, az általános adatvédelemről szóló törvény alkalmazandóvá válik. A kiberbiztonságra és a hatóságok adatokhoz való hozzáférésére vonatkozó meglévő nemzeti szabályok továbbra is alkalmazandók erre a korlátozott esetre, függetlenül attól, hogy az adatok kezelésére vagy egyszerű továbbításra kerül-e sor.

(39)

A második forgatókönyvben az adatvédelmi hatóság egyértelművé tette, hogy csak az eredetileg az általános adatvédelemről szóló törvény szerinti megfelelőségi határozat hatálya alá tartozó országból továbbított adatok visszaküldése nem tartozik a törvény hatálya alá, feltéve, hogy erre az adatkezelésre e megfelelő ország nemzeti joga alkalmazandó. Ebben az esetben is a kiberbiztonságra és a hatóságok adatokhoz való hozzáférésére vonatkozó szabályokat kell alkalmazni. A személyes adatoknak az Unió és Brazília közötti továbbításával összefüggésben, amennyiben az Unió számára előnyös lenne egy brazil megfelelőségi határozat, az adatok Brazíliából az Unióba történő visszaküldése nem mindig tartozna az (EU) 2016/679 rendelet 3. cikkének hatálya alá. Ezért azokban az esetekben, amikor a szóban forgó adatkezelés nem tartozik az (EU) 2016/679 rendelet hatálya alá, az a személyes adatok nemzetközi továbbításáról szóló rendelet 8. cikke II. pontjának b) alpontjából következik, amely szerint az általános adatvédelemről szóló törvény alkalmazandó az adatok Brazíliából az Unióba történő visszaküldésére.

(40)

A személyes adatokat jogszerűen és tisztességesen kell kezelni.

(41)

A jogszerűség, a jóhiszeműség és az átláthatóság elvét, valamint a jogszerű adatkezelés jogalapját az általános adatvédelemről szóló törvény 6. és 7. cikke az (EU) 2016/679 rendelet 5. és 6. cikkében meghatározottakhoz hasonló feltételek révén garantálja.

(42)

Az általános adatvédelemről szóló törvény 6. és 7. cikke értelmében az adatkezelők és adatfeldolgozók a személyes adatokat jogszerűen és jóhiszeműen, a meghatározott cél eléréséhez szükséges minimális mértékben kezelik, a cél szempontjából releváns, arányos és nem túlzott mértékű adatokra kiterjedően (60).

(43)

A jogszerű adatkezelés ezen általános elveit az általános adatvédelemről szóló törvény 7. cikke határozza meg pontosabban, amely meghatározza az adatkezelés különböző jogalapjait, beleértve azokat a körülményeket is, amelyek fennállása esetén ez a cél megváltozásával járhat.

(44)

Az általános adatvédelemről szóló törvény 7. cikke értelmében az adatkezelő és az adatfeldolgozó csak korlátozott számú jogalap alapján kezelhet személyes adatokat. Az általános adatvédelemről szóló törvény e jogalapjai a következők: 1. az érintett hozzájárulása (I. pont), 2. az olyan szerződéshez kapcsolódó szerződés vagy előzetes eljárás végrehajtásának szükségessége, amelyben az érintett félként vesz részt, az érintett kérésére (V. pont), 3. az adatkezelő eleget tesz valamely jogi vagy szabályozási kötelezettségnek (61) (II. pont), 4. az érintett vagy harmadik fél életének vagy testi épségének védelme (VII. pont), 5. a közigazgatás által végzett, a törvényekben és rendeletekben előírt közpolitikák végrehajtásához szükséges adatkezelés, vagy szerződéseken, megállapodásokon vagy hasonló eszközökön alapuló adatkezelés (62) (III. pont), 6. ha az adatkezelő vagy harmadik fél jogos érdekeinek érvényesítése érdekében szükséges, kivéve, ha az érintett alapvető jogai és szabadságai, amelyek a személyes adatok védelmét írják elő, elsőbbséget élveznek (IX. pont).

(45)

Az általános adatvédelemről szóló törvény 7. cikke négy további konkrét jogalapot biztosít az adatkezeléshez, amelyek a következők: 1. kutatóintézetek által végzett tanulmányok készítése, lehetőség szerint biztosítva a személyes adatok anonimizálását (IV. pont), 2. a jogok rendeltetésszerű gyakorlása bírósági, közigazgatási vagy választottbírósági eljárásokban (63) (VI. pont), 3. az egészség védelme érdekében, kizárólag egészségügyi szakemberek, egészségügyi szolgálatok vagy egészségügyi hatóságok által végzett eljárásokban (VIII. pont), és 4. a hitelkockázat mérséklése (X. pont) (64).

(46)

Az általános adatvédelemről szóló törvény szerinti személyesadat-kezeléshez való érvényes hozzájárulás megszerzésére vonatkozó formai követelményeket a 8. cikk az (EU) 2016/679 rendelet 4. cikkének (11) bekezdéséhez és 7. cikkéhez hasonló megközelítést alkalmazva határozza meg. Először is, a hozzájárulást írásban vagy más olyan módon kell megadni, amely alkalmas az érintett „szándéknyilatkozatának” igazolására (65). Az adatvédelmi hatóság iránymutatásában egyértelművé tette, hogy „a hozzájárulásnak egyértelműnek kell lennie, ami megköveteli az érintett egyértelmű és pozitív akaratnyilvánítását”, ami azt jelenti, hogy a hozzájárulás „hallgatólagos módon vagy az érintett mulasztása által” nem szerezhető be (66). Másodszor, a hozzájárulás „meghatározott célokra” vonatkozik, és a „személyes adatok kezelésére vonatkozó általános engedélyeket” semmisnek kell tekinteni (67). Harmadszor, a hozzájárulásról „átlátható, egyértelmű és világos” módon kell tájékoztatást adni (68). Amennyiben egy szélesebb körű szerződésben szerepel, a hozzájárulásnak egy elkülönült és kifejezetten erre vonatkozó szakaszban kell szerepelnie, amely egyértelműen szembetűnik a többi szerződéses rendelkezés között (69). Ezenkívül a hozzájárulás érvénytelennek minősül, ha az érintettnek nyújtott tájékoztatás „megtévesztő vagy tisztességtelen tartalmú” (70). Az adatkezelőnek az alábbiakkal kapcsolatos bármely változásról is tájékoztatnia kell az érintettet: 1. az adatkezelés konkrét célja, 2. az adatkezelés típusa vagy időtartama, 3. az adatkezelő személye, vagy 4. az adatok kezelésével és esetleges megosztásával kapcsolatos bármely információ (71). Negyedszer, az érintett „ingyenes eljárás” útján „bármikor visszavonhatja” a hozzájárulást (72).

(47)

Az általános adatvédelemről szóló törvény szigorúan tiltja a személyes adatok kezelését abban az esetben, ha a hozzájárulás hibás vagy érvénytelen (73). Az általános adatvédelemről szóló törvény egyértelművé teszi továbbá, hogy az adatkezelőt terheli annak bizonyítása, hogy a hozzájárulást az általános adatvédelemről szóló törvénnyel összhangban jogszerűen szerezték meg (74).

(48)

Végül az általános adatvédelemről szóló törvény megállapítja, hogy abban az esetben, ha a hozzájárulás megfelelő jogalap lenne az adatkezeléshez, és a személyes adatokat az „érintett kifejezetten nyilvánosságra hozta”, a hozzájárulás követelményétől el kell tekinteni (75). A „kifejezetten nyilvánosságra hozott adat” fogalma az (EU) 2016/679 rendelet 9. cikkében is megtalálható. Az adatkezelők és adatfeldolgozók azonban még abban az esetben sem mentesülnek az általános adatvédelemről szóló törvényben meghatározott minden egyéb jog és kötelezettség teljesítése alól, ha a hozzájárulástól el kell tekinteni (76). Különösen az érintettek által kifejezetten nyilvánosságra hozott adatok tovább kezelhetők, feltéve, hogy ez „jogszerű és konkrét” célt szolgál, és tiszteletben tartja az érintettek jogait és az általános adatvédelemről szóló törvényben megállapított elveket (77).

(49)

Az általános adatvédelemről szóló törvény 7. cikkének IX. pontja megállapítja, hogy a személyes adatok kezelésére jogos érdek alapján soha nem kerülhet sor, ha az ilyen adatkezelés ellentétes lenne az érintettek alapvető jogaival és szabadságaival, kiemelve, hogy a személyes adatok védelme az irányadó. Ez a megközelítés hasonló az Unióban alkalmazott és az (EU) 2016/679 rendelet 6. cikke (1) bekezdésének f) pontjában meghatározott megközelítéshez.

(50)

Az általános adatvédelemről szóló törvény 10. cikke további feltételeket határoz meg az adatkezelők számára ahhoz, hogy a személyes adatok kezelésének jogalapjaként a „jogos érdekre” hivatkozhassanak. Először is, ha a személyes adatok kezelése jogos érdeken alapul, az adatkezelő csak olyan személyes adatokat kezelhet, amelyek a szándékolt cél eléréséhez „feltétlenül szükségesek” (78). Másodszor, az adatkezelőknek olyan intézkedéseket is végre kell hajtaniuk, amelyek biztosítják adatkezelési tevékenységeik átláthatóságát (79). Harmadszor, a jogos érdekre csak „különleges helyzetekben” lehet hivatkozni (80).

(51)

Ezenkívül az adatvédelmi hatóság közzétette az útmutatóját a jogos érdekről, amely részletezi a jogos érdek érvényesítésének feltételeit (81). Ez az útmutató például egyértelművé tette, hogy a jogos érdek a különleges adatok kezelése esetén nem használható jogalapként (82), és a mellékletében az alapvető jogok és a szabadságok védelmét szolgáló mérlegelési tesztet is tartalmaz, amelyet a jogos érdekre hivatkozni kívánó adatkezelők használhatnak (83). Emellett az adatvédelmi hatóság előírhatja az adatkezelő számára, hogy végezzen adatvédelmi hatásvizsgálatot (84).

(52)

Az útmutatóban az adatvédelmi hatóság egyértelművé tette, hogy ahhoz, hogy egy érdek „jogosnak” minősüljön, három feltételnek kell teljesülnie: 1. a brazil jogrenddel való összeegyeztethetőség, 2. konkrét helyzetre való hivatkozás, valamint 3. az adatkezelés jogszerű, konkrét és kifejezett célokhoz való kapcsolódása (85). Az első feltétel, a „jogrendszerrel való összeegyeztethetőség”, azt feltételezi, hogy az adatkezelő által hivatkozott jogos érdeknek összeegyeztethetőnek kell lennie a Brazíliában biztosított elvekkel, jogi normákkal és alapvető jogokkal. Ez például azt jelenti, hogy a személyes adatok tervezett kezelését nem tilthatja meg brazíliai jogszabály, és az sem közvetlenül, sem közvetve nem mondhat ellent a jogi rendelkezéseknek vagy a brazil jogban foglalt elveknek. Másodszor, a hivatkozott jogos érdeknek „konkrét, egyértelmű és pontos” helyzeteken kell alapulnia, amelyek meghatározott és jól körülhatárolt érdekekre irányulnak. A hivatkozott jogos érdek nem alapulhat „absztrakt vagy pusztán spekulatív helyzeteken” (86). Az adatvédelmi hatóság pontosítja továbbá, hogy azok az érdekek, amelyek nem kapcsolódnak „az adatkezelő jelenlegi tevékenységeihez, nem tekinthetők jogosnak” (87). A harmadik feltétel az adatkezelés konkrét célja bizonyításának szükségességére vonatkozik. Az adatvédelmi hatóság megjegyzi, hogy az adatkezelő jogos érdeke (amely igazolja az adatkezelést) nem tévesztendő össze az adatkezelés céljával (amely az adatfeldolgozással elérni kívánt konkrét cél). A jogos érdek fennállása nem szünteti meg az adatkezelő azon kötelezettségét, hogy tiszteletben tartsa a célhoz kötöttség elvét, ahogy az általános adatvédelemről szóló törvényből eredő valamennyi kötelezettségét sem. A célt egyértelműen és pontosan le kell írni az adatkezelés terjedelmének körülhatárolásához szükséges információkkal, és lehetővé kell tenni az adatkezelő vagy harmadik felek érdekeinek az érintettek jogaival és jogos elvárásaival szembeni mérlegelését (88). Ez azt jelenti, hogy amikor az adatkezelő tevékenységének támogatása vagy előmozdítása céljából jogos érdekre hivatkozik, többek között egyértelműen meghatározza, hogy mely tevékenységet kívánja előmozdítani/támogatni, valamint azt, hogy milyen kapcsolat áll fenn a tervezett adatkezeléssel.

(53)

„Különleges adatok kategóriáinak” kezelése esetén külön biztosítékokat kell rendszeresíteni.

(54)

Az általános adatvédelemről szóló törvény 5. cikkének II. pontja a különleges személyes adatokat úgy határozza meg, mint „faji vagy etnikai származásra, vallási meggyőződésre, politikai véleményre vagy szakszervezeti tagságra utaló személyes adatok, világnézeti vagy politikai szerveződésre, egészségi állapotra vagy a szexuális életre vonatkozó, illetve genetikai és biometrikus adatok, amennyiben természetes személyhez kapcsolódnak”. A nemzeti ítélkezési gyakorlatból kitűnik, hogy a szexuális élet fogalmába az egyén szexuális irányultsága vagy preferenciái is beleértendők. Különösen az azonos neműek házasságára vonatkozó ítélkezési gyakorlatában a szövetségi legfelsőbb bíróság kimondta, hogy a „nemen” alapuló megkülönböztetés magában foglalja a „szexuális preferenciát” (89), és hogy a „szexuális irányultság” gyakorlásának szabadsága „a személyiség fejlődésének előfeltétele”, amely alkotmányos védelmet élvez (90). Ezért a brazil jog értelmében a különleges adatnak minősülő adatok kategóriái megegyeznek az (EU) 2016/679 rendelet 9. cikkének (1) bekezdésében meghatározottakkal.

(55)

A brazíliai bíróságok kiterjesztették a különleges személyes adatoknak az általános adatvédelemről szóló törvény szerinti fogalommeghatározását egyéb olyan típusú információkra is, amelyek felhasználhatók az egyének hátrányos megkülönböztetésére (91). Ez az értelmezés a brazil jog szerinti hátrányos megkülönböztetéssel szembeni védelemhez való jogból következik, amelyet az általános adatvédelemről szóló törvény 6. cikkének IX. pontja is tükröz. A brazil ítélkezési gyakorlat egyértelművé tette, hogy a bűnügyi nyilvántartásokkal kapcsolatos információk különleges adatnak minősülnek (92).

(56)

A különleges adatoknak az általános adatvédelemről szóló törvény szerinti kezelése csak akkor engedélyezett, ha az érintett vagy jogi képviselője meghatározott célokra „konkrét és elkülönült” hozzájárulását adta (93). Az érvényes hozzájárulásnak az e határozat (46)–(48) preambulumbekezdésében ismertetett feltételei alkalmazandók.

(57)

Az általános adatvédelemről szóló törvény 11. cikkének II. pontja értelmében az érintett kifejezett hozzájárulása nélkül a különleges adatok kezelése az alábbiak szerint végezhető: 1. ha az adatkezelés az adatkezelő valamely jogi vagy szabályozási kötelezettségének teljesítéséhez szükséges (a) alpont), 2. ha a közigazgatás általi adatkezelés a törvényekben és rendeletekben előírt közpolitikák végrehajtásához szükséges (b) alpont), 3. az érintett vagy harmadik fél életének vagy testi épségének védelme érdekében (e) alpont), 4. jogok gyakorlása érdekében, beleértve a szerződéseket és a bírósági, közigazgatási és választottbírósági eljárásokat is, a brazil joggal összhangban (d) alpont), 5. az érintettek egészségének védelme érdekében, kizárólag egészségügyi szakemberek, egészségügyi szolgálatok vagy egészségügyi hatóságok által végzett eljárásokban (f) alpont), 6. kutatóintézetek által tanulmányok végzése céljából, lehetőség szerint az adatok anonimizálásának biztosításával (c) alpont), valamint 7. a csalás megelőzése és az érintettek biztonságának garantálása érdekében az elektronikus rendszerekbe történő regisztrációval történő azonosítási és hitelesítési folyamatok során (g) alpont). Tehát a különleges adatok kezelésének jogalapjai az általános adatvédelemről szóló törvény és az (EU) 2016/679 rendelet szerint hasonlóak.

(58)

A személyes adatokat konkrét célra kell gyűjteni, és olyan módon, amely nem összeegyeztethetetlen az adatkezelés céljával.

(59)

Az általános adatvédelemről szóló törvény 6. cikkének I. pontja kimondja, hogy a személyes adatokat „jogszerű, konkrét és kifejezett célból kell kezelni, amelyről az érintettet tájékoztatják”, az eredeti céllal „összeegyeztethetetlen” további adatkezelés lehetősége nélkül. Ez az elv és szövege szinte megegyezik az (EU) 2016/679 rendelet 5. cikke (1) bekezdésének c) pontjában szereplő megfelelő elvvel. Az általános adatvédelemről szóló törvény 6. cikkének II. pontja továbbá kimondja, hogy minden adatkezelési tevékenységnek összeegyeztethetőnek kell lennie az érintettel közölt célokkal.

(60)

Az adatvédelmi hatóság által kiadott iránymutatásból kiderül, hogy annak meghatározásához, hogy a más célból történő adatkezelés összeegyeztethető-e azzal a céllal, amelyre az adatokat eredetileg gyűjtötték, az adatkezelőnek bizonyítania kell a két adatkezelési cél közötti kapcsolatot, és figyelembe kell vennie az érintettek „jogos elvárásait” (94). A további összeegyeztethető célokból történő adatkezelés esetében az általános adatvédelemről szóló törvény elveit és kötelezettségeit kell alkalmazni, nevezetesen az új cél meghatározott jellegének biztosítása és az érintettek jogai védelmének garantálása érdekében. Ez az érintett által „kifejezetten nyilvánosságra hozott” vagy nyilvánosan hozzáférhető adatok további kezelésére is vonatkozik (95).

(61)

Az adatoknak pontosnak és – szükség esetén – naprakésznek kell lenniük. Az adatoknak az adatkezelési célokhoz képest megfelelőnek és relevánsnak kell lenniük, valamint azokkal arányban kell állniuk.

(62)

Ezeket az elveket az általános adatvédelemről szóló törvény 6. cikkének III., illetve V. pontjában szereplő „adatminőség” és „szükségesség” elve garantálja. Az általános adatvédelemről szóló törvény 6. cikkének V. pontja szerint az adatkezelőnek és az adatfeldolgozóknak biztosítaniuk kell, hogy a személyes adatok pontosak, egyértelműek, relevánsak és naprakészek legyenek, tekintettel az adatkezelés céljaira. Az általános adatvédelemről szóló törvény 6. cikkének III. pontja előírja, hogy „az adatkezelést az adott cél(ok) eléréséhez szükséges minimumra kell korlátozni”, és e cél(ok) tekintetében „releváns, arányos és nem túlzott mértékű adatokra” terjedhet ki. Ezek az elvek hasonlóak az (EU) 2016/679 rendelet 5. cikke (1) bekezdésének c) és d) pontjában meghatározottakhoz.

(63)

Főszabály szerint az adatok csak az adatkezelés céljai érdekében szükséges ideig őrizhetők meg.

(64)

Az általános adatvédelemről szóló törvény 6. cikkének I., III. és IV. pontjában meghatározott „cél”, „szükségesség” és „hozzáférés” elve rendelkezik a korlátozott tárolhatóságra vonatkozó követelményekről. A „jogszerű, konkrét és kifejezett” céllal kapcsolatban a szükséges minimumra korlátozzák az adatok tárolásának lehetőségét, és előírják, hogy az érintetteket tájékoztatni kell a tárolás időtartamáról.

(65)

Továbbá: az általános adatvédelemről szóló törvény II. fejezetének IV. szakasza az „adatkezelés megszüntetésével” foglalkozik. E szakasz értelmében az általános adatvédelemről szóló törvény 16. cikke előírja, hogy valamennyi személyes adatot törölni kell a meghatározott célból történő adatkezelés befejezését követően. Ezek a követelmények az általános adatvédelemről szóló törvényben foglalt „cél”, „szükségesség” és „hozzáférés” elvével összefüggésben értelmezve hasonlóak az (EU) 2016/679 rendelet 5. cikke (1) bekezdésének e) pontjából eredő kötelezettségekhez.

(66)

Az általános adatvédelemről szóló törvény 16. cikkében meghatározott szigorú kivételek alapján az adatok további megőrzésre és tárolásra kerülhetnek: 1. a jogi vagy szabályozási kötelezettségeknek való megfelelés, 2. kutatási célokból, lehetőség szerint biztosítva az adatok anonimizálását, 3. ha az adatok az általános adatvédelemről szóló törvény követelményeinek megfelelően kerülnek harmadik félnek átadásra, vagy 4. ha kizárólag az adatkezelő használja az adatokat, feltéve, hogy anonimizálják az adatokat, és a harmadik felek általi hozzáférés tiltott.

(67)

Az általános adatvédelemről szóló törvényben meghatározott és az e határozat (68)–(78) preambulumbekezdésében ismertetett adatbiztonsági követelmény vonatkozik a tárolt adatokra.

(68)

A személyes adatokat olyan módon kell kezelni, amely biztosítja a biztonságukat, többek között a jogosulatlan vagy jogellenes kezelés elleni védelmüket, illetve az adatok véletlen elvesztésével, megsemmisítésével vagy károsodásával szembeni védelmüket. A piaci szereplőknek ebből a célból megfelelő technikai vagy szervezési intézkedéseket kell hozniuk, hogy a személyes adatokat megvédjék a lehetséges veszélyektől. Ezeket az intézkedéseket a csúcstechnológia és a kapcsolódó költségek figyelembevételével kell értékelni.

(69)

Ezt az elvet az általános adatvédelemről szóló törvény 6. cikkének VII. pontja garantálja, amely „technikai és igazgatási intézkedések” alkalmazását írja elő a személyes adatoknak a „jogosulatlan hozzáféréssel, valamint a véletlen vagy jogellenes adatkezeléssel” szembeni védelme érdekében, beleértve az adatok „megsemmisítését, elvesztését, megváltoztatását, közlését vagy terjesztését”. E biztonsági kockázatok csökkentése érdekében az általános adatvédelemről szóló törvény 6. cikkének VIII. pontja olyan intézkedések elfogadását írja elő, amelyek „megelőzik a személyes adatok kezeléséből eredő károk/sérelmek bekövetkezését”.

(70)

Az általános adatvédelemről szóló törvény 44. cikke megállapítja, hogy a személyes adatok kezelése jogellenes, ha nem felel meg az érintett által jogosan elvárható biztonsági követelményeknek. Meg kell határozni többek között a biztonság megfelelő szintjét: 1. az elvégzett adatkezelés sajátos körülményeinek, 2. a várható kockázat észszerű szintjének, és 3. az adatkezelés végrehajtásakor rendelkezésre álló feldolgozási technikáknak a fényében (96).

(71)

Az adatbiztonság elvének végrehajtása érdekében az általános adatvédelemről szóló törvény VII. fejezete „Az adatok biztonsága és bizalmassága” című I. szakaszában számos követelményt határozott meg. E szakasz értelmében az általános adatvédelemről szóló törvény 46. cikke előírja az adatkezelők és adatfeldolgozók számára, hogy „olyan biztonsági, technikai és igazgatási intézkedéseket fogadjanak el, amelyek képesek megvédeni a személyes adatokat a jogosulatlan hozzáféréssel és a véletlen vagy jogellenes adatkezeléssel szemben”, mint például a „megsemmisítés, elvesztés, megváltoztatás, közlés vagy bármilyen helytelen vagy jogellenes adatkezelés”. Ezeknek az intézkedéseknek „a termék vagy szolgáltatás tervezési szakaszától a végrehajtásig” eleget kell tenni (97). Az általános adatvédelemről szóló törvény 47. cikke általános kötelezettséget ír elő az adatkezelés bármely szakaszában részt vevő valamennyi fél számára a biztonsági követelményeknek való megfelelésre vonatkozóan. Ezek a kötelezettségek hasonlóak az (EU) 2016/679 rendelet 32. cikkében meghatározotthoz.

(72)

Az általános adatvédelemről szóló törvény 44. cikke megállapítja továbbá, hogy a biztonsági intézkedések meghozatalát elmulasztó adatkezelőt vagy adatfeldolgozót felelősség terheli a biztonság megsértése esetén felmerülő károkért (98). Az adatvédelmi hatóság műszaki biztonsági minimumkövetelményeket is megállapíthat az adatbiztonsági kötelezettségeknek való megfelelés biztosítása érdekében (99).

(73)

Az általános adatvédelemről szóló törvény 48. cikke értelmében olyan biztonsági incidens esetén, amely kockázatot jelenthet vagy jelentős kárt okozhat az érintettek számára, az adatkezelő köteles értesíteni mind az adatvédelmi hatóságot, mind az érintetteket. Az ilyen értesítésnek az adatvédelmi hatóság által meghatározott észszerű határidőn belül kell megtörténnie, és legalább a következőket kell tartalmaznia: 1. az érintett személyes adatok jellegének leírása, 2. az érintett érintetteket azonosító információk, 3. az adatok védelme érdekében alkalmazott technikai és biztonsági intézkedések megjelölése, a kereskedelmi és ipari titoktartás megőrzése mellett, 4. az incidenshez kapcsolódó kockázatok értékelése, 5. a kommunikáció késedelmének magyarázata, valamint 6. az okozott kár enyhítése vagy orvoslása érdekében hozott vagy meghozandó intézkedések ismertetése. Az általános adatvédelemről szóló törvényben követett megközelítés nagyrészt hasonló az (EU) 2016/679 rendelet 33. és 34. cikkében meghatározotthoz.

(74)

Az adatvédelmi hatóság további szabályokat fogadott el az adatbiztonsági incidensekre vonatkozóan, hogy tisztázza például az „incidens” meghatározását és az incidensről való értesítés határidejét (100).

(75)

A biztonsági incidensekről való értesítésről szóló rendelet 3. cikkének XII. pontja a következőképpen határozza meg a biztonsági incidenst: „a személyes adatok bizalmas jellegének, integritásának, rendelkezésre állásának és hitelességének megsértésével kapcsolatos megerősített nemkívánatos esemény”. Az általános adatvédelemről szóló törvény 48. cikke értelmében minden olyan adatvédelmi incidensről és biztonsági incidensről, amely kockázatot jelenthet az érintettek számára, minden esetben tájékoztatni kell az adatvédelmi hatóságot és az érintetteket. A biztonsági incidensekről való értesítésről szóló rendelet 5. cikke egyértelművé teszi, hogy egy biztonsági incidens kockázatot jelenthet az érintettek számára, ha az érdekeiket és alapvető jogaikat érintheti, és ha az alábbi típusú adatok legalább egyikét érinti: 1. különleges személyes adatok, 2. gyermekek, serdülők vagy idősek adatai, 3. pénzügyi adatok, 4. hitelesítési adatok a rendszerekben, 5. jogi, bírósági vagy szakmai titoktartás által védett adatok, vagy 6. nagy méretű adatbázisok. Emellett egy biztonsági incidens akkor minősül az érintettek alapvető érdekeit és jogait jelentősen érintőnek, ha: 1. megakadályozhatja a jogok gyakorlását vagy egy szolgáltatás igénybevételét, vagy 2. anyagi vagy erkölcsi károkat okozhat az érintetteknek, ilyen például a hátrányos megkülönböztetés, a testi épség megsértése, a képmáshoz és a jó hírnévhez való jog sérelme, a pénzügyi csalás vagy a személyazonosság-lopás (101).

(76)

Az adatvédelmi hatóságot és az érintetteket a biztonsági incidensről való tudomásszerzéstől számított három munkanapon belül kell értesíteni (102). A biztonsági incidensekről való értesítésről szóló kötelező erejű rendelet tisztázza az adatkezelők számára, hogy melyek azok az információk, amelyeket az adatvédelmi hatóság és az érintettek rendelkezésére kell bocsátani. Az érintettek értesítésének különösen a következőket kell tartalmaznia: 1. az érintett személyes adatok jellegének leírása és kategóriája, 2. az adatok védelme érdekében alkalmazott technikai és biztonsági intézkedések, 3. az incidenshez kapcsolódó kockázatok, azonosítva az érintettekre gyakorolt lehetséges hatásokat, 4. a késedelem okai, amennyiben nem került sor a közlésre 72 órán belül, 5. adott esetben az incidens hatásainak visszafordítása vagy enyhítése érdekében elfogadott vagy elfogadandó intézkedések, 6. a biztonsági incidens felfedezésének napja, és 7. az információszerzéséhez szükséges elérhetőségek, és adott esetben a felelős személy elérhetősége (103). Az adatkezelőknek az incidens érintettekkel való közlésekor „egyszerű és könnyen érthető nyelvezetet” kell használniuk (104). Az értesítésnek közvetlenül és egyénileg kell történnie, amennyiben az adott érintettek azonosíthatók (105).

(77)

Ezen túlmenően az adatvédelmi hatóság – amennyiben az érintettek jogainak védelme érdekében szükséges – értékelheti az incidens súlyosságát, és utasíthatja az adatkezelőt konkrét intézkedések elfogadására (106). Ezek közé tartozhat az esemény megfelelő médiacsatornákon keresztül történő nyilvánosságra hozatala, valamint javító vagy mérséklő intézkedések végrehajtása. Az adatkezelő nyilvántartást vezet az adatbiztonsági incidensekről (107).

(78)

Végezetül az általános adatvédelemről szóló törvény összekapcsolja a „bevált gyakorlatokra és (adat)kormányzásra” vonatkozó normáit az adatbiztonsági követelményekkel, többek között az adatkezelési kockázatok csökkentése érdekében (108). Ez magában foglalja a belső adatkormányzási programok elfogadásának előmozdítását a kockázatok értékelése és csökkentése érdekében (109).

(79)

Az érintetteket tájékoztatni kell személyes adataik kezelésének főbb jellemzőiről.

(80)

Az (EU) 2016/679 rendelet 12. cikkéhez hasonló megközelítést követve az általános adatvédelemről szóló törvény 6. cikkének VI. pontja kimondja, hogy az érintetteknek világos, pontos és könnyen hozzáférhető tájékoztatást kell kapniuk mind az adatfeldolgozás végzéséről, mind a megfelelő adatfeldolgozókról, „kereskedelmi és ipari titoktartás” mellett.

(81)

Az általános adatvédelemről szóló törvény 9. cikke meghatározza azon információk listáját, amelyeket az érintettek rendelkezésére kell bocsátani az adatfeldolgozással kapcsolatban, és amely a következőkre terjed ki: 1. az adatfeldolgozás konkrét célja, 2. az adatfeldolgozás típusa és időtartama, 3. az adatkezelő azonosítása, 4. az adatkezelő elérhetőségei, 5. az adatkezelő által végzett adatfeldolgozásra és annak céljára vonatkozó információk, 6. az adatfeldolgozást végző szervezetek felelőssége, valamint 7. az érintettek jogai, beleértve a jogok gyakorlására vonatkozó tájékoztatást is.

(82)

A 6. cikk VI. pontjában említett „kereskedelmi és ipari titoktartásra” vonatkozó korlátozást és az általános adatvédelemről szóló törvény egyéb rendelkezéseit Brazília információhoz való hozzáférésről szóló törvényének fényében kell értelmezni (110). Az információhoz való hozzáférésről szóló törvény főszabályként az állami szervek nyilvántartásaiban vagy dokumentumaiban szereplő információk nyilvánosságra hozatalát írja elő (111). Minden kivételt – azaz a dokumentumokhoz és információkhoz való hozzáférésre vonatkozó korlátozások előírását – meg kell indokolni, és jogszabályban kell előírni (112). A kereskedelmi és ipari titok e kivételek egyike, külön jogi rendelkezés biztosítja „a magánjog hatálya alá tartozó természetes vagy jogi személyek üzleti tevékenységére vonatkozó olyan információk védelmét, amelyeket más szervek vagy szervezetek a gazdasági tevékenység ellenőrzésére, szabályozására és felügyeletére irányuló tevékenység keretében szereznek, és amelyek nyilvánosságra hozatala versenyelőnyt jelenthet más gazdasági szereplők számára” (113). Az általános adatvédelemről szóló törvény „kereskedelmi és ipari titoktartásra” vonatkozó rendelkezéseit ezért úgy kell értelmezni, hogy az adatok kezelése és egyéb módon történő felfedése nem fedhet fel üzleti titkot, és nem teremthet versenyelőnyt más szereplők számára, a személyes adatok védelmére vonatkozó célkitűzések teljesítése mellett. Ez azt jelenti az átláthatóság elvére tekintettel, hogy az általános adatvédelemről szóló törvény teljes szövegében a „kereskedelmi és ipari titoktartás” korlátozása nem értelmezhető a jogszabályoknak való megfelelés megtagadásának általános jogalapjaként, hanem konkrét biztosítékokat kell bevezetni az információk közzétételekor ezeknek az érdekeknek a védelmére.

(83)

Az érintetteknek rendelkezniük kell bizonyos jogokkal, amelyek érvényesíthetők az adatkezelővel szemben, különös tekintettel az adatokhoz való hozzáférés jogára, az adatok helyesbíttetéséhez és töröltetéséhez való jogra, az adatkezelés elleni tiltakozás jogára, adathordozhatósághoz való jogra, valamint az automatizált adatfeldolgozással kapcsolatos jogokra. Ezek a jogok korlátozás alá eshetnek, amennyiben ezek a korlátozások szükségesek és arányosak a közbiztonság vagy más meghatározott általános közérdekű célok garantálása érdekében.

(84)

Az általános adatvédelemről szóló törvény III. fejezete az (EU) 2016/679 rendelet 15–22. cikkéhez hasonló módon állapítja meg az érintettek jogait. Minden jog gyakorlása ingyenes, és az érintetteket tájékoztatni kell a jogaikról (114). Az általános adatvédelemről szóló törvény 21. cikke értelmében az érintettek jogainak gyakorlására vonatkozó adatok nem használhatók fel az érintettek hátrányára. Az érintettek egyénileg vagy kollektíven bírósághoz fordulhatnak jogorvoslatért érdekeikkel és jogaikkal kapcsolatban (115).

(85)

Az adatkezelők „haladéktalanul” tájékoztatják az érintettek helyesbítésre, törlésre, anonimizálásra, korlátozásra és kifogásolásra irányuló kérelmeiről azokat az adatfeldolgozókat, akikkel az adatok megosztásra kerülhettek annak biztosítása érdekében, hogy e kérelmeknek valamennyi érintett fél eleget tudjon tenni (116).

(86)

Az általános adatvédelemről szóló törvény 9. cikke és 18. cikkének II. pontja értelmében az érintetteknek joguk van a tájékoztatáshoz és az adatokhoz való hozzáféréshez annak érdekében, hogy „bármikor” tájékoztatást kaphassanak adataik kezelésével kapcsolatban (117). Többek között: 1. az adatkezelő személyéről (III. pont), 2. az adatkezelő elérhetőségeiről (IV. pont), 3. az adatkezelés konkrét céljára vonatkozó információkról (I. pont), 4. az adatok lehetséges megosztására vonatkozó információkról (V. pont), 5. az adatfeldolgozás típusáról és időtartamáról (II. pont), 6. az érintettek jogainak létéről, beleértve az adatvédelmi hatóságnál történő panasztételhez való jogot, és 7. az adatfeldolgozók felelősségéről. Ezenkívül az általános adatvédelemről szóló törvény 10. cikkének (2) bekezdése kötelezi az adatkezelőt, hogy a jogos érdeken alapuló adatkezelés tekintetében átlátható legyen. Hasonlóképpen, a személyes adatok nemzetközi továbbításáról szóló rendelet 9. cikke előírja, hogy az érintetteket tájékoztatni kell a személyes adatok továbbítása esetén.

(87)

Az általános adatvédelemről szóló törvény 19. cikke tovább részletezi, hogy az érintettek milyen módon férhetnek hozzá személyes adataikhoz. Az érintett kérésére hozzáférést kell biztosítani a személyes adatokhoz: azonnal, „egyszerűsített formában”; vagy 15 napon belül egyértelmű és teljes körű nyilatkozat útján (118). Emellett az általános adatvédelemről szóló törvény 19. cikkének (1) bekezdése kimondja, hogy az adatkezelők a személyes adatokat olyan formátumban kell tárolják, amely megkönnyíti a hozzáférési jog gyakorlását. Az érintett választhat, hogy elektronikus formában vagy papíron kapja meg az adatait (119).

(88)

Az érintetteknek jogukban áll a hiányos, pontatlan vagy elavult adatok helyesbítését kérni az általános adatvédelemről szóló törvény 18. cikkének III. pontja értelmében (helyesbítéshez való jog).

(89)

Az általános adatvédelemről szóló törvény 18. cikkének IV. és VI. pontja feljogosítja az egyéneket arra, hogy kérjék adataik törlését: 1. ha az adatok szükségtelenek vagy mennyiségük túlzó, 2. az érintett hozzájárulásával kezelt bármely adat esetében, vagy 3. ha az adatokat jogellenesen kezelik. Továbbá az általános adatvédelemről szóló törvény „Az adatkezelés megszüntetése” című II. fejezetének IV. szakasza kimondja, hogy az adatkezelést meg kell szüntetni, ha az érintett tiltakozik az adatkezelés ellen, vagy visszavonja az adatkezeléshez való hozzájárulását (120). Következésképp az adatokat az adatkezelés megszüntetését követően törölni kell (121). Ezek a rendelkezések tehát együttesen értelmezve közvetetten kiterjesztik az általános adatvédelemről szóló törvény szerinti törléshez való jog hatályát.

(90)

Az egyéneknek joguk van ahhoz, hogy az általános adatvédelemről szóló törvénynek való meg nem felelés esetén a hozzájárulástól eltérő jogalap alapján tiltakozzanak az adatkezelés ellen (tiltakozáshoz való jog) (122). Ezenkívül az általános adatvédelemről szóló törvény 15. cikke és 18. cikkének IV. pontja értelmében az érintetteknek jogukban áll korlátozni az adatkezelést (az adatkezelés korlátozása). Erre a jogra különösen akkor lehet hivatkozni, ha a kezelt adatok szükségtelenek vagy túlzóak, vagy ha az adatokat az általános adatvédelemről szóló törvénynek nem megfelelő módon kezelik (123). Az általános adatvédelemről szóló törvény 15. cikkének II. pontja kimondja, hogy az adatok nem kezelhetők tovább az érintettnek az adatkezelőhöz intézett „közlése” alapján. Bár ez a rendelkezés a „közérdek” hatálya alá tartozik, tágan értelmezve széles alkalmazási kört biztosít a közvetett tiltakozáshoz való jognak, ami az (EU) 2016/679 rendeletben előírt tiltakozáshoz való joggal egyenértékű.

(91)

Az egyéneknek joguk van arra, hogy adataikról „teljes elektronikus másolatot” kérjenek annak érdekében, hogy azokat más szervezetek használhassák (adathordozhatósághoz való jog) (124). Hasonlóképpen, mint az Unióban, az érintettek csak akkor kérhetik ezt a másolatot, ha az adatokat hozzájárulás vagy szerződés alapján kezelték.

(92)

Bár az Unióban gyűjtött adatok automatizált feldolgozásán alapuló döntést jellemzően az adatkezelő hozza meg (aki közvetlen kapcsolatban áll az érintettel, és így közvetlenül az (EU) 2016/679 rendelet hatálya alá tartozik), érdemes megjegyezni, hogy az általános adatvédelemről szóló törvény az ilyen típusú adatkezelést az (EU) 2016/679 rendelet 22. cikkéhez hasonló módon szabályozza. Először is, az általános adatvédelemről szóló törvény 6. cikkének IX. pontja adatvédelmi elvként ismeri el a hátrányos megkülönböztetés tilalmának elvét, amely szerint tilos a jogellenes vagy visszaélésszerű hátrányos megkülönböztetés céljából történő adatkezelés. Ez az elv minden adatkezelésre alkalmazandó, és különösen fontos az automatizált adatkezelés összefüggésében. Ezt követően az általános adatvédelemről szóló törvény 20. cikke értelmében az érintett jogosult „az érdekeit érintő, kizárólag automatizált adatfeldolgozáson alapuló döntések felülvizsgálatát kérni, beleértve a személyes, szakmai, fogyasztói és hitelprofiljának vagy személyiségének meghatározására irányuló döntéseket is”. Az érintett kérelmére adott válasz során az adatkezelőnek egyértelmű tájékoztatást kell nyújtania „az automatizált döntéshez használt kritériumokról és eljárásról” (125). Abban az esetben, ha az ilyen információk „kereskedelmi és ipari titoktartás” miatt nem adhatók át az érintettnek, az adatvédelmi hatóság hatáskörrel rendelkezik arra, hogy ellenőrzést végezzen a személyes adatok automatizált feldolgozása során felmerülő megkülönböztető szempontok ellenőrzése céljából (126). Következésképpen az „kereskedelmi és ipari titoktartás” nem szolgálhat jogalapként az érintett kérelme teljesítésének megtagadására.

(93)

Az általános adatvédelemről szóló törvény 23. cikke kimondja, hogy külön jogszabályok alkalmazandók az érintettek jogainak gyakorlására vonatkozó eljárásra és határidőre, ha az adatkezelést hatóságok végzik (127). Például a brazil „habeas data” törvény szabályozza az egyének azon jogát, hogy hozzáférjenek a kormányzati vagy közigazgatási szervek nyilvántartásaiban vagy adatbázisaiban tárolt adatokra vonatkozó információkhoz (128). A brazil „habeas data” törvény különös rendelkezéseket állapít meg a hozzáférési jogra vonatkozóan, amelyet az egyén kérelmétől számított 10 napon belül biztosítani kell, valamint a helyesbítéshez való jogot, amelyet a kérelem benyújtásától számított 15 napon belül végre kell hajtani (129). Hasonlóképpen, Brazília szövetségi közigazgatási eljárásról szóló törvénye a közigazgatási eljárások keretében biztosítja az egyén tájékoztatáshoz és hozzáféréshez való jogát (130). Brazília információhoz való hozzáférésről szóló törvénye tájékoztatási és átláthatósági kötelezettségeket is előír a hatóságok, az állami vállalatok és Brazília három kormányzati ága (jogalkotó, végrehajtó és bírói ág) számára (131). E törvények rendelkezései megerősítik az általános adatvédelemről szóló törvényben meghatározott hozzáféréshez és tájékoztatáshoz való jogot a hatóságok általi adatkezelés tekintetében. Amennyiben ezek a jogszabályok nem rendelkeznek az általános adatvédelemről szóló törvényben meghatározott konkrét jogokról (pl. az automatizált döntéshozatalhoz kapcsolódó jogokról), az érintettek az általános adatvédelemről szóló törvényen keresztül gyakorolhatják ezeket a jogokat.

(94)

Az érintettek jogainak megsértését az adatvédelmi hatóság a releváns tényezőtől függően „közepes” vagy „súlyos” jogsértésként kezeli, és ezért az a legmagasabb szintű szankciókkal és bírságokkal sújtható. Fontos megjegyezni, hogy az adatvédelmi hatóság szankciókról szóló rendelete alapján önmagában az a tény, hogy az érintett jogai jogsértésben érintettek, azt jelenti, hogy az ilyen jogsértés nem tekinthető „enyhének” (132).

(95)

Az általános adatvédelemről szóló törvény alkalmazásának kezdete óta az adatvédelmi hatósághoz folyamatosan számos panasz és kérelem érkezik magánszemélyektől az adatvédelmi jogaikkal kapcsolatban (133). Ezek a számok 2024 júliusa óta jelentősen nőttek, mivel az adatvédelmi hatóság korszerűsített és könnyen használható platformot vezetett be a kérelmek és panaszok benyújtására (134). Azóta az adatvédelmi hatóság havonta mintegy 400 panaszt és 100 kérelmet kap magánszemélyektől (135).

(96)

Az Európai Unióból a brazíliai adatkezelőknek és adatfeldolgozóknak továbbított személyes adatok védelmi szintjét nem veszélyeztetheti az említett adatok Brazílián kívüli harmadik országokban található adatátvevők részére történő újbóli továbbítása.

(97)

Az ilyen „újbóli adattovábbítások” a brazíliai adatkezelő szempontjából a Brazíliából származó nemzetközi adattovábbításnak minősülnek.

(98)

Az általános adatvédelemről szóló törvény V. fejezete létrehozza a személyes adatok nemzetközi továbbításának keretét. E fejezet rendelkezéseit kiegészíti továbbá a személyes adatok nemzetközi továbbításáról szóló kötelező erejű rendelet, amelyet az adatvédelmi hatóság 2024 augusztusában fogadott el (136).

(99)

A személyes adatok nemzetközi továbbításáról szóló rendelet meghatározása szerint az „adattovábbítás”„olyan adatkezelési művelet, amelynek során az adatfeldolgozó egy másik adatfeldolgozónak személyes adatokat továbbít, oszt meg vele, vagy azokhoz hozzáférést biztosít neki”, a „nemzetközi adattovábbítás” pedig a „személyes adatok továbbítása olyan országba vagy olyan nemzetközi szervezet részére, amelynek az ország tagja” (137).

(100)

Az általános adatvédelemről szóló törvény és a személyes adatok nemzetközi továbbításáról szóló rendelet alapján a nemzetközi adattovábbításra vonatkozóan megállapított szabályok az általános adatvédelemről szóló törvény hatálya alá tartozó valamennyi adatkezelésre alkalmazandók. A személyes adatok nemzetközi továbbításáról szóló rendelet 7. cikke kifejezetten egyértelművé teszi, hogy az általános adatvédelemről szóló törvény nemzetközi adattovábbításra való alkalmazhatósága nem függ az adatkezeléshez használt technikai eszközöktől, az adatok földrajzi helyétől, illetve az adatkezelő vagy adatfeldolgozó fizikai jelenlététől (138). Az alkalmazhatóságot az adatkezelési tevékenység és Brazília közötti érdemi kapcsolat fennállása határozza meg.

(101)

A nemzetközi adattovábbítás „csak” az általános adatvédelemről szóló törvény 33. cikkében – (EU) 2016/679 rendelet 44–49. cikkéhez hasonlóan – meghatározott körülmények között engedélyezhető. Ezeket a körülményeket a személyes adatok nemzetközi továbbításáról szóló rendelet 9. cikke tovább részletezi.

(102)

Nemzetközi adattovábbításra akkor kerülhet sor, ha a következő három, kumulatív körülmény teljesül: először is, a nemzetközi adattovábbítás „csak jogszerű, konkrét és kifejezett célból történhet, az érintett tájékoztatásával, és az ilyen célokkal összeegyeztethetetlen további adatkezelésre nincs lehetőség” (139). Másodszor, a nemzetközi adattovábbításnak az általános adatvédelemről szóló törvény 7. cikkében (vagy különleges adatok esetében 11. cikkében) meghatározott érvényes jogalapra kell támaszkodnia (140). Harmadszor, „érvényes” adattovábbítási mechanizmust kell alkalmazni (141).

(103)

Az általános adatvédelemről szóló törvény 33. cikke több adattovábbítási mechanizmusról rendelkezik.

(104)

Először is harmadik ország vagy nemzetközi szervezet tekintetében megfelelőségi határozat fogadható el (33. cikk I. pont). Annak meghatározásakor, hogy egy harmadik ország vagy nemzetközi szervezet biztosítja-e a személyes adatok védelmének megfelelő szintjét, az adatvédelmi hatóság több olyan, az általános adatvédelemről szóló törvényben és a személyes adatok nemzetközi továbbításáról szóló rendeletben meghatározott kritériumot is figyelembe vesz (142), amelyek hasonlóak az uniós jog szerinti megfelelő kritériumhoz. Idetartozik: 1. a célországban hatályos vagy a nemzetközi szervezetre alkalmazandó általános és ágazati szabályozás, amely közvetlen hatással van a személyes adatok védelmére (143), 2. az adatok jellege (144), 3. annak a biztosítása, hogy a harmadik ország vagy a nemzetközi szervezet olyan szintű védelmet biztosítson a személyes adatok számára, és úgy garantálja az érintettek jogait, hogy az összhangban álljon az általános adatvédelemről szóló törvénnyel (145), 4. megfelelő technikai és szervezési intézkedések elfogadása az adatbiztonság biztosítása, valamint a magánéletre és más alapvető jogokra gyakorolt káros hatások kockázatának csökkentése érdekében (146), 5. az adatvédelmi jogokat garantáló bírósági és intézményi mechanizmusok megléte, különösen az adatvédelmi rendelkezések nyomon követéséhez és érvényesítéséhez szükséges hatáskörökkel és erőforrásokkal rendelkező független felügyeleti hatóság megléte révén (147), valamint 6. a nemzetközi adattovábbítás kontextusában releváns bármely egyéb sajátos körülmény (148).

(105)

A személyes adatok védelmi szintjének megfelelőségi határozattal összefüggésben történő értékelése céljából az adatvédelmi hatóság a következőket is felméri: 1. a konkrét megfelelőségi határozat által biztosított kockázatok és előnyök, figyelembe véve többek között az elvek garantálását, az érintett jogait és az általános adatvédelemről szóló törvényben előírt adatvédelmi rendszert, valamint 2. a határozat hatása a nemzetközi adatáramlásra, a diplomáciai kapcsolatokra, a nemzetközi kereskedelemre, valamint Brazília más országokkal és nemzetközi szervezetekkel folytatott nemzetközi együttműködésére (149). A megfelelőségi határozat értékelése és kiadása az adatvédelmi hatóság felelősségi körébe tartozik (150). Az adatvédelmi hatóság jelenleg csak az Európai Unióval dolgozik megfelelőségi határozaton.

(106)

Másodszor, a 33. cikk II. pontja úgy rendelkezik, hogy adattovábbításra akkor kerülhet sor, ha az adatkezelők biztosítják „az elveknek, az érintettek jogainak és az adatvédelmi rendszernek való megfelelésre vonatkozó garanciákat”, amelyeket az általános adatvédelemről szóló törvény is biztosít. Ez garantálható 1. egyedi szerződési feltételek révén (II. pont a) alpont), 2. általános szerződési feltételekkel (II. pont b) alpont), 3. kötelező erejű vállalati szabályokkal (II. pont c) alpont), vagy 4. jóváhagyott bélyegzők, tanúsítványok és magatartási kódexek útján (II. pont d) alpont).

(107)

Az adatkezelők támaszkodhatnak a nemzetközi adattovábbításra vonatkozó egyedi szerződéses rendelkezésekre, valamint az adatvédelmi hatóság által jóváhagyott általános szerződési feltételekre is (151). A személyes adatok nemzetközi továbbításáról szóló rendelet értelmében az adatvédelmi hatóság olyan minta-szerződésifeltételeket fogadott el, amelyek lefedik az összes vonatkozó adatvédelmi követelményt (azaz az érintettek jogait, a független ellenőrzést és felügyeletet, az adatbiztonsági intézkedéseket, az újbóli adattovábbításra vonatkozó biztosítékokat stb.) (152). Ezek a szakaszok olyan rendelkezéseket tartalmaznak, amelyeket a szerződő felek nem módosíthatnak (153). A szakaszok modulárisak, hogy igazodjanak a különböző adattovábbítási forgatókönyvekhez (pl. adatkezelő az adatfeldolgozóhoz, adatfeldolgozó az adatfeldolgozóhoz) (154).

(108)

Ami a kötelező erejű vállalati szabályokat illeti, az adatvédelmi hatóság a személyes adatok nemzetközi továbbításáról szóló rendelet VI. fejezetében pontosítja, hogy ez a mechanizmus hogyan alkalmazható, ahogy a kötelező erejű vállalati szabályok érvényességére vonatkozó követelményeket is. Az adatvédelmi hatóság emlékeztet különösen az eszköz „kötelező jellegére” a „vállalatcsoport vagy konglomerátum azon tagjaira” nézve, akik erre támaszkodnak, az érintettek jogaira és az azok gyakorlására vonatkozó követelményekre, az alkalmazandó kötelezettségi és felelősségi szabályokra (155), valamint minden olyan kötelező információra, amelyet a kötelező erejű vállalati szabályoknak tartalmazniuk kell (156). A kötelező erejű vállalati szabályok az adatvédelmi hatóság előzetes jóváhagyásának tárgyát képezik a személyes adatok nemzetközi továbbításáról szóló rendelet VIII. fejezetében meghatározott eljárás szerint, amely előírja a vállalatok számára, hogy nyújtsák be a teljes körű dokumentációt az adatvédelmi hatóságnak, és amely magában foglalja az adatvédelmi hatóság felülvizsgálati eljárását (157). A vállalatok kötelesek továbbá tájékoztatni az adatvédelmi hatóságot minden olyan kérdésről, amely befolyásolhatja az általános adatvédelemről szóló törvénynek való megfelelést, beleértve azt az esetet is, amikor a csoport tagjai külföldi kötelezettségek alanyává válnak (158). Az összes jóváhagyott kötelező erejű vállalati szabályt közzéteszik az adatvédelmi hatóság honlapján, a vállalatok pedig kötelesek átlátható módon tájékoztatást adni a végrehajtott nemzetközi adattovábbításról (159).

(109)

Az adatvédelmi hatóság tanúsító szervezeteket is kijelölhet az adattovábbításra vonatkozó bélyegzők, tanúsítások vagy magatartási kódexek kidolgozására (160). Az e tanúsító szervezetek által hozott döntéseket és az általuk végzett tevékenységeket az adatvédelmi hatóság felülvizsgálhatja, és az általános adatvédelemről szóló törvénynek való meg nem felelés esetén visszavonhatja (161).

(110)

Végezetül az általános adatvédelemről szóló törvény felsorolja azokat a „sajátos helyzeteket”, amelyek esetében nemzetközi adattovábbításra kerülhet sor: 1. az állami szervezetek közötti nemzetközi jogi együttműködéshez szükséges, a nemzetközi joggal összhangban, 2. az érintett vagy harmadik fél életének vagy testi épségének védelme érdekében szükséges, 3. az adatvédelmi hatóság engedélyezte, 4. nemzetközi együttműködés keretében tett kötelezettségvállaláshoz kapcsolódik, 5. valamely állami hatóság közpolitikájának vagy jogi kötelezettségének teljesítéséhez szükséges, 6. az érintettek hozzájárultak a konkrét adattovábbításhoz, az adatkezelés jellegére vonatkozó előzetes tájékoztatást követően, vagy 7. ha valamely szerződés teljesítésével kapcsolatos jogi vagy szabályozási kötelezettségnek való megfeleléshez szükséges, vagy bírósági, közigazgatási vagy választottbírósági eljárásokban való joggyakorláshoz szükséges (162). A személyes adatok nemzetközi továbbításáról szóló rendeletben foglaltak alapján nemzetközi adattovábbításra csak akkor kerülhet sor e forgatókönyvek szerint, ha „az adott eset sajátosságai és az alkalmazandó jogi követelmények teljesülnek” (163).

(111)

Ami azt a sajátos helyzetet illeti, amikor az adattovábbítás az érintettek hozzájárulása alapján történik, az megköveteli, hogy 1. teljesüljenek az érvényes hozzájárulás megszerzésének formai feltételei (azaz konkrétnak, önkéntesnek, kifejezettnek és tájékoztatáson alapulónak kell lennie), 2. az érintetteket az adattovábbítás előtt tájékoztassák az adattovábbítás jellegéről (pl. a tervezett továbbítás joghatóságáról és az általa biztosított védelem szintjéről, a megfelelőségi határozat vagy más adattovábbítási mechanizmusok hiányára vonatkozó információkról, az adattovábbítások időtartamára vonatkozó információkról), és 3. hozzájárulást szerezzenek minden egyes adattovábbításhoz, kifejezetten és minden más adatkezeléstől elkülönítve. A (46) preambulumbekezdésben említettek szerint a hallgatólagos beleegyezés nem tekinthető érvényes hozzájárulásnak, és az érintetteknek jogukban áll bármikor visszavonni hozzájárulásukat.

(112)

A személyes adatok nemzetközi továbbításáról szóló rendelet számos feltétel alapján szigorúan meghatározza mindezen mechanizmusok használatát. Ez magában foglalja különösen, hogy az érintett világos, pontos és könnyen hozzáférhető tájékoztatást kap az adattovábbításról, valamint annak biztosítását és igazolását, hogy a nemzetközi adattovábbításra oly módon kerül sor, amely biztosítja az elveknek és az érintett jogainak való megfelelést, és nem változtatja meg az általános adatvédelemről szóló törvény által biztosított védelem szintjét, „függetlenül attól, hogy a továbbítás tárgyát képező személyes adatok melyik országban találhatók, még az adatkezelés befejezését követően és az újbóli adattovábbítások esetében is” (164). Ezek a követelmények a védelem folytonosságának biztosítása érdekében akkor is alkalmazandók, ha az adattovábbítások „sajátos helyzeten” alapszanak, függetlenül a nemzetközi adattovábbításhoz használt eszköztől.

(113)

Az e határozat (96)–(112) preambulumbekezdésben foglalt szabályok tehát biztosítják a védelem folytonosságát a személyes adatoknak a Brazíliából történő, az (EU) 2016/679 rendeletben foglaltakkal lényegében azonos módon történő továbbításakor.

(114)

Az elszámoltathatóság elve értelmében az adatkezelőknek megfelelő technikai és szervezeti intézkedéseket kell hozniuk, hogy hatékonyan feleljenek meg adatvédelmi kötelezettségeiknek, és hogy bizonyítani tudják ezt a megfelelést, különösen az illetékes felügyeleti hatóság felé.

(115)

Az általános adatvédelemről szóló törvény 6. cikkének IX. pontja rögzíti az elszámoltathatóság elvét, amely szerint az adatkezelőnek és az adatfeldolgozónak olyan intézkedéseket kell elfogadnia, amelyek „hatékonyak és alkalmasak” az általános adatvédelemről szóló törvénynek való megfelelés igazolására.

(116)

Az elszámoltathatóság biztosításának eszközeként az általános adatvédelemről szóló törvény 50. cikke úgy rendelkezik, hogy az adatkezelők és adatfeldolgozók belső szabályokat és irányítási modelleket fogadhatnak el, különösen az érintettek panaszainak és kérelmeinek kezelésével kapcsolatos bevált gyakorlatok biztosítása, a biztonsági kötelezettségek és az általános adatvédelemről szóló törvény szerinti minden egyéb kötelezettség („bevált gyakorlatok és irányítás”) betartása érdekében. Ezeknek a programoknak magukban kell foglalniuk az oktatási célú tevékenységekre, a belső felügyeleti mechanizmusra és a kockázatcsökkentésre vonatkozó terveket is.

(117)

Az általános adatvédelemről szóló törvény előírja továbbá, hogy adatvédelmi tisztviselőt kell kinevezni, aki jelentős szerepet játszik e belső programok kialakításában és végrehajtásában. Az 5. cikk VIII. pontja értelmében az adatvédelmi tisztviselő az adatkezelő, az érintettek és az adatvédelmi hatóság közötti kapcsolatként szolgál. Az általános adatvédelemről szóló törvény 41. cikke kötelezi az adatkezelőket, hogy adatvédelmi tisztviselőt nevezzenek ki, és nyilvánosságra hozzák a személyazonosságát.

(118)

Az általános adatvédelemről szóló törvény felhatalmazta az adatvédelmi hatóságot, hogy mentességet vezessen be az adatkezelők és adatfeldolgozók adatvédelmi tisztviselő kinevezésére vonatkozó kötelezettsége alól (165). Az általános adatvédelemről szóló törvény kis- és középvállalkozásokra való alkalmazásáról szóló rendeletében az adatvédelmi hatóság megállapította, hogy egyes kisvállalatok, kkv-k, induló innovatív vállalkozások és nonprofit szervezetek e mentesség hatálya alá tartozhatnak (166). A mentesség hatálya konkrétan a következő szervezetekre terjed ki: „mikrovállalkozások, kisvállalkozások, induló innovatív vállalkozások, a magánjog hatálya alá tartozó jogi személyek, beleértve a nonprofit szervezeteket is, a hatályos jogszabályokkal összhangban, valamint a személyes adatokat kezelő természetes személyek és jogi személyiséggel nem rendelkező magánjogi szervezetek” (167). A brazil jog szerint a mikrovállalkozások (168), kisvállalkozások (169) vagy induló innovatív vállalkozások (170) olyan vállalatok, amelyek egyetlen vagy alacsony számú alkalmazottat foglalkoztatnak (171), és amelyek egy bizonyos éves bruttó bevétel alá esnek (172).

(119)

Az adatvédelmi tisztviselő kinevezésére vonatkozó mentesség – mérettől vagy bevételtől függetlenül – nem vonatkozik ezek közül egyik olyan vállalatra és szervezetre sem, amely a személyes adatok „magas kockázatú” kezelését végzi (173). Az adatkezelés akkor minősül magas kockázatúnak, ha – együttesen – az alábbi általános jellemzők legalább egyikének megfelel: 1. személyes adatok nagy volumenű kezelése, és 2. olyan adatkezelés, amely jelentős hatással lehet az érintettek alapvető jogaira és érdekeire, és e sajátos jellemzők közül legalább egynek megfelel: 1. kialakulóban lévő vagy innovatív technológia alkalmazása, 2. a nyilvánosság számára hozzáférhető területek megfigyelése vagy ellenőrzése, 3. kizárólag automatizált döntéshozatali folyamatok, és 4. különleges adatok vagy gyermekekre vagy idősekre vonatkozó adatok kezelése (174). A „nagy volumenű” személyesadat-kezelés olyan adatkezelés, amely „jelentős számú érintettet érint, figyelembe véve az érintett adatok mennyiségét, valamint az elvégzett adatkezelés időtartamát, gyakoriságát és földrajzi kiterjedését is” (175). Az „adatkezelés, amely jelentős hatással lehet az érintettek alapvető jogaira és érdekeire” meghatározása „többek között azokat a helyzeteket foglalja magában, amikor az adatkezelés akadályozhatja a jogok gyakorlását vagy egy szolgáltatás igénybevételét, valamint anyagi vagy erkölcsi kárt okozhat az érintetteknek például hátrányos megkülönböztetés, a testi épség, valamint a képmáshoz és a jó hírnévhez való jog megsértése, pénzügyi csalás vagy személyazonosság-lopás formájában” (176).

(120)

Az adatvédelmi hatóság kötelező erejű rendeletet fogadott el az adatvédelmi tisztviselő szerepéről, amely tovább pontosítja annak feladatait (177). Ebben a rendeletben az adatvédelmi hatóság emlékeztet a magánjogi szervezetek és a hatóságok azon kötelezettségére, hogy közzétegyék az adatvédelmi tisztviselőjük személyazonosságára vonatkozó információkat (178). Az adatvédelmi tisztviselőről szóló rendelet 10. cikke emlékeztet többek között az adatkezelők és adatfeldolgozók azon kötelezettségére, hogy biztosítsák, hogy az adatvédelmi tisztviselő feladatait függetlenül, „különösen a személyes adatok védelmével kapcsolatban alkalmazandó gyakorlatokra vonatkozó iránymutatás nyújtása során indokolatlan beavatkozástól mentesen” végezhesse, valamint hogy az adatvédelmi tisztviselő közvetlen hozzáférést kapjon a legmagasabb vezetői szinthez és a szervezeten belüli adatkezelésre vonatkozó stratégiai döntésekben részt vevő valamennyi munkavállalóhoz. Hasonlóképpen, az adatvédelmi tisztviselő „etikusan, feddhetetlenül és szakértői függetlenséggel” látja el kötelezettségeit és feladatait, „elkerülve az összeférhetetlennek minősülő helyzeteket” (179).

(121)

Az adatvédelmi tisztviselő szerepe az adatvédelmi hatóság végrehajtási intézkedéseinek egyik prioritása volt. Az adatvédelmi hatóság legelső szankciói például egy olyan vállalatra vonatkoztak, amelyre bírságot szabtak ki, és amely külön figyelmeztetést kapott, amiért nem bizonyította, hogy adatvédelmi tisztviselőt nevezett ki (180). A szervezet úgy döntött, hogy adatvédelmi tisztviselőt nevez ki a közigazgatási eljárás során az adatvédelmi hatóság végzésének teljesítése érdekében. Az adatvédelmi hatóság továbbra is szankciókat szab ki közjogi és magánjogi szervezetekre az adatvédelmi tisztviselőkre vonatkozó, az általános adatvédelemről szóló törvényben megállapított rendelkezésekkel összefüggésben (181).

(122)

Az adatvédelmi hatásvizsgálat az elszámoltathatóság biztosításának másik fontos eszköze. Az adatvédelmi hatásvizsgálat lehetővé teszi az adatkezelés hatásának értékelését és meghatározását. Az általános adatvédelemről szóló törvény 38. cikke szerint az adatvédelmi hatóság felkérheti az adatkezelőt vagy az adatfeldolgozót adatvédelmi hatásvizsgálat végzésére (182), amelynek tartalmaznia kell a személyes adatok kezelése típusának leírását, valamint a kockázatcsökkentő intézkedéseket, biztosítékokat és mechanizmusokat. Emellett az általános adatvédelemről szóló törvény II. szakasza az elszámoltathatóságra vonatkozó rendelkezéseket állapít meg, amelyek felhatalmazzák az adatvédelmi hatóságot, hogy adatvédelmi hatásvizsgálat közzétételét kérje, vagy a személyes adatok hatóságok általi védelmére vonatkozó „bevált gyakorlatok” elfogadását ajánlja (183).

(123)

Az e határozat (114)–(122) preambulumbekezdésében ismertetett elszámoltathatósági követelmények és gyakorlatok fényében a brazil keret az (EU) 2016/679 rendelet 4. fejezetének 3. és 4. szakaszában előírt intézkedésekhez hasonló módon hajtja végre az elszámoltathatóság elvét, többek között azáltal, hogy különböző mechanizmusokat ír elő az általános adatvédelemről szóló törvénynek való megfelelés biztosítására és igazolására.

(124)

Az adatvédelem megfelelő szintjének gyakorlati biztosítása érdekében létre kell hozni egy független felügyeleti hatóságot, amely hatáskörrel rendelkezik az adatvédelmi szabályoknak való megfelelés nyomon követésére és kikényszerítésére. Ennek a hatóságnak feladatai ellátása és hatásköre gyakorlása során teljes egészében függetlenül és pártatlanul kell eljárnia.

(125)

Brazíliában az általános adatvédelemről szóló törvény nyomon követéséért és végrehajtásáért felelős független felügyeleti hatóság az Agência Nacional de Proteção de Dados – az adatvédelmi hatóság.

(126)

Az adatvédelmi hatóságot az általános adatvédelemről szóló törvény 55-A. cikke hozta létre, és először egy ideiglenes rendelet, majd 2022-ben törvény útján vált független szervvé (184). Az adatvédelmi hatóság jellegét átalakító törvény elfogadása magában foglalta az általános adatvédelemről szóló törvény azon módosításait, amelyek hatályon kívül helyezték azokat a rendelkezéseket, amelyek az adatvédelmi hatóság működését és pénzügyi műveleteit Brazília költségvetési törvénye alapján a végrehajtó hatalom által megadandó engedélyeknek rendelték alá (185). Az általános adatvédelemről szóló törvény módosított rendelkezése elismeri, hogy az adatvédelmi hatóság „szakmai és döntéshozatali autonómiával, valamint saját eszközökkel rendelkező különleges hatóság székhellyel a szövetségi körzetben” (186).

(127)

Az adatvédelmi hatóság mint „sajátos jellegű hatóság” autonómiával rendelkezik, hogy teljes mértékben elláthassa az általános adatvédelemről szóló törvény által meghatározott jogi feladatait és hatásköreit, beleértve az ügynökség igazgatási irányítását is (187). Ez magában foglalja a kiadások és a munkaerő-felvétel irányításával kapcsolatos autonómiát is (188). Az adatvédelmi hatóságot először „hatóságként” hozták létre, majd 2025 szeptemberében „ügynökséggé” vált, ezáltal összhangba hozva a nevét Brazília többi 11, ilyen magas szintű függetlenséget élvező szabályozó szervével (pl. a Nemzeti Villamosenergia-ügynökséggel, a Nemzeti Telekommunikációs Ügynökséggel stb.) (189).

(128)

Az adatvédelmi hatóság forrásai nagyrészt a brazil szövetségi állam általános költségvetéséből származnak. Emellett az adatvédelmi hatóság költségvetése adományokat, támogatásokat vagy más, az általános adatvédelemről szóló törvény 55-L. cikkében meghatározott hiteleket is tartalmazhat. 2021-es létrehozása óta az adatvédelmi hatóság exponenciálisan növekszik. Az adatvédelmi hatóság éves jelentései azt mutatják, hogy a hatóságnak mindössze négy évi fennállás után 2023 végén 141 alkalmazottja/köztisztviselője volt (190). Az adatvédelmi hatóság 2025. évi éves költségvetése 18 000 000 BRL (191). 2025 szeptemberében Brazíliában bejelentették egy új, 200 álláshellyel rendelkező közszolgálati karrierút létrehozását az „adatvédelem” területén, az adatvédelmi hatóság személyzetének az elkövetkező években történő növelése részeként (192).

(129)

Az adatvédelmi hatóság az igazgatótanácsból (amely a legfőbb irányító testület), a személyes adatok és a magánélet védelmével foglalkozó nemzeti tanácsból (amely tanácsadói hatáskörrel rendelkezik), valamint számos igazgatási hivatalból és egységből áll (193). Ezt a struktúrát az általános adatvédelemről szóló törvény 55-C. cikke határozza meg, és két, 2020-ban, illetve 2023-ban elfogadott rendelet részletezi (194).

(130)

Az igazgatótanács öt igazgatóból áll, beleértve a hatóság elnökét is. Az adatvédelmi hatóság igazgatótanácsának minden tagját a szövetségi szenátus jóváhagyását követően Brazília köztársasági elnöke nevezi ki öt évre (195).

(131)

Az igazgatóknak brazil állampolgárnak kell lenniük, és a pozíció szempontjából releváns magas szintű végzettséggel kell rendelkezniük (196). A függetlenség biztosítása érdekében minden igazgatónak tartózkodnia kell többek között minden profitorientált üzleti tevékenységtől, politikai tevékenységtől, valamint attól, hogy bármely vállalatnál vezetői vagy tanácsadói tisztséget töltsön be (197). Ezenkívül a szövetségi közigazgatásban a vezető beosztások betöltését szabályozó brazil törvény kimondja, hogy az adatvédelmi hatóság igazgatóinak feladataival egyenértékű feladatokat ellátó személyek – egyéb korlátozások mellett – nem folytathatnak a feladataikkal összeegyeztethetetlen tevékenységeket (198). Ez magában foglalja a magánérdekek tanácsadójaként vagy közvetítőjeként való eljárást (még informálisan is), vagy az adatvédelmi hatóság felügyelete vagy szabályozása alá tartozó szervezeteknek nyújtott szolgáltatásokat, akár alkalmi jelleggel is. Ezenkívül az igazgatók az adatvédelmi hatóságban betöltött megbízatásuk vagy hivatali idejük lejárta után hat hónapig nem láthatnak el olyan feladatokat, amelyek az összeférhetetlenség kockázatával járhatnak (199).

(132)

Az igazgatókat csak az általános adatvédelemről szóló törvény 55-E. cikkében meghatározott különleges körülmények között lehet felmenteni, nevezetesen „lemondás, jogerős és fellebbezéssel meg nem támadható, bűnösséget megállapító ítélet vagy hivatalvesztés közigazgatási fegyelmi eljárás következtében”. A közhivatalról szóló szövetségi törvény megállapítja, hogy az ilyen büntetésnek indokoltnak kell lennie, és csak bizonyított konkrét bűncselekmények (azaz súlyos kötelességszegés, korrupció, közpénzek szabálytalan felhasználása) esetén indítványozható (200). Ezek a szabályok és eljárások intézményi védelmet biztosítanak az adatvédelmi hatóság igazgatói számára feladataik ellátása során. A mai napig az adatvédelmi hatóság egy igazgatóját sem mentették fel, és egyikük sem állt fegyelmi eljárás alatt. Az adatvédelmi hatóság igazgatótanácsa működik, és a 2023-as brazíliai kormányváltás során is változatlan maradt.

(133)

Az adatvédelmi hatóság feladatait és hatásköreit az általános adatvédelemről szóló törvény 55-J. cikke részletezi. Ezek közé tartozik különösen az adatvédelmi szakpolitikák és iránymutatások kidolgozása, az érintettek személyes adataik feletti ellenőrzését megkönnyítő normák elfogadásának előmozdítása, az egyéni jogok megsértésének kivizsgálása, a panaszok kezelése, az általános adatvédelemről szóló törvénynek való megfelelés érvényesítése és szankciók kiszabása, az adatvédelem előmozdításának és az adatvédelmi oktatásnak a biztosítása, valamint a harmadik országok adatvédelmi hatóságaival való információcsere és együttműködés (201).

(134)

Az adatvédelmi hatóság az általános adatvédelemről szóló törvény 58-A. cikkével létrehozott, a személyes adatok és a magánélet védelmével foglalkozó nemzeti tanács által alkotott tanácsadó szervvel rendelkezik. Ez a testület a végrehajtó hatalom, a törvényhozás és az igazságszolgáltatás, valamint a civil társadalom, a szakszervezetek és az üzleti szféra képviselőiből áll (202). Kizárólag tanácsadói szerepet tölt be: tanulmányokat vagy éves jelentéseket készít az adatvédelemről, nyilvános vitákat és meghallgatásokat tart a személyes adatok és a magánélet védelméről, nem kötelező erejű ajánlásokat tesz az adatvédelmi hatóságnak, valamint terjeszti a személyes adatok és a magánélet védelmével kapcsolatos ismereteket (203). Az adatvédelmi hatóság és a nemzeti tanács közötti együttműködés középpontjában az adatvédelem és a magánélet védelmének előmozdítása áll Brazíliában. A nemzeti tanács nem rendelkezik hatáskörrel az általános adatvédelemről szóló törvény nyomon követésével és végrehajtásával kapcsolatban, mivel csak az adatvédelmi hatóság rendelkezik hatáskörrel a törvény végrehajtásának felügyeletére és érvényesítésére, például rendeletek kibocsátásával, vizsgálatok lefolytatásával és szankciók alkalmazásával. Független hatóságként az adatvédelmi hatóságnak nem kell követnie a nemzeti tanács által jelentései vagy nem kötelező erejű ajánlásai útján előterjesztett javaslatokat.

(135)

A megfelelés biztosítása érdekében a jogalkotó vizsgálati és végrehajtási hatásköröket is biztosított az adatvédelmi hatóság számára, a figyelmeztetésektől a közigazgatási bírságokig terjedően.

(136)

Ami a vizsgálati hatásköröket illeti, amennyiben felmerül az általános adatvédelemről szóló törvény megsértésének gyanúja, vagy erről bejelentés érkezik, vagy ha az érintett megsértett/a jövőben valószínűleg megsértésre kerülő jogainak védelme érdekében szükséges, az adatvédelmi hatóság bármikor ellenőrzéseket és helyszíni vizsgálatokat végezhet a köz- és a magánszektor adatkezelőinél, és bekérheti a szükséges információkat (204). Az adatvédelmi hatóság szankcionálási hatásköréről szóló kötelező erejű rendelet kimondja, hogy az adatkezelők és adatfeldolgozók kötelesek lehetővé tenni az adatvédelmi hatóság számára „a személyesadat-kezelési tevékenységek szempontjából releváns birtokukban lévő vagy harmadik felek birtokában lévő irodákhoz/épületekhez, berendezésekhez, kérelmekhez, létesítményekhez, rendszerekhez, eszközökhöz és technológiai erőforrásokhoz, műszaki, működési és egyéb jellegű dokumentumokhoz, adatokhoz és információkhoz való hozzáférést” (205).

(137)

Korrekciós hatáskörének részeként az adatvédelmi hatóság figyelmeztetéseket, bírságokat vagy egyéb szankciókat, például az adatkezelés ideiglenes leállítására vagy a személyes adatok törlésére vonatkozó végzéseket szabhat ki (206). Ezek a szankciók közjogi vagy magánjogi jogalanyokkal szemben szabhatók ki, kivéve pénzbírságokat és napi bírságokat, amelyek közigazgatási szervekre nem szabhatók ki (207). Egy szervezet megfelelésének biztosítása érdekében több halmozott szankció is alkalmazható. Az adatvédelmi hatóság a figyelmeztetésben meghatározott határidőt biztosíthat az adatkezelőnek arra, hogy korrekciós intézkedéseket fogadjon el annak érdekében, hogy az adatkezelés megfeleljen az általános adatvédelemről szóló törvénynek (208). Ennek elmulasztása további szankciókhoz vezet. Az adatvédelmi hatóság például számos figyelmeztetést adott ki az Egészségügyi Minisztériumnak többek között az adatvédelmi hatásvizsgálat benyújtásának és az adatvédelmi incidens bejelentésének elmulasztása miatt (209). Az adatvédelmi hatóság az érintettek jogainak védelme vagy az általános adatvédelemről szóló törvénynek való megfelelés biztosítása érdekében több szankciót is kiszabhat. Az adatvédelmi hatóság például az általános adatvédelemről szóló törvény megsértése miatt közigazgatási bírságot szabhat ki az e jogsértéshez kapcsolódó adatok törlésére vonatkozó végzéssel együtt (210). Az adatvédelmi hatóság nem pénzbeli szankciók esetén úgy is határozhat, hogy „napi bírságot” szab ki „amennyiben ez (az általános adatvédelemről szóló törvénynek való) határidőn belüli megfelelés biztosításához szükséges” (211). A napi bírságot a bírság kiszabása és a kötelezettség teljesítése között eltelt idő figyelembevételével összesítve, legfeljebb 50 000 000 BRL összegig kell alkalmazni (212).

(138)

Az általános adatvédelemről szóló törvény 52. cikkének II. pontja értelmében az adatvédelmi hatóság a napi bírságok mellett közigazgatási bírságokat szabhat ki a szervezet brazíliai bevételének legfeljebb 2 %-áig, legfeljebb 50 000 000 BRL összegig (213). Több jogsértés esetén a pénzbírságok halmozhatók. Az adatvédelmi hatóság – néhány hónappal a szankciókról szóló rendelet elfogadását követően – kiszabta az első pénzbírságait egy telekommunikációs vállalattal szemben, amely nem jelölte meg az adatkezelés jogalapját, és nem nevezett ki adatvédelmi tisztviselőt. A vállalat figyelmeztetést és két bírságot kapott összesen 14 400 BRL összegben (214). A szankciókról szóló kötelező erejű rendeletben az adatvédelmi hatóság a szankciókat három súlyossági szintre osztotta: enyhe, közepes és súlyos (215), a megállapított tényezőktől függően, mint például a kezelt adatok típusa és mennyisége, az adatkezelés típusa vagy az érintett jogaira gyakorolt hatása. Például a különleges személyes adatok kezelésével kapcsolatos jogsértésekre az adatvédelmi hatóság által kiszabható legmagasabb szintű szankciók vonatkoznak (216).

(139)

A szankciókról szóló rendelet rendelkezik a bírságok kiszámításának módszertanáról, beleértve a súlyosbító és/vagy enyhítő tényezők figyelembevételét is (217). A bírság például ismételt konkrét jogsértések esetén 10 %-kal, vagy minden egyes olyan korrekciós intézkedés esetében, amelyet egy meghatározott határidőn belül nem teljesítettek, akár 90 %-kal növelhető (218). Hasonlóképpen, a bírság 50 %-kal csökkenthető, ha a jogsértést közvetlenül a közigazgatási eljárás adatvédelmi hatóság általi megindítását követően orvosolják (219).

(140)

A brazil rendszer tehát különböző típusú szankciókat ötvöz a korrekciós intézkedésektől és a közigazgatási bírságoktól kezdve. Az adatvédelmi hatóság közvetlenül azután, hogy szankciós hatáskörei hatályba léptek, megkezdte azok gyakorlását (220). A mai napig mind a hatóságokkal – a biztonság területén is –, mind a magánszereplőkkel szemben adott ki szankciókat és ajánlásokat (221). Az adatvédelmi hatóság által eddig kiszabott szankciók számos kérdést érintenek, többek között az adatvédelmi tisztviselő kinevezésének hiányát, a biztonsági incidenseket, beleértve az adatvédelmi incidenseket, vagy az adatvédelmi hatósággal való együttműködés hiányát. A pénzbírságok kiszabása mellett az adatvédelmi hatóság különösen aktívan él korrekciós hatásköreinek teljes körével, például azzal, hogy utasítást adjon az adatkezelőknek az adatvédelmi hatásvizsgálat elvégzésére vagy a személyes adatok kezelésének leállítására. 2024 júliusában például az adatvédelmi hatóság határozatot bocsátott ki egy nagy közösségimédia-platformnak, hogy valamennyi termékében függessze fel a személyes adatoknak a generatív mesterségesintelligencia-rendszerek betanítása céljából történő kezelését (222). Ezzel a megelőző intézkedéssel együtt, amelynek célja az érintettek alapvető jogainak védelme volt, az adatvédelmi hatóság 50 000 BRL összegű napi bírságot szabott ki mindaddig, amíg az adatkezelést összhangba nem hozták az általános adatvédelemről szóló törvénnyel (223). Végezetül az adatvédelmi hatóság bejelentette, hogy vizsgálatot indít több nagy multinacionális technológiai platform, közösségimédia-vállalat és egy bank ellen, miközben folytatja a közszféra szervezeteivel szembeni vizsgálatokat (224). Az adatvédelmi hatóság néhány éves fennállása alatt a végrehajtás terén komoly eredményeket mutatott fel, végrehajtási hatáskörének teljes skáláját kihasználta.

(141)

Végezetül az általános adatvédelemről szóló törvényben megállapított közigazgatási szankciók nem helyettesítik az egyéb közigazgatási vagy polgári és büntetőjogi szankciók alkalmazását, beleértve a brazil fogyasztóvédelmi törvényben (225) és az internet polgári jogi keretrendszeréről szóló törvényben (226) meghatározott szankciókat. A brazil fogyasztóvédelmi törvény előírja a vállalkozások számára, hogy tájékoztassák a fogyasztókat vállalkozásukról és tevékenységeikről (227). A fogyasztóvédelmi törvény 56. cikke továbbá felsorolja azokat a szankciókat, amelyekkel a vállalkozások a meg nem felelés esetén szembesülnek, ezek a bírságoktól a termék értékesítésének vagy előállításának tilalmáig vagy a szolgáltatás felfüggesztésére vonatkozó kötelezettségig terjednek. Ezenkívül a fogyasztóvédelmi törvény 61–74. cikke felsorolja azokat a bűncselekményeket, amelyek miatt a vállalkozások hat hónaptól két évig terjedő börtönbüntetéssel szembesülhetnek, ideértve a szolgáltatással vagy a szolgáltatás népszerűsítésével kapcsolatos olyan hamis vagy félrevezető állítások esetét is, amelyek kárt okozhatnak a fogyasztónak. 2014-ben például Brazília fogyasztóvédelmi hivatala 3 500 000 BRL összegű bírságot szabott ki egy távközlési vállalatra a fogyasztóvédelmi törvény és az internet polgári jogi keretrendszeréről szóló törvény megsértése miatt az online viselkedésalapú reklámokhoz használt nyomon követéssel és a böngészési adatok értékesítésével kapcsolatban (228).

(142)

A fentiekből következik, hogy a brazil rendszer biztosítja adatvédelmi szabályainak hatékony gyakorlati érvényesítését.

(143)

A megfelelő védelem, és különösen a személyhez fűződő jogok érvényesítésének biztosítása érdekében az érintettnek hatékony közigazgatási és bírósági jogorvoslatot kell biztosítani, beleértve a kártérítést.

(144)

A brazil rendszer különböző mechanizmusokat biztosít az egyének számára jogaik hatékony érvényesítéséhez és a jogorvoslathoz.

(145)

Első lépésként azok az egyének, akik úgy vélik, hogy adatvédelmi jogaikat vagy érdekeiket megsértették, vagy gyakorolni kívánják az adatvédelmi jogaikat, a releváns adatkezelőhöz fordulhatnak. Az általános adatvédelemről szóló törvény 9. cikke szerint az adatkezelőnek többek között meg kell adnia elérhetőségi adatait, hogy lehetővé tegye az érintettek kérelmeinek és „beadványainak” benyújtását (229).

(146)

Emellett az általános adatvédelemről szóló törvény és a brazil jogrendszer értelmében számos jogorvoslati lehetőség áll nyitva azon egyének előtt, akik úgy vélik, hogy az adatkezelő vagy a személyes adatok feldolgozója megsértette adatvédelmi jogaikat vagy érdekeiket.

(147)

Először is bármely személy, aki úgy véli, hogy az adatkezelő vagy az adatfeldolgozó megsértette adatvédelmi jogait vagy érdekeit, panaszt nyújthat be az adatvédelmi hatósághoz, vagy bejelentheti ezt a jogsértést (230). Az adatvédelmi hatóság külön oldallal rendelkezik a honlapján, amely lehetővé teszi az érintettek számára, hogy panaszt nyújtsanak be az általános adatvédelemről szóló törvény megsértése esetén, vagy petíciót nyújtsanak be az adatkezelőhöz intézett, adatvédelmi jogaikkal kapcsolatos kérelemmel összefüggésben (231). Amint azt e határozat (138) preambulumbekezdése kifejti, az adatvédelmi hatóság a panaszra válaszul az általános adatvédelemről szóló törvény 52. cikkében részletezett szankciót szabhat ki. Az adatvédelmi hatóság szankcionálási hatásköréről szóló rendelet létrehozta az adatvédelmi hatóság eljárásainak közigazgatási eljárását, beleértve a határidőket, a meghallgatáshoz való jogra vonatkozó eljárásokat és a határozat közzétételét (232).

(148)

Az adatvédelmi hatóság határozatait az érintettek a határozatok kézhezvételétől számított 10 napon belül megtámadhatják az adatvédelmi hatóság igazgatótanácsához benyújtott fellebbezéssel (233). A magánszemélyek a hatékony jogorvoslathoz való joguk részeként fellebbezhetnek is az igazgatótanács határozatai ellen a bíróságon, valamint visszkeresetet nyújthatnak be az adatvédelmi hatósággal szemben az általános adatvédelemről szóló törvény szerinti kötelezettségei teljesítésének elmulasztása miatt (ideértve a panasz elbírálásának megtagadását vagy a panasz érdemi elutasítását is) (234).

(149)

Másodszor, az adatvédelmi hatóság ösztönözheti az érintettek és az adatkezelők közötti „közvetlen egyeztetést” (közvetítést) a problémamegoldás és az „adatkezelő általi kártérítés” előtérbe helyezése érdekében (235). Ezek a folyamatok nem akadályozzák meg az érintetteket abban, hogy panaszt nyújtsanak be vagy más jogorvoslati lehetőségekhez férjenek hozzá.

(150)

Harmadszor, ami a kártérítést illeti, az általános adatvédelemről szóló törvény 42. cikke előírja az adatkezelő vagy adatfeldolgozó számára a személyes adatok kezeléséből eredő „másoknak okozott vagyoni, erkölcsi, egyéni vagy kollektív károk” orvoslásának kötelezettségét. Az érintettek egyénileg vagy kollektíven keresetet indíthatnak e károk orvoslása és a kártérítés érdekében (236). Az általános adatvédelemről szóló törvény megállapítja, hogy a bíró mérlegelési jogkörrel rendelkezik „a bizonyítási tehernek az érintett javára történő megfordítása” tekintetében, különösen azokban az esetekben, amikor „a bizonyítékok érintett általi benyújtása túlzott terhet jelentene” (237).

(151)

Negyedszer, ha az érintettek jogainak megsértése a fogyasztóvédelmi jog és a fogyasztói kapcsolatok hatálya alá tartozik, az e területen nyújtott védelem alkalmazandó, és arra a bíróságon lehet hivatkozni (238).

(152)

Ötödször, a brazil szövetségi legfelsőbb bíróság elismerte, hogy az egyéneknek joguk van arra, hogy jogsértés megszüntetésére irányuló jogorvoslattal éljenek az alkotmányból eredő jogaik sérelme miatt, ideértve a személyes adatok védelméhez való jogot is (239). Ebben az összefüggésben a bíróság elrendelheti például, hogy az adatkezelők függesszék fel vagy állítsák le a jogellenes tevékenységeket. Ezen túlmenően az adatvédelmi jogok, köztük az általános adatvédelemről szóló törvény által védett jogok polgári peres eljárásban érvényesíthetők. Az általános adatvédelemről szóló törvény 22. cikke kifejezetten lehetővé teszi az érintettek jogainak bírósági úton történő védelmét, és tágabb értelemben a magánszemélyek számára azt, hogy egyénileg vagy kollektíven bíróság elé terjesszék adatvédelmi ügyeiket.

(153)

A brazil rendszer tehát különböző jogorvoslati lehetőségeket kínál a könnyen hozzáférhető, alacsony költségű lehetőségektől (pl. az adatvédelmi hatósághoz benyújtott panaszok) a bírósági eljárásokig, amelyek magukban foglalják a kártérítés igénylésének vagy a kollektív jogorvoslatnak a lehetőségét.

(154)

A Bizottság értékelte továbbá a korlátozásokat és biztosítékokat, többek között a Brazília jogában rendelkezésre álló felügyeleti és egyéni jogorvoslati mechanizmusokat a brazil adatkezelőknek és adatfeldolgozóknak közérdekből továbbított személyes adatok brazíliai hatóságok általi gyűjtése és későbbi felhasználása tekintetében, többek közt büntetőjogi és nemzetbiztonsági célokból (a továbbiakban: kormányzati hozzáférés).

(155)

Annak értékelése során, hogy azok a feltételek, amelyek mellett az e határozat alapján a Brazíliába továbbított adatokhoz való kormányzati hozzáférés megfelel-e az (EU) 2016/679 rendelet 45. cikkének (1) bekezdése szerinti „lényegi egyenértékűségi” teszten, az Európai Unió Bíróságának az Alapjogi Chartára figyelemmel adott értelmezése szerint a Bizottság különösen a következő kritériumokat vette figyelembe.

(156)

Először is, a személyes adatok védelméhez való jog gyakorlása csak a törvény által korlátozható, és a beavatkozást lehetővé tevő jogalapnak magának kell meghatároznia az érintett jog gyakorlásával kapcsolatos korlátozás terjedelmét (240).

(157)

Másodszor, az arányosság követelményének való megfelelés érdekében, amely szerint egy demokratikus társadalomban a személyes adatok védelme alóli eltéréseknek és e védelem korlátozásainak a feltétlenül szükséges mérték határain belül kell maradniuk az Unió által elismertekkel egyenértékű általános érdekű célok teljesítéséhez, az érintett harmadik ország beavatkozást lehetővé tevő jogszabályainak egyértelmű és pontos szabályokat kell meghatározniuk a szóban forgó intézkedések alkalmazási körét és alkalmazását illetően, és elő kell írniuk minimumbiztosítékokat annak érdekében, hogy azok a személyek, akiknek az adatait továbbították, elegendő garanciákkal rendelkezzenek, amelyek lehetővé teszik a személyes adataiknak a visszaélések veszélyével szembeni hatékony védelmét (241). A jogszabályoknak meg kell jelölniük különösen, hogy milyen körülmények között és milyen feltételek mellett lehet az említett adatok kezelését előíró intézkedést meghozni (242), valamint az említett követelmények teljesítését független felügyeletnek kell alávetni (243).

(158)

Harmadszor, e szabályozásnak és követelményeinek a belső jog szerint jogilag kötelező erejűnek kell lenniük. Ez elsősorban a szóban forgó harmadik ország hatóságait érinti, de ezeknek a jogi követelményeknek e hatóságokkal szemben bíróság előtt is végrehajthatónak kell lenniük (244). Az érintetteknek különösen rendelkezniük kell azzal a lehetőséggel, hogy független és pártatlan bíróság előtt éljenek jogorvoslati lehetőségekkel abból a célból, hogy a rájuk vonatkozó személyes adatokhoz hozzáférést kapjanak, vagy az említett adatokat helyesbíttetni vagy töröltetni tudják (245).

(159)

A személyes adatoknak a brazíliai hatóságok általi gyűjtésére és későbbi felhasználására vonatkozó korlátozások és biztosítékok az átfogó alkotmányos keretből, a büntetőjog és a nemzetbiztonság területén folytatott tevékenységeiket szabályozó konkrét jogszabályokból, valamint a személyes adatok kezelésére kifejezetten alkalmazandó szabályokból eredeztethetők.

(160)

Először is, a brazíliai hatóságok személyes adatokhoz való hozzáférését a Brazília alkotmányban foglalt jogszerűség általános elve szabályozza, amelyből az észszerűség, a szükségesség és az arányosság elve fakad (246). Az alkotmány 5. cikke szerint az alapvető jogokat és szabadságokat (beleértve a magánélet tiszteletben tartásához és az adatvédelemhez való jogot is) csak törvény korlátozhatja, és csak akkor, ha ez nemzetbiztonsági, közbiztonsági vagy más, jogszabályban meghatározott különleges közérdekű cél érdekében szükséges. Az ilyen korlátozásoknak észszerűnek és arányosnak kell lenniük (247). Különösen a közérdekű cél értékelése elengedhetetlen a beavatkozás arányosságának a jogszerűség elvére tekintettel történő értékeléséhez. Az alkotmány 5. cikkének LIV. pontja továbbá kimondja, hogy „senki sem fosztható meg szabadságától vagy vagyonától jogszerű eljárás nélkül”.

(161)

Másodszor, a brazil jogrend alkotmányos jogorvoslati lehetőségként biztosítja a „habeas data” jogorvoslatot, amelynek célja a hatóságok birtokában lévő, illetve a nyilvános adatkészletekben vagy nyilvántartásokban tárolt személyes adatokhoz való hozzáféréshez, azok helyesbítéséhez és törléséhez való jog védelme (248). Védelmet nyújt az adatok állami szervek általi kezelésével kapcsolatos visszaélések vagy a magánélethez való jog ez általi megsértése ellen. A „habeas data” alapján állampolgárságára való tekintet nélkül bárki indíthat keresetet vagy benyújthat kérelmet (249).

(162)

Harmadszor, a (155)–(158) preambulumbekezdésben említett általános elveket és jogokat a bűnüldöző és nemzetbiztonsági hatóságok hatásköreit szabályozó konkrét jogszabályok is tükrözik. Az internet polgári jogi keretrendszeréről szóló törvény például olyan intézkedéseket ír elő, amelyek előzetes bírósági végzést írnak elő az adatokhoz való hozzáféréshez, és korlátozzák az online adatokhoz való hozzáférést (250). Hasonlóképpen, a telefonlehallgatásról szóló törvény konkrét intézkedéseket és biztosítékokat állapít meg a távközlési adatok kezelésére vonatkozóan (251). A nemzetbiztonság területén a brazil hírszerzési rendszert létrehozó törvény intézkedéseket ír elő az adatokhoz való jogszerű nemzetbiztonsági célú hozzáférésre vonatkozóan (252).

(163)

Negyedszer, a személyes adatok hatóságok általi – többek között bűnüldözési és nemzetbiztonsági célból történő – kezelésére vonatkoznak az általános adatvédelemről szóló törvény adatvédelmi követelményei. Az e határozat (31) preambulumbekezdésében leírtak szerint az általános adatvédelemről szóló törvénynek a közbiztonság, a nemzetvédelem, az állambiztonság, valamint a bűncselekmények kivizsgálása és büntetőeljárás alá vonása területén történő alkalmazására vonatkozó, az általános adatvédelemről szóló törvényben meghatározott mentesség részleges. A szövetségi legfelsőbb bíróság a személyes adatok alkotmányos védelmének fényében értelmezte az általános adatvédelemről szóló törvény alkalmazhatóságát, és megállapította, hogy a benne foglalt fő elvek, jogok és célkitűzések a személyes adatok hatóságok általi valamennyi kezelésére alkalmazandók, beleértve a bűnüldözési és a nemzetbiztonsági célból végzett adatkezelést is (253). Ennek alapján az adatvédelmi hatóság például vizsgálatokat folytatott és iránymutatásokat adott ki, mint a műszaki feljegyzés a hatóságoknak a közbiztonsággal kapcsolatos tevékenységekről, amelyben emlékeztetett arra, hogy az e közérdekű célokból történő adatkezelésnek meg kell felelnie az általános adatvédelemről szóló törvény által biztosított általános elveknek és jogoknak (254).

(164)

Végezetül, az egyének a szövetségi legfelsőbb bíróság előtt hivatkozhatnak alkotmányos jogaikra és szabadságjogaikra, ha úgy vélik, hogy a hatóságok hatáskörük gyakorlása során megsértették őket. Az egyének adatvédelmi jogaikkal kapcsolatban az e határozat (143)–(153) preambulumbekezdésében részletezettek szerint független felügyeleti szervekhez (pl. az adatvédelmi hatósághoz) és bíróságokhoz is fordulhatnak jogorvoslatért.

(165)

Brazília joga számos korlátozást állapít meg a személyes adatokhoz való hozzáférésre és azok bűnüldözési célokra történő felhasználására, és ezen a területen olyan felügyeleti és jogorvoslati mechanizmusokat biztosít, amelyek összhangban állnak az e határozat (155)–(158) preambulumbekezdésében említett követelményekkel. Az említett hozzáférés feltételeit és az e hatáskörök alkalmazására vonatkozó biztosítékokat a következő szakaszok részletesen értékelik.

(166)

Főszabályként a hatóságok bűnüldözési célú hozzáférése a személyes adatokhoz az illetékes igazságügyi hatóság által kibocsátott előzetes bírósági végzés alapján történik (255). E szabály alóli kivételként a rendőrség és az ügyészség a törvényben kifejezetten meghatározott esetekben hozzáférhet a nyomozás alatt álló személyek nyilvános nyilvántartásban szereplő adataihoz, azaz a személyes képesítésre, a hovatartozásra és a lakcímre vonatkozó adatokhoz (256). A hozzáférhető nyilvántartások jogszabályban meghatározott kimerítő felsorolása kiterjed a brazil állampolgárok vagy a Brazíliában lakóhellyel rendelkező személyek adataira, és nem terjed ki az EU-ból továbbított adatokhoz való hozzáférésre, így nem tartozik e határozat hatálya alá (257). Az e nyilvántartásokhoz való hozzáférést a jogszerűség alkotmányos elve szabályozza – amelyből az észszerűség, a szükségesség és az arányosság elve ered –, és a hozzáférés utólagos bírósági felülvizsgálat tárgyát képezheti, amint azt a (159)–(161) preambulumbekezdés kifejti.

(167)

Brazília azon hatóságai, amelyek előzetes bírósági végzés alapján jogosultak a személyes adatokhoz való hozzáférésre és azok bűnüldözési célokból történő gyűjtésére, a következők: 1. a polgári rendőrség, 2. a szövetségi rendőrség, 3. az állami ügyészség, 4. a szövetségi ügyészség, 5. a bírák és a bíróságok, valamint 6. a parlamenti vizsgálóbizottságok.

(168)

A büntető törvénykönyv 3-B. cikke értelmében a „büntetőeljárás jogszerűségének ellenőrzéséért és a személyhez fűződő jogok védelméért” felelős bíró bírósági végzéssel engedélyezheti a következőket: 1. a kommunikáció lehallgatása telefonon, számítógépen és összekapcsolt rendszereken vagy a kommunikáció egyéb formái esetében, 2. az adó-, banki, adat- és telefontitok feloldása, 3. házkutatás és lefoglalás otthon, és 4. titkos információkhoz való hozzáférés, valamint 5. „a bizonyítékok megszerzésére irányuló egyéb olyan intézkedések, amelyek korlátozzák a nyomozás alatt álló személy alapvető jogait” (258).

(169)

Az elektronikus és telefonos kommunikáció bizalmas jellege a brazil jogi keretben alapvető jognak minősül (259).

(170)

A hatóságok csak kivételes esetekben férhetnek hozzá ezekhez az adatokhoz nyomozás vagy büntetőeljárás lefolytatása céljából. A kommunikáció lehallgatásának mindig kiegészítő és kivételes intézkedésnek kell lennie, amely csak akkor megengedett, ha nincs más eszköz a konkrét ügy megoldására, amint azt a szövetségi legfelsőbb bíróság megállapította (260). Az online és a telefonos kommunikáció lehallgatásának módozatait a telefonlehallgatásról szóló törvény szabályozza (261).

(171)

A telefonlehallgatásról szóló törvény 2. cikke szigorú feltételeket határoz meg a kommunikációhoz való hozzáférés tekintetében. A kommunikáció lehallgatása előzetes bírósági engedélyhez kötött. A lehallgatásra vonatkozó érvényes kérelmet az arra felhatalmazott hatóságok nyújtják be a bírónak, ezek lehetnek 1. a nyomozással összefüggésben az illetékes rendőri hatóság, vagy 2. a nyomozással és a büntetőeljárással összefüggésben az ügyészség képviselője (262). A telefonbeszélgetések lehallgatása nem engedélyezhető a szükségesség és arányosság követelményeire tekintettel az alábbi körülmények egyike esetén sem: 1. ha nincs észszerű bizonyíték a bűncselekmény elkövetésére vagy az abban való részvételre, 2. ha a bizonyíték más rendelkezésre álló eszközökkel is biztosítható, 3. ha a vizsgált tény elzárással büntetendő bűncselekménynek minősül (263).

(172)

Ezenkívül a telefonlehallgatásról szóló törvény előírja, hogy a lehallgatás iránti kérelemnek tisztáznia kell az intézkedés szükségességét (264). Az előzetes bírói engedélyt indokolni kell, és figyelembe kell venni a lehallgatás lebonyolításához használt eszközök arányosságát (265). A bíró legfeljebb 15 napra engedélyezheti a kommunikáció tartalmához való hozzáférést. Ez az időszak új bírósági határozattal meghosszabbítható, amint bizonyítást nyer az intézkedés nélkülözhetetlensége (266). A kommunikáció bírói engedély nélkül vagy törvény által nem engedélyezett célból történő lehallgatása – beleértve a környezeti megfigyelést is – négy évig terjedő börtönbüntetéssel büntetendő bűncselekménynek minősül (267).

(173)

Általános szabályként a telefonlehallgatásról szóló törvénnyel összhangban bűnüldözés céljából lekérdezett és gyűjtött adatokat az adatkezelés időtartama alatt megőrzik, majd törlik őket, amikor már nem szükségesek a bírósági eljáráshoz, összhangban az igazságszolgáltatás kötelező erejű iránymutatásaival (268). A telefonlehallgatásról szóló törvény 9. cikke továbbá kimondja, hogy amennyiben az összegyűjtött tartalom nem kapcsolódik az ügyben vizsgált kérdéshez, az adatokat „használhatatlanná” teszik (269).

(174)

Ami a telekommunikációs metaadatokat illeti, a bűnszervezetekről és a nyomozásokról szóló törvény 17. cikke előírja a telefontársaságok számára, hogy öt évig őrizzék meg a Brazíliában lakóhellyel rendelkező személyek felhasználói fiókjára vonatkozó információkat és a telefonhívásokra vonatkozó nyilvántartásokat (kizárólag a telefonszámokat) (270). Az Anatel (Brazília telekommunikációs szabályozó ügynöksége) által vezetett nyilvántartáshoz való hozzáférés meghatározott állami szervekre korlátozódik, és a fent leírtak szerint bírói engedélyhez kötött.

(175)

Ami az interneten rendelkezésre álló információkat illeti, az internet polgári jogi keretrendszeréről szóló törvény 7. cikke „az interneten keresztüli kommunikáció sérthetetlenségét és titkosságát” is garantálja, ez alól kivétel a bírósági végzés a törvénnyel összhangban; és garantálja „a tárolt magánjellegű kommunikáció sérthetetlenségét és bizalmas jellegét, kivéve a bírósági végzést” (271).

(176)

Azinternet polgári jogi keretrendszeréről szóló törvény 10. cikke értelmében az online kommunikáció tartalmához és a csatlakozási adatokhoz (beleértve a metaadatokat is) való hozzáférésre csak előzetes bírósági végzés útján kerülhet sor. Az internet polgári jogi keretrendszeréről szóló törvény 22. cikke értelmében a bírósági végzés iránti kérelemnek a következőket kell tartalmaznia: i. a bűncselekmény elkövetésének megalapozott bizonyítéka, ii. a nyomozás vagy a bizonyítás céljából kért nyilvántartások hasznosságának megalapozott indokolása, valamint iii. annak az időszaknak a meghatározása, amelyre a nyilvántartások vonatkoznak. A 13. cikk előírja továbbá az internet- vagy alkalmazásszolgáltatók számára, hogy „ellenőrzött és biztonságos környezetben” egy évig őrizzék meg a csatlakozási naplókat (272). Az online kommunikáció tartalmával kapcsolatban nincs hasonló adatmegőrzési kötelezettség. A csatlakozási naplók megőrzött nyilvántartásához csak bírósági engedély alapján adható hozzáférés az illetékes hatóság számára, az e preambulumbekezdésben leírt feltételek mellett (273).

(177)

Az internet polgári jogi keretrendszeréről szóló törvény 11. cikke emlékeztet, hogy minden olyan műveletnek, amely naplófájlok, személyes adatok vagy kommunikáció gyűjtését, tárolását, megőrzését vagy bármilyen más feldolgozását jelenti a brazíliai kapcsolat- és internetes alkalmazásszolgáltatók részéről, tiszteletben kell tartania a „brazíliai jogszabályokat és a magánélethez való jogot, a személyes adatok védelmét, valamint a magánjellegű kommunikáció és a magánnyilvántartások titkosságát”. A (175)–(177) preambulumbekezdésben foglalt biztosítékokból következik, hogy az internetes kommunikációs adatok tömeges gyűjtése és megőrzése Brazíliában általában nem engedélyezett.

(178)

Brazíliában alkotmányos védelem áll fenn az elektronikus levelezés (beleértve az adatokat is) és a telefonos kommunikáció titkossága tekintetében (274). Az általános adatvédelemről szóló törvény továbbá védi az adatok és a hírközlési adatok felhasználását (275), míg a pénzügyi intézmények titoktartásáról szóló törvény védi az adó- és banki információk bizalmas jellegét (276).

(179)

A hatóságok csak kivételes esetekben férhetnek hozzá ezekhez az információkhoz nyomozás vagy büntetőeljárás lefolytatása céljából. A kommunikáció lehallgatásának mindig kiegészítő és kivételes intézkedésnek kell lennie, amely csak akkor megengedett, ha nincs más eszköz a konkrét ügy megoldására, amint azt a szövetségi legfelsőbb bíróság megállapította (277).

(180)

Az adatokhoz és kommunikációhoz való hozzáférésre vonatkozó feltételeket és biztosítékokat az internet polgári jogi keretrendszeréről szóló törvény és a telefonlehallgatásról szóló törvény határozza meg, és e határozat (169)–(177) preambulumbekezdése részletezi.

(181)

Ami az adózási és banki adatokat illeti, a pénzügyi intézmények titoktartásáról szóló törvény 1. cikke meghatározza az ezen információk bizalmas jellegének garantálására vonatkozó általános kötelezettség megszüntetésének feltételeit. Először is, a titoktartást csak bírósági engedéllyel lehet feloldani (278). Másodszor, az intézkedések csak meghatározott jogsértések vagy bűncselekmények kinyomozása vagy a velük kapcsolatos büntetőeljárás lefolytatása céljából engedélyezhetők, melyek a következők: 1. terrorizmus, 2. kábítószerek vagy hasonló drogok tiltott kereskedelme, 3. fegyverek, lőszerek vagy az ezek előállítására szolgáló anyagok csempészése vagy kereskedelme, 4. emberrablással elkövetett zsarolás, 5. nemzeti pénzügyi rendszer elleni bűncselekmények, 6. közigazgatás elleni bűncselekmények, 7. az adórendszer és a társadalombiztosítás elleni bűncselekmények, 8. pénzmosás vagy vagyoni eszközök eltitkolása, és 9. bűnszervezettel való kapcsolat (279). A törvény 10. cikke továbbá kimondja, hogy az adózási és a banki adatok bizalmas jellegének védelme semmilyen más célból nem oldható fel, és e korlátozás be nem tartása négy évig terjedő szabadságvesztéssel büntetendő bűncselekménynek minősül (280).

(182)

A szövetségi alkotmány általános szabályként előírja, hogy házkutatásra és lefoglalásra csak szigorúan meghatározott kivételes körülmények között kerülhet sor, vagy a törvény által előírt módon és az illetékes igazságügyi hatóság által kibocsátott bírói végzés alapján, a jogszerű eljárás tiszteletben tartása mellett (281). A házkutatásoknak és lefoglalásoknak meg kell felelniük a jogszerűség elvének, és a szükséges mértékben kell lefolytatni őket.

(183)

A következő kivételes körülmények között házkutatásra és lefoglalásra bírósági végzés nélkül is sor kerülhet: 1. tettenérés esetén (azaz ha a bűncselekményt a bűnüldöző szervek jelenlétében követik el), 2. természeti katasztrófa esetén (az egyének életének vagy tulajdonának megmentése érdekében), vagy 3. olyan személynek való segítségnyújtás esetén, aki nem tud hozzájárulást adni, és segítségre van szüksége (282). A brazil szövetségi legfelsőbb bíróság ítélkezési gyakorlata egyértelművé tette, hogy a bűnüldöző hatóságok nem támaszkodhatnak „anonim tippekre” és „gyanús magatartásra” annak érdekében, hogy parancs nélkül végezzenek házkutatást vagy lefoglalást, mivel az nem felel meg a jogszerűség követelményének, és nem szolgál érvényes igazolásként a hatóságok számára a magánlakás sérthetetlenségének megsértésére (283).

(184)

Ami az eljárási biztosítékokat illeti, Brazília alkotmányos elveivel összhangban az elektronikus eszközök átvizsgálására nem kerülhet sor annak alapos gyanúja nélkül, hogy bűncselekmény bizonyítékait tárolják az eszközben, és általános szabályként bírósági végzés nélkül sem (284). Ezenkívül az egyént nem lehet arra kényszeríteni, hogy adatokat adjon át, ha az ilyen átadás az egyén alkotmányos jogait sértheti, például az önvádra kötelezés tilalmát (285). A házkutatási végzés iránti kérelem bírósághoz történő benyújtásakor a bűnüldöző hatóság a jogszerűen megszerzett hozzáférési hitelesítő adatok felhasználásával rendelkezésre bocsátja a számítógépes rendszerhez és adatokhoz való hozzáférés szükségességét alátámasztó releváns tényeket és bizonyítékokat (286). Amennyiben a bíróság kibocsátja a végzést, a hatóságok a hozzáférési hitelesítő adatokat használják a számítógépes rendszerhez és az abban tárolt adatokhoz való hozzáféréshez, a végzésben meghatározott feltételeknek megfelelően. A kutatás vagy a hozzáférés befejezését követően az illetékes hatóságoknak jelentést kell benyújtaniuk a bírósághoz, amelyben ismertetik a kutatás vagy a hozzáférés eredményeit, és amely tartalmazza a megszerzett adatok vagy információk jegyzékét.

(185)

Az információhoz való hozzáférésről szóló törvény 4. cikke úgy határozza meg a „bizalmas információ” fogalmát, mint olyan információ, amelynek „a társadalom és az állam biztonsága szempontjából lényeges természeténél fogva ideiglenesen korlátozott a nyilvános hozzáférhetősége” (287). A személyes adatok az előző mondatban meghatározott bizalmas információk körébe tartozhatnak.

(186)

Az információhoz való hozzáférésről szóló törvény 6. cikke előírja a közigazgatási szervek számára a bizalmas információk védelmét és az azokhoz való hozzáférés korlátozását. Ami a kommunikációhoz, az adatokhoz, a banki és az adóügyi információkhoz való hozzáférést illeti, a nyomozások és büntetőeljárások során a bizalmas információkhoz való hozzáférésre csak kivételes esetekben, bírósági engedély alapján kerülhet sor, és ez csak akkor megengedett, ha nincs más eszköz az adott ügy megoldására, amint azt a szövetségi legfelsőbb bíróság és a törvény kimondja (288).

(187)

„A bizonyítékok megszerzésére irányuló egyéb olyan intézkedések, amelyek korlátozzák a nyomozás alatt álló személy alapvető jogait” például az előzetes letartóztatás elrendelésének vagy az egyén fizikai megfigyelésének lehetőségére utalnak. Ezek az intézkedések elvben nem relevánsak a megfelelőségi határozaton alapuló adattovábbítással összefüggésben.

(188)

A teljesség kedvéért: a hatóság által javasolt ilyen intézkedéseket csak bírósági engedély alapján lehet végrehajtani. A javasolt intézkedéseknek meg kell felelniük az alkotmányban megállapított jogszerűség elvének, és csak kivételes esetekben lehet elrendelni őket, amikor nem lehet más alternatívát alkalmazni, amint azt a szövetségi legfelsőbb bíróság megállapította.

(189)

Ami a személyes adatok hatóság általi későbbi, más célra történő felhasználását illeti, a telefonlehallgatásról szóló törvény 9. cikke kimondja, hogy amennyiben az összegyűjtött tartalom nem kapcsolódik az adott nyomozás során vizsgált ügyhöz, az adatokat „használhatatlanná” teszik. Az internet polgári jogi keretrendszeréről szóló törvény 13. cikke a csatlakozási adatok nyilvántartásban való tárolását is legfeljebb egy évre korlátozza. A pénzügyi intézmények titoktartásáról szóló törvény 10. cikke szintén korlátozza azt a célt, amely miatt az adózási és banki adatok bizalmas jellege megszüntethető (289). Ezek az intézkedések a gyakorlatban korlátozzák az információk további felhasználásának lehetőségét.

(190)

Fontos továbbá, hogy a szövetségi legfelsőbb bíróság úgy határozott, hogy az általános adatvédelemről szóló törvény alkalmazandó a személyes adatok közjogi szervek közötti megosztására, beleértve a bűnüldöző és hírszerző ügynökségek közötti megosztást is (290). A bíróság különösen emlékeztetett arra, hogy „a személyes adatok közigazgatási szervek és szervezetek közötti megosztása feltételezi: 1. az adatkezelés jogszerű, konkrét és kifejezett céljának meghatározását, 2. az adatkezelés összeegyeztethetőségét a közölt célokkal, 3. a megosztásnak a közölt cél eléréséhez szükséges minimumra való korlátozását, valamint az általános adatvédelemről szóló törvényben meghatározott követelményeknek, biztosítékoknak és eljárásoknak való teljes körű megfelelést, amennyiben az összeegyeztethető a közszférával”. A bíróság hozzátette, hogy „a személyes adatoknak a közjogi szervek által a jogi és alkotmányos paraméterekkel ellentétes kezelése az általános adatvédelemről szóló törvény 42. cikkének megfelelően megalapozza az államnak a magánszemélyek által elszenvedett károkért való polgári jogi felelősségét”.

(191)

Ami a személyes adatoknak a brazíliai bűnüldöző hatóságok és harmadik országok hasonló hatóságai közötti megosztását illeti, ezeket a tevékenységeket nemzetközi jogi eszközök szabályozzák az általános adatvédelemről szóló törvénnyel összhangban. E tekintetben az általános adatvédelemről szóló törvény 33. cikkének III. pontja kimondja, hogy nemzetközi adattovábbításra akkor kerülhet sor, ha „a nemzetközi jogi eszközökkel összhangban a hírszerzési, nyomozási és büntetőeljárási közjogi szervek közötti nemzetközi igazságügyi együttműködéshez szükséges”. Brazíliában az Igazságügyi és Közbiztonsági Minisztérium a büntetőügyekben folytatott nemzetközi igazságügyi együttműködés központi hatósága. A minisztérium felelős a külföldi hatóságokkal való nemzetközi együttműködés iránti megkeresések fogadásáért, elemzéséért, továbbításáért és végrehajtásának nyomon követéséért a nemzetközi jog és az általános adatvédelemről szóló törvény alkalmazandó szabályaival összhangban. A nemzetközi jogi együttműködéshez szükséges személyes adatok kezelésére a célhoz kötöttség (az általános adatvédelemről szóló törvény 6. cikkének I. pontja), az adatkezelés jogszerűsége és tisztességessége (az általános adatvédelemről szóló törvény 6. és 7. cikke), az adattakarékosság és az adatok pontossága (az általános adatvédelemről szóló törvény 6. cikkének III. és V. pontja), az átláthatóság (az általános adatvédelemről szóló törvény 6. cikkének VI. pontja), az adatbiztonság (az általános adatvédelemről szóló törvény 6. cikkének VII. pontja) és a korlátozott tárolhatóság (az általános adatvédelemről szóló törvény 6. cikkének I., III., IV. pontja és 16. cikke) elve vonatkozik. A személyes adatok harmadik felekkel (köztük harmadik országokkal) való esetleges közlésére csak ezen elvekkel összhangban kerülhet sor, miután értékelték a szükségesség és az arányosság alkotmányos elveinek való megfelelést, valamint biztosították a védelem folytonosságát és az érintettek jogainak tiszteletben tartását (a személyes adatok nemzetközi továbbításáról szóló rendelet 2. cikke).

(192)

A brazíliai bűnüldöző hatóságok adatgyűjtésre és adatokhoz való hozzáférésre vonatkozó hatáskörét tehát törvényben meghatározott, egyértelmű és pontos szabályok határolják körül, és azokra számos biztosíték vonatkozik. E biztosítékok közé tartozik különösen az ilyen intézkedések végrehajtásának garantált felügyelete, többek között előzetes bírósági jóváhagyás révén, valamint az információkhoz való hozzáférés időtartamát és az információk megőrzését korlátozó biztosítékok által, a szükségesség és az arányosság elvével összhangban.

(193)

Brazíliában a bűnüldöző hatóságok tevékenységét különböző szervek felügyelik.

(194)

Először is, amint azt a szövetségi legfelsőbb bíróság megerősítette, az adatvédelmi hatóság felhatalmazással rendelkezik, hogy felügyelje a személyes adatoknak a bűnüldöző hatóságok által az általános adatvédelemről szóló törvény bizonyos követelményeinek megfelelően végzett kezelését (291). Ebben az összefüggésben az adatvédelmi hatóság gyakorolhatja az általános adatvédelemről szóló törvény szerinti vizsgálati és korrekciós hatásköröket. Az adatvédelmi hatóság például megvizsgálta a szövetségi rendőrség, az Igazságügyi és Közbiztonsági Minisztérium, valamint más, szövetségi, állami vagy helyi biztonsági tevékenységeket folytató vagy bűnüldözési feladatokat ellátó állami szervek tevékenységeit (292). A vizsgálatok lefolytathatók az adatvédelmi hatóság saját kezdeményezésére vagy olyan kérelmek és panaszok nyomán, amelyeket például magánszemélyek, civil társadalmi szervezetek és hatóságok nyújthatnak be. Az adatvédelmi hatóság például a civil társadalom kérésére több vizsgálatot is folytatott a videokamerák használatával kapcsolatban (293).

(195)

Másodszor, Brazíliában a bűnüldöző hatóságok tevékenységét a bíróság felügyeli. A bíróságok hatáskörrel rendelkeznek arra, hogy a fenti (165)–(187) preambulumbekezdésben említett körülmények között engedélyezzék a személyes adatok gyűjtését és az azokhoz való hozzáférést. Jogosultak továbbá polgári jogi és büntetőjogi szankciókat kiszabni visszaélés vagy a hatályos jogszabályoknak való meg nem felelés esetén, beleértve az elzárást vagy a bizonyos tevékenységek abbahagyására való kötelezést.

(196)

Harmadszor, az ügyészség, amely a jogrend és a demokratikus rendszer védelméért felelős független és állandó intézmény Brazíliában, hatáskörrel rendelkezik, hogy külső ellenőrzést gyakoroljon a rendőrségi tevékenység felett (294). Az ügyészségről szóló határozatban foglaltak szerint a rendőrségi tevékenységek külső ellenőrzésének célja „a rendőrségi tevékenységek végzése során alkalmazott eljárások szabályszerűségének és megfelelőségének” fenntartása, különös tekintettel „a szövetségi alkotmány és törvények által biztosított alapvető jogok tiszteletben tartására” (295). E minőségében az ügyészség többek között – akár tervezetten, akár egyéb időben – helyszíni látogatást tehet, megvizsgálhatja a nyomozást, felügyelheti az áruk lefoglalását, és nyomon követheti a parancsoknak való megfelelést (296). Minden jogsértést jelenteni kell a bíróságnak. Feladatai részeként az ügyészség részt vesz a rendőrségi erőszak, a hatáskörrel való visszaélés és az emberi jogok megsértése eseteinek kivizsgálásában és büntetőeljárás alá vonásában. Emellett az ügyészség szerepet játszik az adatvédelem felügyeletében azáltal, hogy az alkotmányos védelem alapján jogi lépéseket kezdeményez vagy azokhoz csatlakozik, és az adatvédelmi hatóság mellett előmozdítja az adatvédelmi jogokat. Az ügyészség például ismertette érvelését a szövetségi legfelsőbb bírósággal, amely támogatta az adatvédelmet Brazíliában alapvető jogként elismerő, mérföldkőnek számító határozatot (297). Az ügyészség általános adatvédelemről szóló törvénnyel kapcsolatos intézkedéseinek nyilvántartása szintén elérhető a honlapján (298).

(197)

A brazil rendszer különböző bírósági és közigazgatási jogorvoslati lehetőségeket biztosít, többek között a kártérítés lehetőségét. Ezek a mechanizmusok hatékony adminisztratív és bírósági jogorvoslati lehetőségeket biztosítanak az érintetteknek, lehetővé téve számukra különösen jogaik, többek között a személyes adatokhoz való hozzáférés joga, illetve az említett adatok helyesbíttetésére vagy töröltetésére vonatkozó joguk biztosítását.

(198)

Először is, az egyének bírósághoz fordulhatnak jogorvoslatért, beleértve a kártérítést is. A szövetségi alkotmány és a polgári perrendtartás szolgáltatja a jogalapot az olyan, hatóság által okozott nem vagyoni kár vagy vagyoni kár miatti kártérítésre, amelynek során a hatóság jogellenesen gyűjtötte vagy használta fel az adatokat bűnüldözési célokra (299). Közelebbről, az alkotmány kifejezetten megemlíti, hogy a magánélet tiszteletben tartásához való jog magában foglalja a megsértéséből eredő vagyoni vagy nem vagyoni kár miatti „kártérítéshez való jogot” (300). A bírósági határozatok ellen a szövetségi legfelsőbb bírósághoz és az Emberi Jogok Amerikaközi Bíróságához lehet fellebbezni. 2009-ben az Emberi Jogok Amerikaközi Bírósága arra kötelezte Brazíliát, hogy kártalanítsa a mezőgazdasági szövetkezetek munkavállalóit a Paraná államban 1999-ben végrehajtott, a telefonlehallgatásról szóló törvényt és az Emberi Jogok Amerikai Egyezményét sértő telefonlehallgatási műveletek miatt (301).

(199)

Másodszor, az egyének állampolgárságuktól függetlenül hivatkozhatnak a „habeas data” fogalma által biztosított védelemre a hatóságok birtokában lévő adataikhoz való további hozzáférés és azok helyesbítése érdekében (302). Ennek alapján magánszemélyek a bíróságok előtt is keresetet indíthatnak, többek között a szövetségi legfelsőbb bíróságon „alkotmányellenesség miatti közvetlen keresetet” is. A „habeas data” elve alapján benyújtott alkotmányellenesség miatti közvetlen keresetek vezettek a szövetségi legfelsőbb bíróság 2020. évi, mérföldkőnek számító határozatához, amely előkészítette a terepet Brazíliában az adatvédelem alapvető jogként való elismeréséhez (303). Az ügyészség is részt vett az ügyben, támogatva az ügyet kezdeményező egyének és civil társadalom álláspontját. Az ügyben megtámadták azt az elnöki rendeletet, amelynek célja több mint 200 millió távközlési előfizető személyes adatainak megosztása volt a brazil Földrajzi és Statisztikai Intézettel a Covid19-világjárvány idején (304). A szövetségi legfelsőbb bíróság megállapította, hogy az elnöki rendelet sérti az alkotmány által védett, a magánélethez és a kommunikáció titkosságához való alapvető jogokat (305). Az elnöki rendeletet felfüggesztették, és a szövetségi legfelsőbb bíróság úgy határozott, hogy az adatvédelmet alapvető jogként kell kezelni és védeni, hasonlóan a magánélet tiszteletben tartásához való joghoz (306). A határozat meghozatalának időpontjában az általános adatvédelemről szóló törvény még nem volt hatályban. Ezért a bírói tanács összehasonlító jogot, nevezetesen a német szövetségi alkotmánybíróság ítélkezési gyakorlatát és az Európai Unió Alapjogi Chartájának 8. cikkét használta, hogy alátámassza értelmezését, amely szerint az elnöki rendelet alkotmányellenes, valamint a méltósághoz és a magánélethez való, az alkotmányban garantált alapvető jogok értelmezését, illetve a „habeas data” információs önrendelkezési jog védelmét szolgáló eszközként való elismerését (307).

(200)

Harmadszor, az egyének jogorvoslatért folyamodhatnak az adatvédelmi hatósághoz az általános adatvédelemről szóló törvény 55-J. cikkének V. pontja alapján, valamint az e határozat (146) és (149) preambulumbekezdésében részletezett feltételek mellett. Az egyének az általános adatvédelemről szóló törvényben meghatározott adatvédelmi jogaikat a hatóságokkal szemben is gyakorolhatják (308).

(201)

Az e határozat (197)–(200) preambulumbekezdésében ismertetett jogorvoslati mechanizmusok hatékony közigazgatási és bírósági jogorvoslatot biztosítanak az érintettek számára, lehetővé téve különösen jogaik érvényesítését, beleértve az ilyen adatokkal kapcsolatos adatvédelmi jogaikat is.

(202)

Brazília törvényei számos korlátozást állapítanak meg a személyes adatokhoz való hozzáférésre és azok nemzetbiztonsági célokra történő felhasználására, és ezen a területen felügyeleti és jogorvoslati mechanizmusokat biztosítanak, amelyek összhangban állnak az e határozat (156)–(158) preambulumbekezdésében említett követelményekkel. Az említett hozzáférés feltételeit és az e hatáskörök alkalmazására vonatkozó biztosítékokat a következő szakaszok részletesen értékelik.

(203)

Brazíliában a személyes adatokhoz nemzetbiztonsági célokból a brazil hírszerző rendszer létrehozásáról szóló törvény alapján végzett hírszerzési tevékenységek részeként lehet hozzáférni (309). Főszabályként e törvény 1. cikke kimondja, hogy a brazil hírszerző rendszernek „meg kell felelnie az egyének jogainak és garanciáinak, illetve meg kell őriznie azokat, valamint a szövetségi alkotmány, szerződések, egyezmények, megállapodások és nemzetközi kötelezettségvállalások egyéb rendelkezéseinek, amelyeknek a Brazil Szövetségi Köztársaság részes fele vagy aláírója” (310). Ez magában foglalja a szükségesség és az arányosság elvének, valamint az adatvédelemhez való jognak a biztosítását (311). A brazil hírszerző rendszer által végrehajtandó tevékenységeket kötelező erejű rendeletek írják le részletesebben (312).

(204)

A brazil hírszerző rendszer létrehozásáról szóló törvény 4. cikke értelmében a brazil hírszerző rendszer részét képező szervezetek nemzetbiztonsági célokból („Segurança Pública”) konkrét adatokat szerezhetnek meg és elemezhetnek. A nemzetbiztonság fogalmát egy 2021. évi törvény szabályozza, amely módosította a büntető törvénykönyvet (313), és hatályon kívül helyezte Brazília nemzetbiztonsági törvényét (314). A 2021. évi törvény meghatározta a nemzetbiztonság elleni „bűntettek” kimerítő listáját, amely meghatározza ezt a fogalmat. Ezek a bűncselekmények a következők: 1. „nemzeti szuverenitás elleni bűncselekmények” (ezek magukban foglalják a háborús cselekményeket, a megye megszállását, az ország területe egy részének új ország létrehozása céljából való elfoglalásának kísérletét, a minősített adatoknak külföldi kormányokkal vagy külföldi bűnszervezetekkel való megosztását, amely veszélyeztetheti a nemzeti szuverenitás alkotmányos rendjét, valamint az információs rendszerekhez való hozzáférés megkönnyítését vagy kialakítását jogosulatlan személyek számára) (315), 2. a „demokratikus intézmények” elleni bűncselekmények (ezek magukban foglalják a jogállamiság megszüntetésére irányuló erőszakos kísérletet az alkotmányos hatalom megdöntése vagy korlátozása és államcsíny révén) (316), 3. bűncselekmények a „demokratikus intézmények működése ellen a választási folyamat során”(ezek magukban foglalják a választási folyamat megszakítását, valamint az egyének politikai jogaik gyakorlására vonatkozó képességének korlátozását vagy erőszakos megakadályozását) (317), valamint 4. az alapvető szolgáltatások működése elleni bűncselekmények (ezek magukban foglalják a nyilvános kommunikáció eszközeinek és a védelmi létesítményeknek a szabotázsát a jogállamiság megszüntetése céljából) (318). A törvény 359-T. cikke egyértelművé teszi, hogy a véleménynyilvánítás szabadságának, az alkotmányos jogoknak és hatásköröknek, valamint az újságírói tevékenységnek a gyakorlása – beleértve a „felvonulásokat, találkozókat, sztrájkokat, összejöveteleket vagy a társadalmi célú politikai demonstráció bármely más formáját is” – nem tekinthető bűncselekménynek (319). Brazília nemzeti hírszerzés-politikája számos kulcsfontosságú célkitűzést határozott meg a hírszerzésre vonatkozóan, amelyeket a hatóságoknak figyelembe kell venniük, mint például a „szabotázs” vagy a „kémkedés” megelőzése (320). A nemzeti hírszerzés-politika mint „magas szintű iránymutató dokumentum” azonban nem bővíti a nemzetbiztonság fogalmával kapcsolatos bűncselekmények listáját, és nem változtatja meg annak meghatározását sem (321).

(205)

Az adatok, amelyek e bűncselekmények megelőzése és a nemzetbiztonság védelme érdekében hozzáférhetők és elemezhetők, azokra az információkra vonatkoznak, amelyekhez a brazil hírszerző rendszerbe tartozó hatóságok a műveleteik keretében és az e határozat (165)–(187) preambulumbekezdésében leírt feltételekkel összhangban (azaz egyértelműen meghatározott célból kiadott bírósági engedély alapján) férnek hozzá. A brazil hírszerző rendszerrel megosztott adatok kezelése biztonságos, titkosított elektronikus rendszeren keresztül, hozzáférési naplókkal történik az információk nyomonkövethetőségének és ellenőrizhetőségének biztosítása érdekében (322). Amint azt a szövetségi legfelsőbb bíróság egyértelművé tette, az adatok megosztása a brazil hírszerző rendszerrel meg kell feleljen az általános adatvédelemről szóló törvény elveinek, beleértve a célhoz kötöttséget (az általános adatvédelemről szóló törvény 6. cikkének I. pontja), az adattakarékosságot és az adatok pontosságát (az általános adatvédelemről szóló törvény 6. cikkének III. és V. pontja), az átláthatóságot (az általános adatvédelemről szóló törvény 6. cikkének VI. pontja), az adatbiztonságot (az általános adatvédelemről szóló törvény 6. cikkének VII. pontja) és a korlátozott tárolhatóságot (az általános adatvédelemről szóló törvény 6. cikkének I., III., IV. pontja és 16. cikke) (323).

(206)

A brazil hírszerző rendszer létrehozásáról szóló törvény 2. cikke kimondja, hogy ebben a rendszerben csak hatóságok vesznek részt. A brazil hírszerző rendszer a brazil hírszerző ügynökségből, valamint a szövetségi közigazgatás hírszerző központjainak, minisztériumainak, titkárságának és ügynökségeinek képviselőiből áll. A brazil hírszerző rendszerben tagsággal rendelkező hatóságok jegyzékét a rendszer szervezetéről és működéséről szóló rendelet tartalmazza (324).

(207)

A brazil hírszerző ügynökség a hírszerzési rendszer központi szerve, és a hírszerzési tevékenységek tervezéséért, végrehajtásáért, koordinálásáért, ellenőrzéséért és felügyeletéért felelős. Ezeket a tevékenységeket információn alapuló, bizalmas eszközök és technikák alkalmazásával kell végezni. Feladatainak ellátása érdekében a brazil hírszerző ügynökség nemzetbiztonsággal kapcsolatos konkrét információkat és adatokat kap a brazil hírszerző rendszer részét képező különböző hatóságoktól. A brazil hírszerző rendszer részét képező hatóságok kötelesek megadni ezeket az információkat (325), mivel a törvény nem engedélyezi a brazil hírszerző ügynökség számára, hogy önállóan információkat gyűjtsön. A brazil hírszerző ügynökség tagjaira vonatkozó adatmegosztási kötelezettség jogszerűségét megtámadták a szövetségi legfelsőbb bíróság előtt (326). 2021-ben kiadott határozatában a szövetségi legfelsőbb bíróság egyértelművé tette, hogy a hatóságok által a brazil hírszerző ügynökséggel megosztott adatoknak tiszteletben kell tartaniuk a szigorú közérdekű célokat (pl. a közintézmények és a nemzeti érdekek védelme), és emlékeztetett arra, hogy az egyes adatmegosztási tevékenységek konkrét és jogszerű célját hivatalos eljárás keretében, bírósági engedélyhez kötött és abban meghatározott módon adják meg (327). Ezek a korlátozások a hatóságok közötti további adatmegosztásra is vonatkoznak (328).

(208)

Végezetül a brazil hírszerző rendszeren keresztül történő adatfeldolgozásnak meg kell védenie az információkat a nem felhatalmazott személyek vagy szervek hozzáférésétől. A brazil hírszerző rendszer működéséről szóló rendelet 5. cikke kifejezetten előírja, hogy a rendszer hatósági tagjai közötti koordinációnak és adatmegosztásnak tiszteletben kell tartania „a szakmai titoktartásra és biztonságra, a személyes adatok védelmére, valamint az információk és ismeretek biztonságára vonatkozó jogszabályokat”, amelyek magukban foglalják az általános adatvédelemről szóló törvényt mint a személyes adatok védelmére vonatkozó fő jogszabályt Brazíliában (329). A rendelet 6. cikke pontosítja továbbá, hogy a hatóságok által a brazil hírszerző rendszerben kicserélt információknak tiszteletben kell tartaniuk „a jogbiztonság, a szükségesség és a közérdek elvét”, és jogszerű célt kell szolgálniuk (330). A brazil hírszerző rendszer elismeri továbbá az általános adatvédelemről szóló törvénynek való megfelelés fontosságát nyilvános anyagaiban és belső eljárásaiban (331).

(209)

A Brazíliában nemzetbiztonsági célokból adatokat feldolgozó hatóságok hatáskörét tehát törvényben előírt egyértelmű és pontos szabályok határolják körül, és azokra számos biztosíték vonatkozik. E biztosítékok közé tartozik különösen az ilyen intézkedések végrehajtásának garantált felügyelete, többek között előzetes bírósági jóváhagyás révén, valamint az információkhoz való hozzáférést korlátozó biztosítékok által, a szükségesség és az arányosság elvével összhangban.

(210)

A brazil hatóságok által nemzetbiztonsági célokból gyűjtött személyes adatok kezelésére a célhoz kötöttség (az általános adatvédelemről szóló törvény 6. cikkének I. pontja), az adatkezelés jogszerűsége és tisztességessége (az általános adatvédelemről szóló törvény 6. és 7. cikke), az adattakarékosság és az adatok pontossága (az általános adatvédelemről szóló törvény 6. cikkének III. és V. pontja), az átláthatóság (az általános adatvédelemről szóló törvény 6. cikkének VI. pontja), az adatbiztonság (az általános adatvédelemről szóló törvény 6. cikkének VII. pontja) és a korlátozott tárolhatóság (az általános adatvédelemről szóló törvény 6. cikkének I., III., IV. pontja és 16. cikke) elve vonatkozik.

(211)

A személyes adatok harmadik felekkel (köztük harmadik országokkal és nemzetközi megállapodás alapján) történő esetleges közlésére csak az általános adatvédelemről szóló törvény elveivel összhangban kerülhet sor, miután értékelték a szükségesség és az arányosság alkotmányos elveinek való megfelelést, valamint biztosították a védelem folytonosságát és az érintettek jogainak tiszteletben tartását (a személyes adatok nemzetközi továbbításáról szóló rendelet 2. cikke).

(212)

A brazíliai nemzetbiztonsági hatóságok tevékenységét különböző szervek felügyelik. A Brazília nemzeti hírszerzési stratégiájáról szóló rendelet rámutat annak fontosságára, hogy a „demokratikus jogállamiság” védelme érdekében több szintű felügyeleti mechanizmus álljon rendelkezésre (332). A szövetségi legfelsőbb bíróság emlékeztetett e felügyelet fontosságára egy, a brazil hírszerző rendszerbeli adatkezeléssel kapcsolatos ügyben, megállapítva, hogy „a hírszerzési tevékenységek hatékonysága gyakran az eljárás és az összegyűjtött információk titkosságához kapcsolódik. A demokratikus jogállamiságban ez a funkció a törvényhozó hatalom és az igazságszolgáltatás külső ellenőrzése alá tartozik annak értékelése érdekében, hogy az előírt titoktartás megfelel-e azoknak a szigorú közérdekű céloknak, amelyekre irányul” (333).

(213)

Először is a végrehajtó ág ellenőrzést gyakorol, biztosítva, hogy a hírszerző rendszer által elérendő célkitűzések, valamint a végrehajtandó szakpolitikák és a kidolgozott tervek megfelelően reagáljanak a társadalmi igényekre. A végrehajtó hatalom feladata továbbá annak biztosítása, hogy a hírszerző szolgálatok kiadásai észszerű módon és kizárólag az állam számára jogszerű, szükséges és hasznos intézkedések érdekében történjenek. A brazil keretben ezt az ellenőrzést a Kormánytanács Külkapcsolati és Nemzetvédelmi Kamarája – amely felelős a nemzeti hírszerzési stratégia végrehajtásának felügyeletéért –, valamint a szövetségi hírszerzési tevékenység koordinálásáért felelős Intézményi Biztonsági Hivatal gyakorolja (334).

(214)

Másodszor, a jogalkotási ág ellenőrzést gyakorol a hírszerzési tevékenységek felett. Ezen ellenőrzés célja a hírszerzési tevékenység legitimitásának és hatékonyságának ellenőrzése. A képviselőház és a szövetségi szenátus többségi és kisebbségi pártjainak vezetői, valamint a képviselőház és a szövetségi szenátus külkapcsolati és honvédelmi bizottságának elnökei részt vesznek a hírszerzési tevékenységek külső felügyeleti szervében, melynek elnevezése a közös hírszerzési tevékenységet ellenőrző bizottság (335). A jogalkotási ág hírszerzési tevékenységek feletti ellenőrzését a brazil hírszerző rendszert létrehozó törvény hozta létre 1999-ben, és a külső felügyelettel foglalkozó bizottság felügyeleti szerepe és hatáskörei jelentősen megerősödtek a kongresszus 2013. évi kötelező erejű állásfoglalásának elfogadásával (336). Ez az állásfoglalás a korábban feltárt hiányosságokat kezelte a közös hírszerzési tevékenységet ellenőrző bizottság intézményesítése érdekében azáltal, hogy állandó struktúrát és titkárságot biztosított számára, egyértelművé tette hatásköreit, és fokozta tevékenységeinek átláthatóságát. A közös hírszerzési tevékenységet ellenőrző bizottság szerepét, tevékenységeit és hatásköreit ez az állásfoglalás és a törvény részletezi. A közös hírszerzési tevékenységet ellenőrző bizottság felügyeli és ellenőrzi a szövetségi közigazgatási szervek, különösen a brazil hírszerző rendszer részét képező szervek által végzett hírszerzési tevékenységeket annak biztosítása érdekében, hogy a tevékenységeket az alkotmánnyal összhangban végezzék, valamint az egyének, a társadalom és az állam jogainak és garanciáinak védelme érdekében (337). A közös hírszerzési tevékenységet ellenőrző bizottság utólagos felülvizsgálatot végezhet, ahogy a folyamatban lévő műveletek ellenőrzését és kontrollját is elvégezheti (338). A közös hírszerzési tevékenységet ellenőrző bizottság tagjai maximális hozzáférési jogosultsággal rendelkeznek a dokumentumokhoz. A közös hírszerzési tevékenységet ellenőrző bizottság éves jelentéseket készít tevékenységeiről anélkül, hogy ezek olyan információkat tartalmaznának, amelyek veszélyeztethetik a nemzetbiztonságot (339). Amint azt e határozat (222) preambulumbekezdése részletezi, a közös hírszerzési tevékenységet ellenőrző bizottság magánszemélyektől érkező panaszokat is fogadhat és kivizsgálhat.

(215)

Harmadszor, az adatvédelmi hatóság felügyeli, hogy a nemzetbiztonsági hatóságok megfelelnek-e a személyes adatok kezelése terén az általános adatvédelemről szóló törvény által meghatározott paramétereknek. Az általános adatvédelemről szóló törvény részben vonatkozik a közbiztonság, a nemzetvédelem, az állambiztonság, illetve a bűncselekmények kivizsgálása és büntetőeljárás alá vonása céljából végzett személyesadat-kezelésre (340). Ebben az összefüggésben az adatvédelmi hatóság gyakorolhatja az általános adatvédelemről szóló törvény szerinti vizsgálati és korrekciós hatásköröket. Az adatvédelmi hatóság például bármikor ellenőrzéseket végezhet valamennyi hatóságnál, beleértve a hírszerző ügynökséget is (341).

(216)

Végezetül az igazságszolgáltatás határozatot hoz a polgárok által a hatóságokkal szemben indított perekben, és ebben az összefüggésben felügyelheti a nemzetbiztonsági célból végzett tevékenységeket az alkotmányos jogoknak és a vonatkozó jogszabályi keretnek – többek között az általános adatvédelemről szóló törvénynek – való megfelelés biztosítása érdekében. A bírósági határozatok ellen a szövetségi legfelsőbb bírósághoz és az Emberi Jogok Amerikaközi Bíróságához lehet fellebbezni.

(217)

A brazil rendszer különböző bírósági és közigazgatási jogorvoslati lehetőségeket biztosít, többek között a kártérítés lehetőségét. Ezek a mechanizmusok hatékony adminisztratív és bírósági jogorvoslati lehetőségeket biztosítanak az érintetteknek, lehetővé téve számukra különösen jogaik, többek között a személyes adatokhoz való hozzáférés joga, illetve az említett adatok helyesbíttetésére vagy töröltetésére vonatkozó joguk biztosítását.

(218)

Amint azt e határozat (9) preambulumbekezdése részletezi, a brazil és a harmadik országbeli állampolgárok számára biztosított a jogorvoslathoz való hozzáférés, függetlenül attól, hogy az ország területén tartózkodnak-e vagy sem.

(219)

Először is, az egyéneknek „abszolút” joguk van, hogy jogaik védelmével kapcsolatban pert indítsanak. A polgári perrendtartásban meghatározott általános szabályok értelmében a bírósághoz forduláshoz az egyénnek nem kell bizonyítania a sérelmet (tehát az egyénnek nem kell bizonyítania, hogy megfigyelés alatt áll, vagy hogy adatait nemzetbiztonsági célból kezelték). Az egyén gyakorolhatja a „habeas data” szerinti jogait a hírszerző hatóságok által kezelt adatokkal kapcsolatban (342).

(220)

Amikor az egyének a bírósághoz fordulnak jogorvoslatért, kártérítést követelhetnek. A bűnüldözési célú adatkezeléshez hasonlóan a szövetségi alkotmány és a polgári perrendtartás szolgáltatja a jogalapot az olyan hatóság által okozott nem vagyoni kár vagy vagyoni kár miatti kártérítésre, amelynek során a hatóság jogellenesen gyűjtötte vagy használta fel az adatokat, beleértve a kollektív kereseteket is (343).

(221)

Másodszor, a szövetségi legfelsőbb bíróság megerősítette az általános adatvédelemről szóló törvény nemzetbiztonsági célokra történő részleges alkalmazását, és tágabb értelemben az adatvédelmi hatóság azon hatáskörét, hogy kezelje a személyes adatoknak a hatóságok által nemzetbiztonsági célból történő kezelésével kapcsolatos panaszokat (344). A bíróság ugyanebben az ítéletben megjegyezte, hogy „a személyes adatoknak a közjogi szervek által a jogi és alkotmányos paraméterekkel ellentétes kezelése az általános adatvédelemről szóló törvény 42. cikkének megfelelően megalapozza az államnak a magánszemélyek által elszenvedett károkért való polgári jogi felelősségét” (345).

(222)

Harmadszor, a közös hírszerzési tevékenységet ellenőrző bizottság fogadhatja és kivizsgálhatja az alapvető jogok és garanciák bármely polgár, politikai párt vagy egyesület által hírszerzési és elhárítási tevékenységet végző közjogi szervek és szervezetek által elkövetett megsértésével kapcsolatos panaszait (346). Ennek alapján a közös hírszerzési tevékenységet ellenőrző bizottság ellenőrzéseket vagy vizsgálatokat végezhet. A közös hírszerzési tevékenységet ellenőrző bizottság tehát további közigazgatási jogorvoslati lehetőséget biztosít a nemzetbiztonsági célú adatkezeléssel kapcsolatos jogok megsértése esetén. A közös hírszerzési tevékenységet ellenőrző bizottsághoz beérkező panaszokat ezt követően tovább lehet küldeni a bíróságoknak.

(223)

A brazil rendszerben rendelkezésre álló különböző bírósági jogorvoslati lehetőségek lehetővé teszik az egyének számára, hogy jogorvoslatban részesüljenek. Az egyének különösen kifogásolhatják az állami és hírszerző hatóságok tevékenységének jogszerűségét. Ezenkívül kártérítésben is részesülhetnek.

(224)

A Bizottság úgy véli, hogy a Brazil Szövetségi Köztársaság az általános adatvédelemről szóló törvény által biztosítja az Európai Unióból továbbított személyes adatok olyan szintű védelmét, amely lényegében megegyezik az (EU) 2016/679 rendelet által garantált védelem szintjével.

(225)

A Bizottság ezenfelül úgy ítéli meg, hogy a brazíliai jogban létező felügyeleti mechanizmusok és jogorvoslati megoldások összességében véve lehetővé teszik, hogy a gyakorlatban azonosítsák és szankcionálják, ha a személyes adatokat kezelő és feldolgozó gazdasági szereplők jogsértést követnek el, továbbá jogorvoslatot biztosítanak az érintetteknek, hogy betekinthessenek a rájuk vonatkozó személyes adatokba, és esetleg helyesbíttessék vagy töröltessék ezeket az adatokat.

(226)

Végül a brazíliai jogrendről rendelkezésre álló információk alapján a Bizottság úgy véli, hogy a brazíliai hatóságoknak a közérdekbe, különösen azon egyének alapvető jogaiba bűnüldözési és nemzetbiztonsági célokból történő beavatkozása, akiknek személyes adatait az Unióból Brazíliába továbbítják, a szóban forgó jogszerű cél eléréséhez feltétlenül szükséges mértékre fog korlátozódni, és hogy az említett beavatkozással szemben hatékony jogvédelem áll fenn.

(227)

E határozat megállapításai fényében tehát olyan határozatot kell hozni, hogy az (EU) 2016/679 rendeletnek az Európai Unió Alapjogi Chartájára figyelemmel értelmezett 45. cikke értelmében Brazília megfelelő szintű védelmet biztosít az Európai Unióból a brazíliai adatkezelőknek és adatfeldolgozóknak továbbított személyes adatok tekintetében az általános adatvédelemről szóló törvény hatálya alatt.

(228)

A tagállamok és szerveik kötelesek megtenni az ahhoz szükséges intézkedéseket, hogy megfeleljenek az uniós intézmények jogi aktusainak, mivel azok vélelmezhetően jogszerűek, és ennélfogva mindaddig joghatásokat váltanak ki, amíg azokat vissza nem vonják, megsemmisítés iránti kereset alapján meg nem semmisítik, illetve előzetes döntéshozatal iránti kérelem vagy jogellenességi kifogás következtében érvénytelennek nem nyilvánítják.

(229)

Következésképpen a Bizottságnak az (EU) 2016/679 rendelet 45 cikkének (3) bekezdése alapján elfogadott megfelelőségi határozata kötelező a címzett tagállamok valamennyi szervére, így független felügyeleti hatóságaikra nézve is. E határozat alkalmazásának időtartama alatt különösen az európai uniós adatkezelőtől vagy adatfeldolgozótól a brazíliai adatkezelőkhöz vagy adatfeldolgozókhoz történő továbbításra további engedély beszerzése nélkül kerülhet sor.

(230)

Ugyanakkor emlékeztetni kell arra, hogy az (EU) 2016/679 rendelet 58. cikkének (5) bekezdése alapján, és amint azt a Bíróság a Schrems I.-ítéletben kifejtette, amennyiben egy nemzeti adatvédelmi hatóság megkérdőjelezi – ideértve a panaszra történő eljárást is – a Bizottság megfelelőségi határozatának az egyén magánélethez és adatvédelemhez fűződő alapvető jogaival való összeegyeztethetőségét, a nemzeti jognak biztosítania kell a jogorvoslati lehetőségeket, amelyek lehetővé teszik számára, hogy a nemzeti bíróságok előtt a kifogásokra hivatkozzon annak érdekében, hogy azok esetlegesen előzetes döntéshozatali eljárást kezdeményezhessenek e határozat érvényességének vizsgálata céljából (347).

(231)

A Bíróság ítélkezési gyakorlata alapján (348) és az (EU) 2016/679 rendelet 45. cikkének (4) bekezdésében elismerteknek megfelelően a Bizottság folyamatosan figyelemmel kíséri a harmadik országokban egy megfelelőségi határozat elfogadását követő kapcsolódó fejleményeket, hogy értékelje, hogy a harmadik ország továbbra is biztosítja-e a védelem lényegében azonos szintjét. E vizsgálat mindenképpen szükséges azokban az esetekben, amikor a Bizottság által kapott információk alapján indokolt kétségek merülhetnek fel e tekintetben.

(232)

A Bizottság ezért folyamatosan nyomon követi Brazíliában a helyzetet az ebben a határozatban értékelt, a személyes adatok kezelésére vonatkozó jogi keret és a tényleges gyakorlat vonatkozásában. E tekintetben különös figyelmet kell fordítani az adatvédelmi hatásvizsgálatra vonatkozó követelmények gyakorlati alkalmazására, az átláthatósági követelményekre és azok lehetséges korlátozására a tájékoztatáshoz és a hozzáféréshez való jog tekintetében, az adatvédelmi incidensek bejelentésére vonatkozó szabályokra, a szankciórendszerre, valamint a kormányzati hozzáférésre vonatkozó korlátozásoknak és biztosítékoknak való megfelelésre, figyelembe véve az e tekintetben bekövetkezett releváns fejleményeket.

(233)

E nyomonkövetési folyamat elősegítése érdekében a brazil hatóságok felé, beleértve az adatvédelmi hatóságot, kérés, hogy tájékoztassák a Bizottságot az ezzel a határozattal kapcsolatos érdemi fejleményekről mind a személyes adatok gazdasági szereplők és hatóságok általi kezelését, mind a hatóságok személyes adatokhoz való hozzáférésének korlátozásait és biztosítékait illetően.

(234)

Továbbá annak lehetővé tétele érdekében, hogy a Bizottság hatékonyan lássa el nyomonkövetési feladatát, a tagállamoknak tájékoztatniuk kell a Bizottságot a nemzeti adatvédelmi hatóságok minden vonatkozó lépéséről, különösen az uniós érintetteknek a személyes adatok Európai Unióból Brazília adatkezelői és adatfeldolgozói felé történő továbbításával kapcsolatos kérései vagy panaszai tekintetében. A Bizottságot továbbá tájékoztatni kell minden arra utaló információról, hogy a bűnügyek megelőzéséért, nyomozásáért, felderítéséért vagy a vádemelésért, illetve a nemzetbiztonságért felelős brazil hatóságok – a felügyeleti szerveket is ideértve – intézkedései nem biztosítják a megfelelő szintű védelmet.

(235)

Az (EU) 2016/679 rendelet 45. cikke (3) bekezdésének alkalmazásában (349), valamint tekintettel arra, hogy a brazil jogrend által biztosított védelem szintje megváltozhat, a Bizottság e határozat elfogadását követően rendszeresen felülvizsgálja, hogy a Brazília által biztosított védelem szintjének megfelelőségére vonatkozó megállapítások továbbra is tényszerűen és jogilag indokoltak-e.

(236)

Ebből a célból ezt a határozatot először a hatálybalépését követő négy éven belül kell felülvizsgálni. Legalább négyévente rendszeres időszakos felülvizsgálatra kerül sor (350). A felülvizsgálatoknak ki kell terjedniük e határozat működésének valamennyi aspektusára, beleértve az adatvédelmi hatóság és az uniós adatvédelmi hatóságok közötti együttműködést az egyének panaszaival kapcsolatban. Ki kell terjednie továbbá a felügyelet és a végrehajtás eredményességére a bűnüldözés és a nemzetbiztonság területén.

(237)

A felülvizsgálat elvégzéséhez a Bizottság találkoznia kell az adatvédelmi hatósággal, adott esetben a kormányzati hozzáférésért felelős egyéb brazil hatóságokkal együtt, beleértve az érintett felügyeleti szerveket. E találkozón részt vehetnek az Európai Adatvédelmi Testület tagjainak képviselői. A közös felülvizsgálat keretében a Bizottságnak fel kell kérnie a brazil adatvédelmi hatóságot, hogy nyújtson átfogó tájékoztatást a megfelelőség megállapításának valamennyi lényeges szempontjával kapcsolatban, beleértve a kormányzati hozzáférésre vonatkozó korlátozásokat és biztosítékokat. A Bizottságnak emellett magyarázatot kell keresnie az e határozat vonatkozásában kapott releváns információkkal kapcsolatban, beleértve a brazil hatóságok vagy egyéb brazil érdekeltek, az Európai Adatvédelmi Testület, az egyes adatvédelmi hatóságok és a civil társadalmi csoportok általi nyilvános jelentéseket, a médiajelentéseket vagy egyéb elérhető információforrásokat.

(238)

A felülvizsgálat alapján a Bizottság az Európai Parlamentnek és a Tanácsnak benyújtandó nyilvános jelentést készít.

(239)

Amennyiben a rendelkezésre álló információk, különösen az e határozat nyomon követéséből származó, illetve Brazília vagy a tagállamok hatóságai által szolgáltatott információk arra utalnak, hogy a Brazília által biztosított védelem szintje már nem feltétlenül megfelelő, a Bizottságnak erről tájékoztatnia kell Brazília illetékes hatóságait, és kérheti a megfelelő intézkedések meghatározott, észszerű határidőn belüli meghozatalát.

(240)

Ha az említett határidő lejártakor Brazília illetékes hatóságai nem hozzák meg ezeket az intézkedéseket, vagy más módon nem bizonyítják kielégítően, hogy e határozat továbbra is a megfelelő szintű védelmen alapul, a Bizottság megindítja az (EU) 2016/679 rendelet 93. cikkének (2) bekezdésében említett eljárást e határozat részleges vagy teljes felfüggesztése vagy hatályon kívül helyezése céljából.

(241)

Ennek alternatívájaként a Bizottságnak ezt az eljárást e határozat módosítása céljából indítja meg, különösen az adattovábbításra további feltételek előírásával vagy a megfelelőség megállapítása hatályának azokra az adattovábbításokra korlátozásával, amelyek esetében biztosított a megfelelő szintű védelem folyamatossága.

(242)

A Bizottságnak emellett meg kell vizsgálnia az olyan eljárás kezdeményezésének lehetőségét, amely e határozat módosításához, felfüggesztéséhez vagy visszavonásához vezet, ha a felülvizsgálat összefüggésében vagy más módon az illetékes brazil hatóságok nem adják át az Európai Unióból Brazíliába továbbított személyes adatok védelmének szintje vagy az e határozatnak való megfelelés értékeléséhez szükséges információkat vagy nem adnak erre vonatkozó magyarázatokat. Ebben a tekintetben a Bizottságnak figyelembe kell vennie, hogy milyen mértékben szerezhető be más forrásokból a vonatkozó információ.

(243)

Megfelelően indokolt, rendkívül sürgős esetben a Bizottság élni fog azzal a lehetőséggel, hogy az (EU) 2016/679 rendelet 93. cikkének (3) bekezdésében említett eljárásnak megfelelően azonnal alkalmazandó, a határozatot felfüggesztő, hatályon kívül helyező vagy módosító végrehajtási jogi aktusokat fogadjon el.

(244)

Az Európai Adatvédelmi Testület közzétette véleményét (351), amely e határozat kidolgozásakor figyelembevételre került.

(245)

Az e határozatban előírt intézkedések összhangban vannak az (EU) 2016/679 rendelet 93. cikkének (1) bekezdése alapján létrehozott bizottság véleményével,