(1)

Ar Regulu (ES) 2016/679 ir paredzēti noteikumi, saskaņā ar kuriem Savienībā esoši pārziņi vai apstrādātāji var nosūtīt personas datus trešām valstīm un starptautiskām organizācijām, ciktāl šāda nosūtīšana ietilpst regulas piemērošanas jomā. Noteikumi par datu starptautisko nosūtīšanu ir izklāstīti minētās regulas V nodaļā (44.–50. pants). Lai gan personas datu plūsma uz valstīm ārpus Eiropas Savienības un no tām ir būtiska pārrobežu tirdzniecības un starptautiskās sadarbības paplašināšanas nodrošināšanai, datu nosūtīšana uz trešām valstīm nedrīkst samazināt Savienībā nodrošināto personas datu aizsardzības līmeni (2).

(2)

Atbilstīgi Regulas (ES) 2016/679 45. panta 3. punktam Komisija ar īstenošanas aktu var nolemt, ka trešā valsts, trešās valsts teritorija vai viens vai vairāki konkrēti sektori, vai starptautiska organizācija nodrošina pietiekamu aizsardzības līmeni. Saskaņā ar šo nosacījumu personas datus var nosūtīt uz trešo valsti bez nepieciešamības saņemt jebkādu turpmāku atļauju, kā paredzēts Regulas (ES) 2016/679 45. panta 1. punktā un 103. apsvērumā.

(3)

Kā norādīts Regulas (ES) 2016/679 45. panta 2. punktā, lēmums par aizsardzības līmeņa pietiekamību jāpieņem, pamatojoties uz visaptverošu trešās valsts tiesību sistēmas analīzi, gan attiecībā uz noteikumiem, kas piemērojami datu saņēmējiem, gan attiecībā uz ierobežojumiem un garantijām saistībā ar publisko iestāžu piekļuvi personas datiem. Komisijai novērtējumā jānosaka, vai attiecīgā trešā valsts garantē aizsardzības līmeni, kurš “pēc būtības ir līdzvērtīgs” Eiropas Savienībā nodrošinātajam (3). Standarts, pēc kura tiek novērtēta “līdzvērtība pēc būtības”, ir paredzēts Eiropas Savienības tiesību aktos, it īpaši Regulā (ES) 2016/679, kā arī Eiropas Savienības Tiesas judikatūrā (4). Lai sīkāk precizētu šo standartu un sniegtu norādījumus šajā sakarā, nozīme ir arī Eiropas Datu aizsardzības kolēģijas (EDAK) pietiekamības atsaucēm (5).

(4)

Kā precizējusi Eiropas Savienības Tiesa, trešai valstij nevar prasīt nodrošināt tādu aizsardzības līmeni, kas ir identisks Savienības tiesību sistēmā garantētajam (6). Konkrēti, attiecīgās trešās valsts izmantotie līdzekļi personas datu aizsardzībai var atšķirties no Savienībā izmantotajiem, ja vien tie praksē efektīvi nodrošina pietiekamu aizsardzības līmeni (7). Tāpēc aizsardzības līmeņa pietiekamības standarts neparedz Savienības noteikumu precīzu replicēšanu. Drīzāk ir jāpārbauda, vai attiecīgās valsts tiesību sistēma spēj nodrošināt nepieciešamo aizsardzības līmeni, ņemot vērā tiesību uz privātumu un datu aizsardzības pasākumu būtību (arī to efektīvu īstenošanu, uzraudzību un izpildi), kā arī personas datu pārsūtīšanas apstākļus (8).

(5)

Komisija ir analizējusi Brazīlijas Federatīvās Republikas (turpmāk – “Brazīlija”) tiesību aktus un praksi. Pamatojoties uz 7.–223. apsvērumā izklāstītajiem konstatējumiem, Komisija secina, ka Brazīlija nodrošina pietiekamu aizsardzības līmeni personas datiem, kas tiek pārsūtīti no Eiropas Savienības uz Brazīliju Regulas (ES) 2016/679 piemērošanas jomas ietvaros.

(6)

Saskaņā ar šo lēmumu nav nepieciešams saņemt jebkādu turpmāku atļauju datu nosūtīšanai no pārziņiem un apstrādātājiem Savienībā pārziņiem un apstrādātājiem Brazīlijā. Tas neietekmē Regulas (ES) 2016/679 tiešu piemērošanu šādām vienībām, ja ir izpildīti minētās regulas 3. pantā paredzētie nosacījumi attiecībā uz tās teritoriālo darbības jomu.

(7)

Brazīlija ir federatīva republika, ko veido 26 štatu un Federālā distrikta savienība, kā noteikts tās Federālajā konstitūcijā (turpmāk – “konstitūcija”) (9). Brazīlijas štatiem ir arī savas konstitūcijas, kas nedrīkst būt pretrunā Federālajai konstitūcijai (10). Brazīlijā ir prezidentāla sistēma, kurā prezidentu un likumdevēju palātu (t. i., Deputātu palātas un Federālā senāta) locekļus ievēl tiešās vēlēšanās.

(8)

Privātums un datu aizsardzība konstitūcijā ir aizsargāti kā pamattiesības. Konkrētāk, konstitūcijas 5. panta X daļa aizsargā fizisku personu intimitāti un privāto dzīvi, 5. panta XII daļa garantē sarakstes, tai skaitā datu, slepenību un 5. panta LXXIX daļā ir noteiktas tiesības uz personas datu aizsardzību tiešsaistē un bezsaistē (11).

(9)

Saskaņā ar konstitūcijas 5. pantu visas konstitūcijā paredzētās tiesības attiecas uz Brazīlijas pilsoņiem un ārvalstniekiem, kas uzturas Brazīlijā. Federālajos likumos ir precizēts, ka ikvienai personai Brazīlijas teritorijā, vai tā būtu šīs valsts rezidents vai nerezidents, ir tiesības uz pamattiesību aizsardzību (12). Kā uzsvērts arī attiecīgajā juridiskajā doktrīnā, konstitucionālajā judikatūrā šādu tiesību aizsardzības tvērums ir paplašināts, iekļaujot ārvalstīs dzīvojošus ārvalstniekus (13). Tādējādi jebkurš ārvalstnieks neatkarīgi no tā, vai viņš dzīvo vai nedzīvo Brazīlijā, var atsaukties uz šo konstitucionālo aizsardzību (14).

(10)

Brazīlija 1992. gadā ratificēja Amerikas Cilvēktiesību konvenciju, kas pazīstama kā Sanhosē pakts (turpmāk – “konvencija”) (15). Cita starpā konvencijas 11. pants garantē tiesības uz privātumu un 8. pants aizsargā tiesības uz taisnīgu tiesu. Brazīlija 1998. gadā atzina Amerikas Cilvēktiesību tiesas saistošo kompetenci attiecībā uz konvencijas interpretāciju un piemērošanu (16). Tiesa var pieņemt lēmumus par tiesību piemērošanu saistībā ar darbībām, ko veic publiskās iestādes Brazīlijā, arī iestādes, kas veic uzdevumus sabiedriskās drošības un aizsardzības nolūkos (17).

(11)

Brazīlija 2018. gadā ir pieņēmusi vispārīgu tiesību aktu datu aizsardzības jomā, kas paredz garantijas visām fiziskām personām neatkarīgi no to valstspiederības: Vispārīgo datu aizsardzības likumu jeb Lei Geral de Proteção de Dados (turpmāk – “LGPD”) (18).

(12)

Kopš LGPD pieņemšanas tas ir nostiprināts un precizēts ar turpmākiem tiesību aktiem. Konkrētāk, ar 2019. gada Likumu Nr. 13.853 tika izveidota Brazīlijas Datu aizsardzības iestāde (19) ar nosaukumu Agência Nacional de Proteção de Dados, turpmāk – “ANPD”, kas ar 2022. gadā pieņemtiem tiesību aktiem (20) tika pārveidota par neatkarīgu iestādi. Šie tiesību akti tika papildināti ar turpmākiem saistošiem dekrētiem, lai citstarp paaugstinātu ANPD statusu (21), sīkāk noteiktu tās sastāvu un direktoru iecelšanas procedūru (22).

(13)

Kā sīkāk aprakstīts šā lēmuma 125.–141. apsvērumā, ANPD ir iestāde, kas atbild par LGPD interpretāciju un izpildi. Šajā kontekstā tā regulāri izdod saistošus noteikumus, ar ko interpretē un piemēro tiesību aktus. Piemēram, tā ir pieņēmusi vairākus noteikumus, lai turpinātu pilnveidot sankciju režīmu un precizētu noteikumus par datu aizsardzības pārkāpumu paziņošanu (23). Papildu norādījumus par LGPD piemērošanu un interpretāciju ANPD sniedz dokumentu un rokasgrāmatu veidā, piemēram, pieņemtajos dokumentos un rokasgrāmatās par juridiskā pamata (piemēram, leģitīmas intereses) un būtisku LGPD jēdzienu (piemēram, sankcijas, datu aizsardzības speciālists) interpretāciju.

(14)

Īstenojot starptautisko iesaisti datu aizsardzības veicināšanā un aizsardzībā, Brazīlijas ANPD 2023. gadā kopā ar visām Eiropas Savienības datu aizsardzības iestādēm kļuva par Pasaules privātuma asamblejas (24) locekli. Turklāt Brazīlija kā novērotāja pievienojās Eiropas Padomes Konvencijas Nr. 108 par personu aizsardzību attiecībā uz personas datu automātisku apstrādi komitejai (25). Brazīlija ir bijusi vadošā valsts vairākos Apvienoto Nāciju Organizācijā (ANO) gūtajos panākumos attiecībā uz tiesībām uz privātumu. Brazīlija kopā ar Vāciju ieviesa ANO rezolūciju par tiesībām uz privātumu digitālajā laikmetā, ko ANO Ģenerālā asambleja pieņēma 2013. un 2014. gadā (26). Minētajā rezolūcijā cita starpā ir norādīts, ka “nelikumīga vai patvaļīga saziņas novērošana un/vai pārtveršana, kā arī nelikumīga vai patvaļīga personas datu vākšana kā ļoti agresīvas darbības pārkāpj tiesības uz privātumu un vārda brīvību un var būt pretrunā demokrātiskas sabiedrības principiem”. Tajā valstis tiek aicinātas pārskatīt datu vākšanas noteikumus, lai tos saskaņotu ar starptautiskajām cilvēktiesībām, un “izveidot vai saglabāt esošos neatkarīgus, iedarbīgus iekšzemes pārraudzības mehānismus, kas vajadzības gadījumā spēj nodrošināt pārredzamību un pārskatatbildību par valsts veikto saziņas uzraudzību, tās pārtveršanu un personas datu vākšanu” (27).

(15)

Brazīlijas tiesiskais regulējums, ko piemēro personas datiem, kuri nosūtīti saskaņā ar šo lēmumu, pēc savas struktūras un galvenajiem elementiem ir līdzīgs tam, ko piemēro Eiropas Savienībā. Minētais ietver arī to, ka regulējums balstās ne tikai uz pienākumiem, kas noteikti valsts tiesību aktos, un tiesībām, kas garantētas tās konstitūcijā, bet arī uz starptautiskajās tiesībās nostiprinātajām saistībām, jo īpaši tādēļ, ka Brazīlija pievienojusies Amerikas Cilvēktiesību konvencijai un atzinusi Amerikas Cilvēktiesību tiesas jurisdikciju (28).

(16)

LGPD attiecas uz jebkādu personas datu apstrādi Brazīlijā neatkarīgi no šādas darbības veikšanai izmantotajiem līdzekļiem (29).

(17)

LGPD 3. pantā ir precizēta likuma teritoriālā darbības joma, norādot, ka tas ir piemērojams: 1) apstrādes darbībām, ko veic Brazīlijas teritorijā (kas aptver federālo līmeni, štatus, Federālo distriktu un pašvaldības), 2) apstrādes darbībām, kuru nolūks ir piedāvāt vai piegādāt preces vai pakalpojumus, vai datu apstrādei par fiziskām personām, kas atrodas Brazīlijas valsts teritorijā, kā arī 3) gadījumiem, kad apstrādātie personas dati ir vākti Brazīlijas valsts teritorijā. Šis regulējums ir līdzīgs pieejai, kas izmantota Regulas (ES) 2016/679 3. pantā.

(18)

Turklāt saskaņā ar LGPD 3. panta II daļu šis likums attiecas uz visu to fizisko personu personas datu apstrādi, kuras atrodas valsts teritorijā. Tas ietver apstrādi, ko veic, lai uzraudzītu fizisku personu uzvedību teritorijā neatkarīgi no tā, kur dati tiek apstrādāti.

(19)

Visbeidzot, saskaņā ar Federālās Augstākās tiesas (Supremo Tribunal Federal, turpmāk – “STF”) praksi no tā izriet, ka konstitūcijā paredzētā pamattiesību aizsardzība, piemēram, tiesības uz datu aizsardzību, attiecas uz jebkuru personu neatkarīgi no datu subjekta valstspiederības vai dzīvesvietas (30).

(20)

LGPD 5. panta I daļā personas dati ir definēti kā informācija, kas attiecas uz identificētu vai identificējamu fizisku personu. Likumā ir noteikts, ka “datu subjekts” ir “fiziska persona, uz kuru attiecas apstrādājamie personas dati” (31).

(21)

Turklāt par personas datiem saskaņā ar LGPD uzskata arī pseidonimizētu informāciju, t. i., informāciju, kas vairs nevar tieši vai netieši identificēt konkrētu fizisku personu vai būt ar to saistīta, neizmantojot/nekombinējot papildu informāciju, lai atjaunotu informāciju tās sākotnējā stāvoklī (32).

(22)

Savukārt informācija, kas ir pilnībā “anonimizēta”, ir izslēgta no LGPD piemērošanas jomas (33). Saskaņā ar LGPD 5. pantu anonimizēti dati ir dati, kurus, izmantojot saprātīgus un tehniskus līdzekļus, kas pieejami apstrādes laikā, nevar tieši vai netieši saistīt ar fizisku personu. LGPD 12. pantā ir precizēts, ka anonimizēti dati netiek uzskatīti par personas datiem, izņemot gadījumus, kad anonimizācijas process, kuram dati iesniegti, ir atcelts vai ja to var atcelt ar “saprātīgām pūlēm”. LGPD 12. pantā ir arī uzsvērts, ka, nosakot to, kādas pūles tiek uzskatītas par “saprātīgām”, ņem vērā objektīvus faktorus, piemēram: 1) izmaksas un laiku, kas vajadzīgs deanonimizācijai, 2) pieejamo tehnoloģiju, un 3) vienīgi paša datu pārziņa līdzekļu izmantošanu. LGPD ieviestā pieeja anonimizācijai un garantijas datu deanonimizācijas novēršanai ir līdzīgas tām, kas tiek izmantotas ES.

(23)

Tas atbilst Regulas (ES) 2016/679 materiālajai darbības jomai un tās jēdzieniem “personas dati”, “pseidonimizācija” un “anonimizēta informācija”.

(24)

Gan Eiropas Savienības, gan Brazīlijas sistēmās jēdziena “apstrāde” definīcijas attiecas uz “jebkuru darbību”, kas tiek veikta ar personas datiem (34). LGPD 5. panta X daļā ir sniegts šāds neizsmeļošs to darbību saraksts, kas uzskatāmas par apstrādi: “informācijas vākšana, sagatavošana, saņemšana, klasificēšana, izmantošana, piekļuve, reproducēšana, nosūtīšana, izplatīšana, apstrāde, arhivēšana, uzglabāšana, dzēšana, vērtēšana vai kontrole, modificēšana, paziņošana, pārsūtīšana, apraide vai izgūšana”.

(25)

Datu pārziņa jēdziens LGPD ir definēts kā publiska vai privāta fiziska vai juridiska persona, kas ir atbildīga par lēmumiem par personas datu apstrādi (35).

(26)

Datu apstrādātāja jēdziens LGPD ir definēts kā publiska vai privāta fiziska vai juridiska persona, kas veic personas datu apstrādi pārziņa vārdā (36). Apstrādātājam apstrāde jāveic saskaņā ar norādījumiem, ko sniedzis pārzinis, kurš ir atbildīgs par atbilstības pārbaudi (37).

(27)

Pārzinim un apstrādātājam ir jāreģistrē personas datu apstrādes darbības, ko tie veic, it īpaši, ja to pamatā ir leģitīmas intereses (38).

(28)

Saskaņā ar LGPD divi vai vairāki pārziņi, kas ir tieši iesaistīti apstrādē, kuras rezultātā datu subjektam ir nodarīts kaitējums, ir solidāri atbildīgi (39). Apstrādātājs ir solidāri atbildīgs par apstrādes rezultātā nodarīto kaitējumu, ja tas nepilda LGPD 44. pantā noteiktos pienākumus vai nav ievērojis pārziņa juridiskos norādījumus (40).

(29)

Tāpēc noteikumi, kas reglamentē attiecības starp pārziņiem un apstrādātājiem saskaņā ar LGPD, ir līdzīgi Regulas (ES) 2016/679 IV nodaļas noteikumiem.

(30)

Tāpat kā Eiropas Savienības sistēmā LGPD neattiecas uz anonimizētiem datiem (41), personas datu apstrādi tīri privātām vajadzībām (42) vai apstrādi, ko veic vienīgi sabiedriskās drošības, valsts aizsardzības, valsts drošības vai noziedzīgu nodarījumu izmeklēšanas un kriminālvajāšanas nolūkos (43).

(31)

Tomēr atbrīvojums sabiedrības drošības, valsts aizsardzības, valsts drošības un noziedzīgu nodarījumu izmeklēšanas un kriminālvajāšanas jomā ir daļējs. Federālā Augstākā tiesa ir interpretējusi LGPD piemērojamību, ņemot vērā personas datu konstitucionālo aizsardzību, un noteikusi, ka LGPD galvenie principi, tiesības un mērķi attiecas uz visu personas datu apstrādi, ko veic publiskās iestādes, tostarp ja tā tiek veikta “izlūkošanas” nolūkos (44). Turklāt nosacījumi personas datu apstrādei sabiedrības drošības, valsts aizsardzības, valsts drošības vai noziedzīgu nodarījumu izmeklēšanas un kriminālvajāšanas nolūkos ir noteikti LGPD 4. panta 2.–4. punktā, konkrēti, ar mērķi liegt privātām struktūrām apstrādāt datus šādiem nolūkiem, uzdot ANPD sagatavot tehniskus atzinumus un ieteikumus šajā jautājumā un pilnvarot ANPD pieprasīt datu aizsardzības ietekmes novērtējumu saistībā ar šīm darbībām (45). Pamatojoties uz to, ANPD, piemēram, ir veikusi izmeklēšanu un izdevusi norādījumus, tādus kā Tieslietu un sabiedriskās drošības ministrijai adresētu tehnisku piezīmi par tehnoloģiju – tai skaitā sejas atpazīšanas – izmantošanu publiskās vietās (46). Šajā piezīmē ANPD atgādināja, ka apstrāde šajos nolūkos ir jāsamēro ar vispārējiem principiem un tiesībām, ko paredz LGPD (47).

(32)

Ar LGPD 4. panta II daļu arī ievieš daļēju atbrīvojumu no likuma attiecībā uz personas datu apstrādi akadēmiskās pētniecības nolūkos un žurnālistikas un mākslas nolūkos.

(33)

Attiecībā uz akadēmisko pētniecību atbrīvojumu ierobežo vairāki elementi. Pirmkārt, saskaņā ar LGPD 4. panta II daļu apstrāde ir jāveic “tikai” akadēmiskās pētniecības nolūkos. Otrkārt, LGPD 4. panta II daļas b) punktā ir noteikts, ka uz šāda veida apstrādi attiecas 7. pants (prasība par juridisko pamatu) un 11. pants (noteikumi par sensitīvu datu apstrādi) (48). Treškārt, ANPD ir izstrādājusi orientējošus norādījumus, lai sīkāk precizētu noteikumus, kas piemērojami datu apstrādei akadēmiskos un pētniecības nolūkos, tai skaitā stingri nosakot, kuras struktūras var uzskatīt par “pētniecības struktūru”, kā definēts LGPD 5. panta XVII daļā (49). Šajos norādījumos ANPD apstiprina, ka datu apstrāde akadēmiskās pētniecības nolūkos ir tikai daļēji atbrīvota no LGPD un ka tiks piemēroti šā tiesību akta vispārīgie principi (50).

(34)

Konkrēti attiecībā uz datiem, ko izmanto pētniecībā veselības jomā, LGPD ir paredzēti papildu ierobežojumi. No vienas puses, LGPD 13. pantā ir noteikti drošības pienākumi attiecībā uz izmantotajām datubāzēm un mudināts izmantot anonimizācijas un pseidonimizācijas metodes. Tajā arī paredzēts, ka pētniecības iestādes tiks sauktas pie atbildības, ja tās neīstenos drošības pasākumus personas datu aizsardzībai (51). No otras puses, pētniecībai veselības jomā izmantoto datu nodošana trešai personai “jebkuros apstākļos ir aizliegta” (52).

(35)

Attiecībā uz personas datu apstrādi žurnālistikas un mākslas nolūkos LGPD atbrīvojums ir līdzīgs tam, kas paredzēts Regulas (ES) 2016/679 85. panta 2. punktā. Atbrīvojums saskaņā ar LGPD attiecas uz situāciju, kad apstrāde tiktu veikta “tikai” šiem nolūkiem (53). Tas nozīmē, ka gadījumos, kad preses, mediju un mākslas struktūras apstrādā personas datus citiem nolūkiem, piemēram, cilvēkresursu pārvaldībai vai iekšējai administrācijai, LGPD ir piemērojams pilnā apmērā.

(36)

Gan mākslinieciskā izpausme, gan mediju brīvība ir daļa no vārda brīvības saskaņā ar konstitūcijas 5. panta IX daļu, kas garantē vārda brīvību “intelektuālai, mākslinieciskai, zinātniskai un saziņas” runai. Vārda brīvības un citu tiesību (arī tiesību uz privātumu un datu aizsardzību) samēra pārbaudi reglamentē konstitūcijā noteiktie kritēriji, kā tos interpretējusi Federālā Augstākā tiesa. Konkrēti, tiesību uz vārda brīvību īstenošanai nav nepieciešama iepriekšēja atļauja, bet uz to joprojām attiecas ierobežojumi, kas noteikti saistībā ar citu pamattiesību aizsardzību. Konkrētāk, fiziska persona var prasīt kompensāciju, ja ir nodarīts kaitējums vai pārkāptas tiesības uz privātumu saskaņā ar konstitūcijas 5. panta X daļu. Turklāt šīs garantijas tika integrētas Civiltiesiskajā regulējumā interneta jomā, kas ir 2014. gadā pieņemts likums ar mērķi aizsargāt pamattiesības tiešsaistē (54). Konkrētāk, Civiltiesiskā regulējuma interneta jomā 7. panta I daļā ir garantēta “privātuma neaizskaramība” un noteiktas tiesības uz kompensāciju par jebkādu mantisku vai morālu kaitējumu, kas radies tās pārkāpšanas rezultātā. Turklāt STF savā judikatūrā atsaucas uz nepieciešamību “nodrošināt līdzsvaru starp tiesībām, saskaņojot tiesības uz vārda brīvību ar privātuma neaizskaramību”, uzsverot, cik svarīgas ir tiesības uz tiesisko aizsardzību un piekļuvi tiesiskās aizsardzības līdzekļiem privātuma pārkāpuma gadījumā (55). Citā lietā STF atgādināja, ka “preses un sociālās saziņas brīvības ir jāīsteno saskaņā ar citiem konstitucionālajiem principiem”, piemēram, privātuma neaizskaramību un tiesībām uz datu aizsardzību (56).

(37)

Visbeidzot, LGPD no šā likuma darbības jomas atbrīvo tādu datu apstrādi, kuru izcelsme ir ārpus Brazīlijas un kuri 1) netiek kopīgoti ar apstrādes veicējiem Brazīlijā vai netiek tiem paziņoti, vai 2) kuru izcelsme ir valstī, kas saskaņā ar LGPD tiek uzskatīta par atbilstīgu, ja vien tie netiek pārsūtīti uz citu valsti (57). ANPD savos noteikumos par datu nosūtīšanu ir sniegusi saistošu interpretāciju nolūkā stingri izskaidrot šos divus scenārijus (58).

(38)

Saskaņā ar pirmo scenāriju likums neattiektos uz vienkāršu personas datu tranzītu caur Brazīliju bez jebkādas papildu apstrādes šajā valstī (59). Tomēr, tiklīdz datiem piekļūtu, tos izmantotu vai kā citādi apstrādātu Brazīlijā, tiktu piemērots LGPD. Šajā ierobežotajā scenārijā turpinātu piemērot arī esošos iekšzemes noteikumus par kiberdrošību un publisko iestāžu piekļuvi datiem, neatkarīgi no tā, vai dati tiek apstrādāti vai paliek tikai tranzītā.

(39)

Attiecībā uz otro scenāriju ANPD ir precizējusi, ka no likuma ir izslēgta tikai tādu datu atpakaļnosūtīšana, kas sākotnēji tikuši nosūtīti no valsts, uz kuru attiecas lēmums par aizsardzības līmeņa pietiekamību saskaņā ar LGPD, ja vien šīs valsts, kas nodrošina pietiekamu aizsardzības līmeni, tiesību akti attiecas uz šo apstrādi. Arī šajā gadījumā turpinātu piemērot noteikumus par kiberdrošību un publisko iestāžu piekļuvi datiem. Saistībā ar personas datu nosūtīšanu starp ES un Brazīliju, ja ES gūtu labumu no Brazīlijas lēmuma par aizsardzības līmeņa pietiekamību, datu atpakaļnosūtīšana no Brazīlijas uz ES ne vienmēr ietilptu Regulas (ES) 2016/679 3. panta darbības jomā. Tāpēc gadījumos, kad attiecīgā apstrāde neietilpst Regulas (ES) 2016/679 darbības jomā, no Noteikumu par datu nosūtīšanu 8. panta II daļas b) punkta izriet, ka LGPD tiktu piemērots datu atpakaļnosūtīšanai no Brazīlijas uz ES.

(40)

Personas dati ir jāapstrādā likumīgi un godprātīgi.

(41)

Likumīguma, godprātības un pārredzamības principi, kā arī likumīgas apstrādes pamati ir garantēti saskaņā ar LGPD 6. un 7. pantu ar nosacījumiem, kas ir līdzīgi Regulas (ES) 2016/679 5. un 6. pantam.

(42)

Saskaņā ar LGPD 6. un 7. pantu pārziņi un apstrādātāji personas datus apstrādā minimālajā apjomā, kāds nepieciešams paredzētā nolūka sasniegšanai, aptverot datus, kas ir būtiski un samērīgi un kuru apjoms nav pārmērīgs attiecībā uz nolūku (60).

(43)

Šie vispārējie likumīgas apstrādes principi ir sīkāk precizēti LGPD 7. pantā, kurā izklāstīti dažādi apstrādes juridiskie pamati, tai skaitā apstākļi, kādos apstrāde var būt saistīta ar nolūka maiņu.

(44)

Saskaņā ar LGPD 7. pantu pārzinis un apstrādātājs drīkst apstrādāt personas datus, pamatojoties tikai uz ierobežotu skaitu juridisko pamatu. Šie LGPD paredzētie juridiskie pamati ir šādi: 1) datu subjekta piekrišana (I daļa), 2) nepieciešamība izpildīt līgumu vai iepriekšējas procedūras, kas saistītas ar līgumu, kura līgumslēdzēja puse ir datu subjekts, pēc datu subjekta pieprasījuma (V daļa), 3) pārziņa juridiska vai regulatīva pienākuma izpilde (61) (II daļa), 4) datu subjekta vai trešās personas dzīvības vai fiziskās drošības aizsardzība (VII daļa), 5) datu apstrāde, ko veic publiskās pārvaldes struktūra un kas ir nepieciešama, lai īstenotu normatīvajos aktos paredzēto valsts politiku vai pamatojoties uz līgumiem, nolīgumiem vai līdzīgiem instrumentiem (62) (III daļa), un 6) ja tas ir nepieciešams, lai īstenotu pārziņa vai trešās personas leģitīmas intereses, izņemot gadījumus, kad datu subjekta pamattiesības un brīvības, kas prasa personas datu aizsardzību, ir svarīgākas (IX daļa).

(45)

LGPD 7. pantā ir paredzēti četri konkrēti datu apstrādes papildu juridiskie pamati, proti: 1) pētījumiem, ko veic pētniecības struktūras, pēc iespējas nodrošinot personas datu anonimizāciju (IV daļa), 2) tiesību regulārai īstenošanai tiesas, administratīvajā vai šķīrējtiesas procesā (63) (VI daļa), 3) veselības aizsardzībai – tikai procedūrā, ko veic veselības aprūpes speciālisti, veselības dienesti vai veselības/sanitārās iestādes (VIII daļa), un 4) kredītaizsardzībai (X daļa) (64).

(46)

Formālās prasības derīgas piekrišanas iegūšanai personas datu apstrādei saskaņā ar LGPD ir noteiktas 8. pantā, ievērojot līdzīgu pieeju kā Regulas (ES) 2016/679 4. panta 11. punktā un 7. pantā. Pirmkārt, piekrišana ir jāsniedz vai nu rakstiski, vai arī izmantojot citus līdzekļus, ar kuriem var pierādīt datu subjekta “gribas izpausmi” (65). ANPD savās pamatnostādnēs ir precizējusi, ka “piekrišanai jābūt nepārprotamai, un tas nozīmē, ka ir jāsaņem skaidra un pozitīva datu subjekta gribas izpausme”, proti, nav atļauts saņemt piekrišanu “klusējot vai datu subjekta bezdarbības veidā” (66). Otrkārt, piekrišana attiecas uz “konkrētiem nolūkiem”, un “vispārējas atļaujas personas datu apstrādei” uzskata par spēkā neesošām (67). Treškārt, piekrišana ir apzināta – to panāk, nodrošinot informāciju, kas sniegta “pārredzamā, skaidrā un nepārprotamā” veidā (68). Ja piekrišana ir iekļauta plašākā līgumā, tai ir jābūt iekļautai atsevišķā un īpašā klauzulā, kas skaidri atšķiras no citiem līguma noteikumiem (69). Turklāt piekrišanu uzskata par spēkā neesošu, ja datu subjektam sniegtā informācija ietver “maldinošu vai ļaunprātīgu saturu” (70). Pārzinim ir arī jāinformē datu subjekts par jebkādām izmaiņām attiecībā uz: 1) apstrādes nolūkiem, 2) apstrādes veidu vai ilgumu, 3) pārziņa identitāti vai 4) jebkādu citu informāciju par datu apstrādi un datu iespējamo kopīgošanu (71). Ceturtkārt, datu subjekts var “jebkurā laikā atsaukt” piekrišanu, izmantojot “bezmaksas procedūru” (72).

(47)

LGPD ir noteikts stingrs personas datu apstrādes aizliegums, ja piekrišana ir nepilnīga vai spēkā neesoša (73). LGPD ir arī precizēts, ka pārzinim ir pienākums pierādīt, ka piekrišana likumīgi iegūta saskaņā ar LGPD (74).

(48)

Visbeidzot, LGPD ir noteikts, ka gadījumā, ja piekrišana būtu piemērots apstrādes juridiskais pamats, ja datu subjekts personas datus ir “apzināti publiskojis”, tiek uzskatīts, ka prasība par piekrišanu ir atcelta (75). Jēdziens “apzināti publiskoti dati” ir atrodams arī Regulas (ES) 2016/679 9. pantā. Tomēr pat tad, ja tiek uzskatīts, ka piekrišana nav dota, pārziņi un apstrādātāji nav atbrīvoti no visu pārējo LGPD noteikto tiesību un pienākumu ievērošanas (76). Konkrētāk, datus, kurus datu subjekts ir apzināti publiskojis, var tālāk apstrādāt ar nosacījumu, ka tas tiek darīts “leģitīmos un konkrētos” nolūkos un ka tiek ievērotas datu subjektu tiesības un saskaņā ar LGPD noteiktie principi (77).

(49)

LGPD 7. panta IX daļā ir noteikts, ka personas datu apstrādi nekad nevar veikt leģitīmu interešu dēļ, ja šāda apstrāde būtu pretrunā datu subjektu pamattiesībām un brīvībām, uzsverot, ka noteicošā ir personas datu aizsardzība. Šī pieeja ir līdzīga tai, ko izmanto ES un kas izklāstīta Regulas (ES) 2016/679 6. panta 1. punkta f) apakšpunktā.

(50)

LGPD 10. pantā ir paredzēti papildu nosacījumi, saskaņā ar kuriem pārziņi var atsaukties uz “leģitīmām interesēm” kā personas datu apstrādes juridisko pamatu. Pirmkārt, ja personas datu apstrādes pamatā ir leģitīmas intereses, pārzinis apstrādā tikai tādus personas datus, kas ir “absolūti nepieciešami” paredzētajam nolūkam (78). Otrkārt, pārziņiem ir arī jāīsteno pasākumi savu apstrādes darbību pārredzamības nodrošināšanai (79). Treškārt, uz leģitīmām interesēm var atsaukties tikai “īpašās situācijās” (80).

(51)

Turklāt ANPD ir publicējusi “Leģitīmo interešu rokasgrāmatu”, kurā sīki izklāstīti leģitīmo interešu izmantošanas nosacījumi (81). Šajā rokasgrāmatā, piemēram, ir precizēts, ka leģitīmas intereses nevar izmantot par juridisku pamatu sensitīvu datu apstrādei (82), un tās pielikumā ir arī sniegts samēra pārbaudes paraugs pamattiesību un pamatbrīvību aizsardzībai, ko var izmantot visi pārziņi, kuri vēlas atsaukties uz leģitīmām interesēm (83). Turklāt ANPD var pieprasīt pārzinim veikt novērtējumu par ietekmi uz datu aizsardzību (84).

(52)

Rokasgrāmatā ANPD precizēja, ka, lai intereses uzskatītu par “leģitīmām”, ir jābūt izpildītiem trim nosacījumiem: 1) nodrošināta saderība ar Brazīlijas tiesību sistēmu, 2) sniegta atsauce uz konkrētu situāciju un 3) apstrāde ir saistīta ar leģitīmiem, konkrētiem un skaidriem nolūkiem (85). Pirmais nosacījums (“saderība ar tiesību sistēmu”) paredz, ka leģitīmajām interesēm, uz kurām atsaucas pārzinis, ir jābūt saderīgām ar Brazīlijā garantētajiem principiem, tiesību normām un pamattiesībām. Tas nozīmē, piemēram, ka paredzētā personas datu apstrāde nedrīkst būt aizliegta ar Brazīlijas tiesību aktiem un nedrīkst tieši vai netieši būt pretrunā Brazīlijas tiesību aktos noteiktajām tiesību normām vai principiem. Otrkārt, izvirzītajām leģitīmajām interesēm ir jābūt balstītām uz “konkrētām, skaidrām un precīzām” situācijām, kuru mērķis ir īstenot konkrētas un skaidri definētas intereses. Minētās leģitīmās intereses nevar pamatot ar “abstraktām vai tikai spekulatīvām situācijām” (86). ANPD ir arī precizējusi, ka intereses, kas nav saistītas ar “pārziņa pašreizējām darbībām, netiek uzskatītas par leģitīmām” (87). Trešais nosacījums attiecas uz nepieciešamību pierādīt konkrētu apstrādes nolūku. ANPD atzīmē, ka pārziņa leģitīmās intereses (kas pamato apstrādi) nedrīkst jaukt ar apstrādes nolūku (kas ir konkrētais nolūks, kuru paredzēts sasniegt, veicot apstrādi). Leģitīmu interešu esība neizslēdz pārziņa pienākumu ievērot nolūka ierobežojuma principu un visus pienākumus, kas izriet no LGPD. Nolūks ir jāapraksta skaidri un precīzi, sniedzot informāciju, kas vajadzīga, lai noteiktu apstrādes apjomu un ļautu izsvērt pārziņa vai trešo personu intereses attiecībā pret datu subjektu tiesībām un tiesisko paļāvību (88). Tas nozīmē, ka, pamatojoties uz leģitīmām interesēm savas darbības atbalstīšanai vai veicināšanai, pārzinim cita starpā ir skaidri jādefinē, kuru darbību tas plāno veicināt vai atbalstīt, un jānorāda saikne ar paredzēto apstrādi.

(53)

Būtu vajadzīgas īpašas garantijas gadījumos, kad tiek apstrādāti “īpašu kategoriju” dati.

(54)

LGPD 5. panta II daļā sensitīvi personas dati ir definēti kā “personas dati, kas attiecas uz rasi vai etnisko izcelsmi, reliģisko pārliecību, politiskajiem uzskatiem, piederību arodbiedrībai vai reliģiskai, filozofiskai vai politiskai organizācijai, veselības vai seksuālās dzīves datiem un ģenētiskajiem vai biometriskajiem datiem, ja tie ir saistīti ar fizisku personu”. No valsts tiesu prakses izriet, ka seksuālā dzīve būtu jāinterpretē kā tāda, kas aptver arī personas seksuālo orientāciju vai izvēles. Konkrētāk, STF savā judikatūrā par viendzimuma laulībām nosprieda, ka diskriminācija “dzimuma” dēļ ietver arī “seksuālo orientāciju” (89) un ka brīvība īstenot savu “seksuālo orientāciju” ir “priekšnoteikums personas personības attīstībai”, kas ir aizsargāta ar konstitūciju (90). Tāpēc datu kategorijas, ko Brazīlijas tiesību aktos uzskata par sensitīviem datiem, ir tādas pašas kā saskaņā ar Regulas (ES) 2016/679 9. panta 1. punktu.

(55)

Brazīlijas tiesas ir vēl vairāk paplašinājušas sensitīvu personas datu definīciju saskaņā ar LGPD, iekļaujot cita veida informāciju, ko varētu izmantot, lai diskriminētu fiziskas personas (91). Šāda interpretācija izriet no Brazīlijas tiesību normās paredzētajām tiesībām uz aizsardzību pret diskrimināciju, kas atspoguļotas arī LGPD 6. panta IX daļā. Konkrētāk, Brazīlijas judikatūrā ir precizēts, ka informāciju par sodāmību uzskata par sensitīviem datiem (92).

(56)

Sensitīvu datu apstrāde saskaņā ar LGPD ir atļauta tikai tad, ja datu subjekts vai tā juridiskais pārstāvis ir devis “konkrētu un skaidru” piekrišanu konkrētiem nolūkiem (93). Piemēro šā lēmuma 46.–48. apsvērumā aprakstītos derīgas piekrišanas nosacījumus.

(57)

Saskaņā ar LGPD 11. panta II daļu bez datu subjekta nepārprotamas piekrišanas sensitīvu datu apstrādi var veikt: 1) ja apstrāde ir nepieciešama, lai izpildītu pārziņa juridisku vai regulatīvu pienākumu (a) punkts), 2) ja tas ir nepieciešams apstrādei, ko veic publiskās pārvaldes struktūra, lai izpildītu normatīvajos aktos paredzēto valsts politiku (b) punkts), 3) datu subjekta vai trešās personas dzīvības vai fiziskās drošības aizsardzībai (e) punkts), 4) tiesību izmantošanai, arī līgumu un tiesu administratīvajās procedūrās un šķīrējtiesas procedūrās, saskaņā ar Brazīlijas tiesību aktiem (d) punkts), 5) datu subjektu veselības aizsardzībai – tikai procedūrās, ko veic veselības aprūpes speciālisti, veselības dienesti vai sanitārās iestādes (f) punkts), 6) pētniecības iestādes nolūkā veikt pētījumus, kad vien iespējams, nodrošinot datu anonimitāti (c) punkts), un 7) lai nodrošinātu krāpšanas novēršanu un datu subjektu drošību identifikācijas un autentifikācijas procesos, reģistrējoties elektroniskās sistēmās. Tāpēc sensitīvu datu apstrādes pamatojums saskaņā ar LGPD un saskaņā ar Regulu (ES) 2016/679 ir līdzīgs.

(58)

Personas dati būtu jāvāc konkrētam nolūkam un tādā veidā, kas nav pretrunā apstrādes nolūkam.

(59)

LGPD 6. panta I daļā ir noteikts, ka personas dati ir jāapstrādā “leģitīmā, konkrētā un skaidrā nolūkā, par kuru datu subjekts ir informēts”, bez iespējas veikt turpmāku apstrādi, kas ir “nesaderīga” ar sākotnējo nolūku. Šis princips un tā formulējums ir gandrīz identisks attiecīgajam principam Regulas (ES) 2016/679 5. panta 1. punkta c) apakšpunktā. Turklāt LGPD 6. panta II daļā ir noteikts, ka jebkurai apstrādes darbībai ir jābūt saderīgai ar datu subjektam paziņotajiem nolūkiem.

(60)

No ANPD sniegtajiem norādījumiem izriet, ka, lai noteiktu, vai apstrāde citā nolūkā ir saderīga ar nolūku, kādā dati sākotnēji tikuši vākti, pārzinis pierāda saikni starp abiem apstrādes nolūkiem un ņem vērā datu subjektu “tiesisko paļāvību” (94). Ja apstrāde notiek citos saderīgos nolūkos, piemēro LGPD noteiktos principus un pienākumus, proti, nodrošināt, ka jaunais nolūks ir konkrēts, un garantēt datu subjektu tiesību aizsardzību. Tas attiecas arī uz tādu datu turpmāku apstrādi, kurus datu subjekts ir “apzināti darījis pieejamus” vai kuri ir publiski pieejami (95).

(61)

Datiem vajadzētu būt precīziem un nepieciešamības gadījumā atjauninātiem. Tiem arī vajadzētu būt adekvātiem, atbilstīgiem, un tiem būtu jāietver tikai tas, kas nepieciešams tiem nolūkiem, kādos tie tiek apstrādāti.

(62)

Šie principi ir garantēti saskaņā ar “datu kvalitātes” un “nepieciešamības” principiem attiecīgi LGPD 6. panta III un V daļā. Saskaņā ar LGPD 6. panta V daļu pārzinis un apstrādātāji nodrošina, ka personas dati ir precīzi, skaidri, būtiski un atjaunināti, ņemot vērā nolūkus, kādos šie dati tiek apstrādāti. LGPD 6. panta III daļā ir noteikta “apstrādes ierobežošana minimālajā apjomā, kāds nepieciešams” konkrēta(-u) nolūka(-u) sasniegšanai, un tā “aptver datus, kas ir būtiski un samērīgi un kuru apjoms nav pārmērīgs” saistībā ar attiecīgo(-ajiem) nolūku(-iem). Šie principi ir līdzīgi Regulas (ES) 2016/679 5. panta 1. punkta c) un d) apakšpunktā izklāstītajiem principiem.

(63)

Dati principā būtu jāglabā ne ilgāk, kā nepieciešams nolūkiem, kādos attiecīgos personas datus apstrādā.

(64)

LGPD 6. panta attiecīgi I, III un IV punktā noteiktie “nolūka”, “nepieciešamības” un “piekļuves” principi paredz glabāšanas ierobežojuma prasības. Tie ierobežo iespēju glabāt datus līdz minimumam, kas nepieciešams saistībā ar “leģitīmu, konkrētu un skaidru” nolūku, un paredz, ka datu subjekti ir jāinformē par glabāšanas ilgumu.

(65)

Turklāt LGPD II nodaļas IV iedaļa ir veltīta “datu apstrādes izbeigšanai”. Šajā iedaļā – LGPD 16. pantā – ir noteikts, ka pēc apstrādes izbeigšanas noteiktā nolūkā visi personas dati ir jādzēš. Šīs prasības, lasot tās kopsakarā ar LGPD“nolūka”, “nepieciešamības” un “piekļuves” principiem, ir līdzīgas pienākumiem, kas izriet no Regulas (ES) 2016/679 5. panta 1. punkta e) apakšpunkta.

(66)

Ievērojot stingrus izņēmumus, kas noteikti LGPD 16. pantā, datus var paturēt un glabāt arī turpmāk: 1) juridisko vai regulatīvo pienākumu izpildei, 2) pētniecības nolūkos, kad vien iespējams, nodrošinot datu anonimizāciju, 3) kad tos nodod trešām personām saskaņā ar LGPD prasībām vai 4) ja tos izmanto vienīgi pārzinis – ar nosacījumu, ka dati ir anonimizēti un trešām personām ir aizliegta piekļuve šiem datiem.

(67)

Glabātajiem datiem piemēro datu drošības prasību, kas noteikta LGPD un aprakstīta šā lēmuma 68.–78. apsvērumā.

(68)

Personas dati būtu jāapstrādā tā, ka tiek nodrošināta to drošība, kas ietver aizsardzību pret neatļautu vai nelikumīgu apstrādi un pret nejaušu nozaudēšanu, iznīcināšanu vai sabojāšanu. Tālab uzņēmējiem būtu jāveic atbilstoši tehniskie vai organizatoriskie pasākumi, lai aizsargātu personas datus no iespējamiem apdraudējumiem. Šie pasākumi būtu jānovērtē, ņemot vērā faktisko situāciju tehnoloģiju attīstības jomā un saistītās izmaksas.

(69)

Šis princips ir garantēts ar LGPD 6. panta VII daļu, kurā noteikts, ka personas datu aizsardzībai pret “neatļautu piekļuvi un nejaušu vai nelikumīgu” apstrādi, tai skaitā datu “iznīcināšanu, nozaudēšanu, pārveidošanu, paziņošanu vai izplatīšanu”, jāizmanto “tehniski un administratīvi pasākumi”. Lai samazinātu šos drošības riskus, LGPD 6. panta VIII daļā ir noteikts, ka ir jāpieņem pasākumi, ar ko “novērš kaitējumu personas datu apstrādes dēļ”.

(70)

LGPD 44. pantā ir noteikts, ka personas datu apstrāde ir nelikumīga, ja tā neatbilst drošības standartiem, ko datu subjektam ir tiesības sagaidīt. Jānosaka atbilstošs drošības līmenis, cita starpā: 1) ņemot vērā īpašos apstākļus, kas saistīti ar veikto apstrādi, 2) pamatots sagaidāmā riska līmenis, un 3) apstrādes metodes, kas pieejamas apstrādes veikšanas laikā (96).

(71)

Lai īstenotu datu drošības principu, LGPD VII nodaļas I iedaļā “Datu drošība un slepenība” ir noteikta virkne prasību. Šīs LGPD iedaļas 46. pantā ir noteikts, ka datu pārziņiem un apstrādātājiem ir jāveic “drošības, tehniskie un administratīvie pasākumi, kas spēj aizsargāt personas datus pret neatļautu piekļuvi un nejaušu vai nelikumīgu” apstrādi, piemēram, “iznīcināšanu, nozaudēšanu, pārveidošanu, paziņošanu vai jebkāda veida neatbilstīgu vai nelikumīgu apstrādi”. Šos pasākumus ievēro “no produkta vai pakalpojuma koncepcijas izstrādes posma līdz tā izpildei” (97). LGPD 47. pantā visām personām, kas iesaistītas jebkurā apstrādes posmā, ir noteikts vispārējs pienākums ievērot drošības prasības. Šie pienākumi ir līdzīgi Regulas (ES) 2016/679 32. pantā noteiktajiem pienākumiem.

(72)

Turklāt LGPD 44. pantā ir noteikts, ka pārzinis vai apstrādātājs, kas nepiemēro drošības pasākumus, ir atbildīgs par kaitējumu, kas nodarīts drošības pārkāpuma gadījumā (98). ANPD var arī noteikt minimālos tehniskās drošības standartus, lai nodrošinātu atbilstību datu drošības pienākumiem (99).

(73)

Saskaņā ar LGPD 48. pantu tāda drošības incidenta gadījumā, kas var radīt risku vai radīt būtisku kaitējumu datu subjektiem, datu pārzinim ir pienākums informēt gan ANPD, gan datu subjektus. Šāda paziņošana jāveic saprātīgā termiņā, kā noteikusi ANPD, un paziņojumā jāiekļauj vismaz: 1) ietekmēto personas datu raksturojums, 2) informācija, kas identificē iesaistītos datu subjektus, 3) norāde par tehniskajiem un drošības pasākumiem, kas izmantoti datu aizsardzībai, ievērojot komerciālo un rūpniecisko konfidencialitāti, 4) ar incidentu saistīto risku novērtējums, 5) paskaidrojums par saziņas aizkavēšanos, ja tāda bijusi, un 6) to pasākumu apraksts, kas veikti vai jāveic, lai mazinātu vai izlabotu radīto kaitējumu. LGPD izmantotā pieeja lielā mērā ir līdzīga tai, kas noteikta Regulas (ES) 2016/679 33. un 34. pantā.

(74)

ANPD ir pieņēmusi papildu noteikumus par datu drošības incidentiem ar mērķi precizēt, piemēram, termina “incidents” definīciju un paziņošanas par incidentu termiņu (100).

(75)

Noteikumu par drošības incidentu paziņošanu 3. panta XII daļā drošības incidents ir definēts kā “jebkurš apstiprināts nevēlams notikums, kas saistīts ar personas datu konfidencialitātes, integritātes, pieejamības un autentiskuma drošības pārkāpumu”. Saskaņā ar LGPD 48. pantu par datu aizsardzības pārkāpumiem un drošības incidentiem, kas var radīt risku datu subjektiem, vienmēr ir jāpaziņo datu aizsardzības iestādei (ANPD) un datu subjektiem. Noteikumu par drošības incidentu paziņošanu 5. pantā ir precizēts, ka drošības incidents var radīt risku datu subjektiem, ja tas var ietekmēt datu subjektu intereses un pamattiesības un ja tas ietver vismaz vienu no šādiem datu veidiem: 1) sensitīvi personas dati, 2) dati par bērniem, pusaudžiem vai vecākiem cilvēkiem, 3) finanšu dati, 4) autentifikācijas dati sistēmās, 5) dati, kas aizsargāti ar juridisku, tiesas vai dienesta noslēpumu, vai 6) dati lielapjoma datubāzēs. Turklāt drošības incidents tiks uzskatīts par tādu, kas būtiski ietekmē datu subjektu intereses un pamattiesības, ja: 1) tas var kavēt tiesību īstenošanu vai pakalpojuma izmantošanu vai 2) tas var radīt mantisku vai morālu kaitējumu datu subjektiem, piemēram, diskrimināciju, fiziskās neaizskaramības pārkāpumus, tiesību uz tēlu un reputāciju aizskārumu, finanšu krāpšanu vai identitātes zādzību (101).

(76)

Par drošības incidentu ANPD un datu subjektiem paziņo trīs darba dienu laikā pēc tam, kad pārzinis par to ir uzzinājis (102). Saistošajos Noteikumos par drošības incidentu paziņošanu ir precizēts, kāda informācija pārziņiem jāsniedz ANPD un datu subjektiem. Datu subjektiem sniegtajā paziņojumā jo īpaši norāda: 1) skarto personas datu veida un kategorijas aprakstu, 2) datu aizsardzībai izmantotos tehniskos un drošības pasākumus, 3) ar incidentu saistītos riskus, identificējot iespējamo ietekmi uz datu subjektiem, 4) kavēšanās iemeslus, ja paziņošana nav notikusi 72 stundu laikā, 5) attiecīgā gadījumā – pasākumus, kas pieņemti vai tiks pieņemti, lai novērstu vai mazinātu incidenta ietekmi, 6) drošības incidenta atklāšanas datumu un 7) kontaktinformāciju informācijas iegūšanai un attiecīgā gadījumā – atbildīgās personas kontaktinformāciju (103). Paziņojot par incidentu datu subjektiem, pārziņi izmanto “vienkāršu un viegli saprotamu valodu” (104). Ja ir iespējams identificēt skartos datu subjektus, paziņojumu sniedz tieši un individuāli (105).

(77)

Turklāt ANPD, ja tas nepieciešams, lai aizsargātu datu subjektu tiesības, var izvērtēt incidenta smagumu un var uzdot pārzinim pieņemt īpašus pasākumus (106). Tie var ietvert incidenta publiskošanu, izmantojot piemērotus mediju kanālus, kā arī korektīvu vai ietekmi mazinošu darbību īstenošanu. Datu pārzinis uztur datu drošības incidentu reģistru (107).

(78)

Visbeidzot, LGPD sasaista savus “labas prakses un (datu) pārvaldības” standartus ar datu drošības prasībām, lai cita starpā mazinātu datu apstrādes riskus (108). Tas ietver iekšēju privātuma pārvaldības programmu pieņemšanas veicināšanu ar mērķi izvērtēt un mazināt riskus (109).

(79)

Datu subjektiem vajadzētu būt informētiem par viņu personas datu apstrādes galvenajām iezīmēm.

(80)

Saskaņā ar pieeju, kas salīdzināma ar Regulas (ES) 2016/679 12. pantu, LGPD 6. panta VI daļā ir noteikts, ka datu subjekti saņem skaidru, precīzu un viegli piekļūstamu informāciju gan par viņu datu apstrādes veikšanu, gan par attiecīgajiem apstrādes veicējiem, ievērojot “komercnoslēpumu un rūpniecisko noslēpumu”.

(81)

LGPD 9. pantā ir noteikts datu subjektiem sniedzamās informācijas par datu apstrādi saraksts, kas ietver: 1) apstrādes nolūkus, 2) apstrādes veidu un ilgumu, 3) pārziņa identifikāciju, 4) pārziņa kontaktinformāciju, 5) informāciju par pārziņa veikto datu apstrādi un tās nolūku, 6) to struktūru pienākumus, kas veic apstrādi, un 7) datu subjektu tiesības, arī informāciju par šo tiesību īstenošanu.

(82)

Ierobežojums, kas saistīts ar “komercnoslēpumu un rūpniecisko noslēpumu”, kas minēts 6. panta VI daļā, un citi LGPD noteikumi būtu jāinterpretē, ņemot vērā Brazīlijas Likumu par piekļuvi informācijai (LAI) (110). LAI parasti nosaka publisko iestāžu reģistros vai dokumentos ietvertās informācijas izpaušanu (111). Visiem izņēmumiem, t. i., ierobežojumu noteikšanai attiecībā uz piekļuvi dokumentiem un informācijai, jābūt pamatotiem un noteiktiem tiesību aktos (112). Viens no šiem izņēmumiem ir komercnoslēpums un rūpnieciskais noslēpums, un ir pieņemta īpaša tiesību norma, kas nodrošina aizsardzību “informācijai, kas attiecas uz fizisku vai juridisku personu, kas ir privāttiesību subjekti, uzņēmējdarbību un ko ieguvušas citas struktūras vai vienības, veicot saimnieciskās darbības kontroli, regulēšanu un uzraudzību, un kuras izpaušana varētu radīt konkurences priekšrocības citiem uzņēmējiem” (113). Tāpēc LGPD noteikumi, kuros ir atsauce uz “komercnoslēpumu un rūpniecisko noslēpumu”, ir jāinterpretē tādējādi, ka informācijas apstrāde un citāda izpaušana nedrīkst atklāt komercnoslēpumu vai radīt konkurences priekšrocības citiem aktoriem, vienlaikus īstenojot personas datu aizsardzības mērķus. Tas nozīmē, ka attiecībā uz pārredzamības principu un visā LGPD tekstā “komercnoslēpuma un rūpnieciskā noslēpuma” ierobežojums nav jāsaprot kā vispārējs pamats atteikumam ievērot tiesību aktus, bet drīzāk kā prasība ieviest īpašas garantijas, ar ko nodrošina informācijas izpaušanu tādā veidā, kas aizsargā šīs intereses.

(83)

Datu subjektiem vajadzētu būt noteiktām tiesībām, kuras var īstenot attiecībā uz pārzini, it īpaši tiesībām piekļūt datiem, tiesībām uz datu labošanu, tiesībām uz datu dzēšanu, tiesībām iebilst pret apstrādi, tiesībām uz datu pārnesamību un tiesībām saistībā ar datu automatizētu apstrādi. Šīm tiesībām var noteikt ierobežojumus, ciktāl šie ierobežojumi ir nepieciešami un samērīgi, lai aizsargātu konkrētus vispārējo sabiedrības interešu mērķus.

(84)

LGPD III nodaļā datu subjektu tiesības ir noteiktas līdzīgi kā saskaņā ar Regulas (ES) 2016/679 15.–22. pantu. Visas tiesības tiek īstenotas bez maksas, un datu subjekti ir jāinformē par viņu tiesībām (114). Saskaņā ar LGPD 21. pantu datus par datu subjektu tiesību īstenošanu nedrīkst izmantot veidā, kas kaitē datu subjektam. Datu subjekti var individuāli vai kolektīvi vērsties tiesā, lai aizsargātu savas intereses un tiesības (115).

(85)

Datu pārziņi “nekavējoties” informē datu apstrādātājus, ar kuriem dati varētu būt kopīgoti, par datu subjektu pieprasījumiem labot, dzēst, anonimizēt, ierobežot un iebilst nolūkā nodrošināt, ka šos pieprasījumus var izpildīt visas iesaistītās puses (116).

(86)

Saskaņā ar LGPD 9. pantu un 18. panta II daļu datu subjektiem ir tiesības uz informāciju un piekļuvi, lai “jebkurā laikā” iegūtu informāciju par savu datu apstrādi (117). Tā ietver šādu informāciju: 1) pārziņa identitāte (III daļa), 2) pārziņa kontaktinformācija (IV daļa), 3) informācija par konkrēto apstrādes nolūku (I daļa), 4) informācija par iespējamo datu kopīgošanu (V daļa), 5) apstrādes veids un ilgums (II daļa), 6) datu subjektu tiesību esība, tai skaitā tiesības iesniegt sūdzību datu aizsardzības iestādē, un 7) datu apstrādātāju pienākumi. Turklāt LGPD 10. panta 2. punkts uzliek pārzinim pienākumu nodrošināt pārredzamību attiecībā uz apstrādi, kuras pamatā ir leģitīmas intereses. Līdzīgi Noteikumu par datu nosūtīšanu 9. pantā ir noteikts, ka personas datu nosūtīšanas gadījumā informē attiecīgos datu subjektus.

(87)

LGPD 19. pantā ir sīkāk izklāstīta kārtība, kādā datu subjektiem tiek nodrošināta piekļuve to personas datiem. Pēc datu subjektu pieprasījuma piekļuvi personas datiem nodrošina: nekavējoties – “vienkāršotā formātā” – vai 15 dienu laikā, iesniedzot skaidru un pilnīgu deklarāciju (118). Turklāt LGPD 19. panta 1. punktā ir noteikts, ka pārziņi glabā personas datus formātā, kas atvieglo piekļuves tiesību īstenošanu. Datu subjekts var nolemt saņemt savu informāciju elektroniskā formā vai papīra formātā (119).

(88)

Datu subjektiem ir tiesības pieprasīt labot nepilnīgus, neprecīzus vai novecojušus datus saskaņā ar LGPD 18. panta III daļu (tiesības uz labošanu).

(89)

LGPD 18. panta IV un VI daļā fiziskām personām ir paredzētas tiesības pieprasīt viņu datu dzēšanu: 1) ja runa ir par nevajadzīgiem vai pārmērīga apjoma datiem, 2) attiecībā uz jebkādiem datiem, kas apstrādāti ar datu subjekta piekrišanu, vai 3) ja dati tiek apstrādāti nelikumīgi. Turklāt LGPD II nodaļas IV iedaļā “Datu apstrādes izbeigšana” ir norādīts, ka datu apstrāde tiek pārtraukta, kad datu subjekts vai nu iebilst pret apstrādi, vai arī atsauc savu piekrišanu apstrādei (120). Pēc tam – pēc datu apstrādes izbeigšanas – datus dzēš (121). Tādējādi šie noteikumi, lasot tos kopā, netieši paplašina LGPD paredzēto tiesību uz dzēšanu piemērošanas jomu.

(90)

Ja netiek ievērotas LGPD noteiktās prasības (tiesības iebilst), fiziskām personām ir tiesības iebilst pret datu apstrādi, pamatojoties uz citu juridisko pamatu, nevis piekrišanu (122). Turklāt saskaņā ar LGPD 15. pantu un 18. panta IV daļu datu subjektiem ir tiesības ierobežot datu apstrādi (“bloķēšana”). Uz šīm tiesībām jo īpaši var atsaukties, ja apstrādātie dati ir nevajadzīgi vai to apjoms ir pārmērīgi liels vai ja dati tiek apstrādāti veidā, kas neatbilst LGPD (123). LGPD 15. panta II daļā ir norādīts, ka datus vairs neapstrādā, pamatojoties uz datu subjekta “paziņojumu” pārzinim. Lai gan šim noteikumam piemēro “sabiedrības interešu” principu, to interpretējot plaši, tas paredz plašas iespējas netiešajām tiesībām iebilst tādā veidā, kas ir līdzvērtīgs Regulā (ES) 2016/679 paredzētajām tiesībām iebilst.

(91)

Fiziskām personām ir tiesības pieprasīt savu datu “pilnīgu elektronisku kopiju”, lai tos varētu izmantot citas struktūras (tiesības uz datu pārnesamību) (124). Tāpat kā ES, datu subjekti var pieprasīt šo kopiju tikai tad, ja dati ir apstrādāti, pamatojoties uz piekrišanu vai līgumu.

(92)

Lai gan jebkuru lēmumu, kura pamatā ir ES savākto datu automatizēta apstrāde, parasti pieņems pārzinis (kam ir tieša saikne ar attiecīgo datu subjektu un kas tādējādi tieši ietilpst Regulas (ES) 2016/679 darbības jomā), ir vērts atzīmēt, ka LGPD reglamentē šāda veida apstrādi līdzīgi kā Regulas(ES) 2016/679 22. pants. Pirmkārt, LGPD 6. panta IX daļā nediskriminācijas princips ir atzīts par datu aizsardzības principu, saskaņā ar kuru ir aizliegts veikt datu apstrādi nelikumīgos vai ļaunprātīgos diskriminējošos nolūkos. Šis princips ir piemērojams visai apstrādei un ir īpaši svarīgs automatizētas apstrādes kontekstā. Otrkārt, saskaņā ar LGPD 20. pantu datu subjektiem ir tiesības pieprasīt “pārskatīt lēmumus, kas pieņemti, pamatojoties tikai uz datu automatizētu apstrādi, un kas skar viņu intereses, tai skaitā lēmumus, kuru mērķis ir noteikt datu subjekta personisko, profesionālo, patērētāja un kredītprofilu vai personības aspektus”. Atbildot uz datu subjekta pieprasījumu, pārzinim jāsniedz skaidra informācija par “automatizētā lēmuma pieņemšanas kritērijiem un procedūru” (125). Ja šādu informāciju datu subjektam nevar sniegt “komercnoslēpuma un rūpnieciskā noslēpuma” dēļ, ANPD ir pilnvaras veikt revīziju, lai pārbaudītu personas datu automatizētas apstrādes diskriminējošos aspektus (126). Līdz ar to jēdzienu “komercnoslēpums un rūpniecisks noslēpums” nevar izmantot kā iemeslu, lai atteiktos izpildīt datu subjekta pieprasījumu.

(93)

LGPD 23. pantā ir noteikts, ka datu subjektu tiesību izmantošanas procedūrai un termiņam, ja datu apstrādi veic publiskās iestādes, piemēro īpašus tiesību aktus (127). Piemēram, Brazīlijas Habeas Data likums reglamentē fizisku personu tiesības piekļūt informācijai par datiem, kas glabājas valdības vai publiskas struktūras reģistros vai datubāzēs (128). Brazīlijas Habeas Data likumā ir paredzēti īpaši noteikumi par piekļuves tiesībām, kuras piešķir 10 dienu laikā pēc fiziskas personas pieprasījuma, un tiesībām uz labošanu, ko piešķir 15 dienu laikā pēc pieprasījuma saņemšanas (129). Tāpat Brazīlijas Federālajā administratīvā procesa likumā fiziskām personām ir paredzētas tiesības uz informāciju un tiesības tai piekļūt administratīvo procedūru kontekstā (130). Brazīlijas Likums par piekļuvi informācijai paredz arī informācijas un pārredzamības pienākumus publiskajām iestādēm, valsts uzņēmumiem un trim Brazīlijas valdības atzariem (likumdevējai varai, izpildvarai un tiesu varai) (131). Šo tiesību aktu noteikumi nostiprina tiesības uz informāciju un tiesības tai piekļūt, kas noteiktas saskaņā ar LGPD, attiecībā uz datu apstrādi, ko veic publiskas iestādes. Ja šajos tiesību aktos nav paredzētas īpašas tiesības, kas noteiktas saskaņā ar LGPD (piemēram, tiesības, kas saistītas ar lēmumu automatizētu pieņemšanu), datu subjekti var īstenot šīs tiesības, pamatojoties uz LGPD.

(94)

Jebkurus datu subjektu tiesību pārkāpumus ANPD atkarībā no attiecīgā faktora uzskatīs par “vidēji smagiem” vai “smagiem” tiesību aktu pārkāpumiem, un tāpēc par tiem var piemērot visaugstākā līmeņa sankcijas un naudas sodus. Svarīgi, ka, pamatojoties uz ANPD Noteikumiem par sankcijām, tas vien, ka pārkāpums ir ietekmējis datu subjekta tiesības, nozīmē, ka šādu pārkāpumu nevar uzskatīt par “vieglu” (132).

(95)

Kopš LGPD stāšanās spēkā ANPD pastāvīgi saņem sūdzības un pieprasījumus no fiziskām personām saistībā ar viņu datu aizsardzības tiesībām (133). To skaits ir ievērojami palielinājies kopš 2024. gada jūlija, kad ANPD ieviesa modernizētu un ērti lietojamu platformu pieprasījumu un sūdzību iesniegšanai (134). Kopš tā laika ANPD katru mēnesi saņem aptuveni 400 sūdzību un 100 pieprasījumu no fiziskām personām (135).

(96)

Aizsardzības līmeni, kāds piešķirts personas datiem, kurus no Savienības nosūta pārziņiem un apstrādātājiem Brazīlijā, nedrīkst samazināt šādu datu tālāka nosūtīšana saņēmējiem trešā valstī.

(97)

Šāda “tālāka nosūtīšana” no Brazīlijā esoša pārziņa viedokļa ir starptautiska nosūtīšana no Brazīlijas.

(98)

LGPD V nodaļā ir noteikts satvars personas datu starptautiskai nosūtīšanai. Šīs nodaļas noteikumus papildina saistoši noteikumi par datu starptautisku nosūtīšanu (Noteikumi par datu nosūtīšanu), ko ANPD pieņēma 2024. gada augustā (136).

(99)

Noteikumos par datu nosūtīšanu jēdziens “nosūtīšana” ir definēts kā “apstrādes darbība, ar kuras palīdzību apstrādes veicējs nosūta, kopīgo vai nodrošina piekļuvi personas datiem citam apstrādes veicējam”, un jēdziens “datu starptautiska nosūtīšana” ir definēts kā “personas datu nosūtīšana uz ārvalsti vai starptautisku organizāciju, kuras dalībniece ir attiecīgā valsts” (137).

(100)

Noteikumi par datu starptautisku nosūtīšanu, kas paredzēti LGPD un Noteikumos par datu nosūtīšanu, attiecas uz visu datu apstrādi, kura ietilpst LGPD darbības jomā. Noteikumu par datu nosūtīšanu 7. pantā ir skaidri precizēts, ka LGPD piemērojamība datu starptautiskai nosūtīšanai nav atkarīga no apstrādei izmantotajiem tehniskajiem līdzekļiem, datu ģeogrāfiskās atrašanās vietas vai pārziņa vai apstrādātāja fiziskās klātbūtnes (138). Drīzāk piemērojamība ir atkarīga no tā, vai pastāv būtiska saikne starp datu apstrādes darbību un Brazīliju.

(101)

Līdzīgi kā Regulas (ES) 2016/679 44.–49. pantā arī LGPD 33. pantā ir noteikti apstākļi, kādos “tikai” var atļaut datu starptautisku nosūtīšanu. Šie apstākļi ir sīkāk izklāstīti Noteikumu par datu nosūtīšanu 9. pantā.

(102)

Datu starptautiska nosūtīšana var notikt, ja ir izpildīti šādi trīs kumulatīvi apstākļi: pirmkārt, datu starptautisku nosūtīšanu “var veikt tikai leģitīmos, konkrētos un skaidros nolūkos, par kuriem datu subjekts tiek informēts, bez tādas tālākas apstrādes iespējas, kas nav saderīga ar šādu nolūku” (139). Otrkārt, datu starptautiskai nosūtīšanai ir jābalstās uz spēkā esošu juridisko pamatu, kas noteikts saskaņā ar LGPD 7. pantu (vai sensitīvu datu gadījumā – 11. pantu) (140). Treškārt, ir jāizmanto “derīgs” datu nosūtīšanas mehānisms (141).

(103)

LGPD 33. pantā ir paredzēti vairāki datu nosūtīšanas mehānismi.

(104)

Pirmkārt, attiecībā uz trešo valsti vai starptautisku organizāciju var pieņemt lēmumu par aizsardzības līmeņa pietiekamību (33. panta I daļa). Nosakot, vai trešā valsts vai starptautiska organizācija garantē pietiekamu personas datu aizsardzības līmeni, ANPD ņem vērā vairākus kritērijus, kas noteikti LGPD un Noteikumos par datu nosūtīšanu (142) un ir līdzīgi attiecīgajiem kritērijiem saskaņā ar ES tiesību aktiem. Tie ir šādi: 1) vispārīgie un nozaru tiesību akti, kas ir spēkā galamērķa valstī vai ir piemērojami starptautiskajai organizācijai un kam ir tieša ietekme uz personas datu aizsardzību (143), 2) datu veids (144), 3) tas, ka trešā valsts vai starptautiskā organizācija nodrošina tādu personas datu aizsardzības līmeni un garantē datu subjektu tiesības, kas atbilst LGPD (145), 4) atbilstošu tehnisku un organizatorisku pasākumu pieņemšana ar mērķi nodrošināt datu drošību un mazinātu riskus, kas saistīti ar nelabvēlīgu ietekmi uz privātumu un citām pamattiesībām (146), 5) tas, ka pastāv tiesu un institucionāli mehānismi, ar ko garantēt datu aizsardzības tiesības, it īpaši neatkarīga uzraudzības iestāde ar atbilstīgām pilnvarām un resursiem, ko tā izmanto, lai uzraudzītu un izpildītu datu aizsardzības noteikumus (147), un 6) jebkādi citi īpaši apstākļi, kas attiecas uz starptautiskas datu nosūtīšanas kontekstu (148).

(105)

Lai novērtētu personas datu aizsardzības līmeni saistībā ar lēmumu par aizsardzības līmeņa pietiekamību, ANPD izvērtēs arī: 1) riskus un ieguvumus, ko sniedz konkrēts lēmums par aizsardzības līmeņa pietiekamību, cita starpā ņemot vērā principu garantijas, datu subjekta tiesības un LGPD paredzēto datu aizsardzības režīmu, kā arī 2) lēmuma ietekmi uz starptautisko datu plūsmu, diplomātiskajām attiecībām, starptautisko tirdzniecību un Brazīlijas starptautisko sadarbību ar citām valstīm un starptautiskām organizācijām (149). Par lēmuma par aizsardzības līmeņa pietiekamību novērtēšanu un izdošanu atbild ANPD (150). Pašlaik ANPD gatavo tikai lēmumu par aizsardzības līmeņa pietiekamību ar Eiropas Savienību.

(106)

Otrkārt, 33. panta II daļā ir noteikts, ka datu nosūtīšana var notikt, ja pārziņi nodrošina LGPD paredzēto “principu, datu subjektu tiesību un datu aizsardzības režīma ievērošanas garantijas”. To var garantēt ar 1) īpašām līguma klauzulām (II daļas a) punkts), 2) līguma standartklauzulām (II daļas b) punkts), 3) saistošiem uzņēmuma noteikumiem (II daļas c) punkts), vai 4) apstiprinātiem zīmogiem, sertifikātiem un rīcības kodeksiem (II daļas d) punkts).

(107)

Pārziņi var paļauties uz īpašiem līguma noteikumiem par starptautisku nosūtīšanu, kā arī uz ANPD apstiprinātām līguma standartklauzulām (151). Saskaņā ar Noteikumiem par datu nosūtīšanu ANPD ir pieņēmusi līguma paraugklauzulu kopumu, kas aptver visas attiecīgās datu aizsardzības prasības (t. i., datu subjektu tiesības, neatkarīgu pārraudzību un uzraudzību, datu drošības pasākumus, garantijas tālākai nosūtīšanai utt.) (152). Šīs klauzulas ietver noteikumus, kurus līgumslēdzējas puses nevar mainīt (153). Klauzulas ir modulāras, lai pielāgotos dažādiem datu nosūtīšanas scenārijiem (piemēram, nosūtīšanai no pārziņa apstrādātājam vai no apstrādātāja apstrādātājam) (154).

(108)

Attiecībā uz saistošiem uzņēmuma noteikumiem ANPD Noteikumu par datu nosūtīšanu VI nodaļā precizē, kā šo mehānismu var izmantot, kā arī to spēkā esības prasības. ANPD it īpaši atgādina par instrumenta “saistošo raksturu” visiem “grupas vai konglomerāta dalībniekiem”, kas uz to paļaujas, par prasībām attiecībā uz datu subjektu tiesībām un to īstenošanu, attiecīgajiem saistību un atbildības noteikumiem (155), kā arī par visu obligāto informāciju, kas jāiekļauj saistošajos uzņēmuma noteikumos (156). Attiecībā uz saistošiem uzņēmuma noteikumiem ir jāsaņem ANPD iepriekšējs apstiprinājums saskaņā ar Noteikumu par datu nosūtīšanu VIII nodaļā noteikto procesu, kas paredz, ka uzņēmumiem ir jāiesniedz ANPD pilnīga dokumentācija, un ANPD veic pārbaudes procesu (157). Uzņēmumiem ir arī pienākums sazināties ar ANPD par visiem jautājumiem, kas var ietekmēt atbilstību LGPD, tai skaitā gadījumos, kad uz grupas dalībniekiem attiecas ārvalstu pienākumi (158). Visi apstiprinātie saistošie uzņēmuma noteikumi tiek publicēti ANPD tīmekļa vietnē, un uzņēmumiem ir pienākums pārredzami informēt par veikto starptautisko nosūtīšanu (159).

(109)

ANPD var arī izraudzīties sertifikācijas struktūras, kas izstrādā zīmogus, sertifikātus vai rīcības kodeksus datu nosūtīšanai (160). Šo sertifikācijas struktūru lēmumus un veiktās darbības var pārskatīt ANPD, kura var pārskatīt un atsaukt lēmumus, ja tie neatbilst LGPD (161).

(110)

Visbeidzot, LGPD ir sniegts saraksts ar “īpašām situācijām”, kurās var veikt starptautisku nosūtīšanu, ja: 1) tā ir nepieciešama starptautiskai tiesiskai sadarbībai starp publiskām aģentūrām saskaņā ar starptautiskajām tiesībām, 2) tā ir nepieciešama datu subjekta vai trešās personas dzīvības vai fiziskās drošības aizsardzībai, 3) to ir atļāvusi ANPD, 4) tā attiecas uz saistībām starptautiskās sadarbības ietvaros, 5) tā ir nepieciešama sabiedriskās kārtības vai publiskas iestādes juridiska pienākuma izpildei, 6) datu subjekti ir piekrituši konkrētai datu nosūtīšanai, iepriekš saņemot informāciju par apstrādes veidu, vai 7) ja datu nosūtīšana vajadzīga, lai izpildītu juridisku vai regulatīvu pienākumu saistībā ar līguma izpildi vai lai īstenotu tiesības tiesas, administratīvās vai šķīrējtiesas procedūrās (162). Kā norādīts Noteikumos par datu nosūtīšanu, starptautisku nosūtīšanu šajos scenārijos var veikt tikai tad, ja “situācija atbilst konkrētā gadījuma nosacījumiem un piemērojamām juridiskajām prasībām” (163).

(111)

Attiecībā uz konkrēto situāciju, kurā datu nosūtīšanu var veikt, pamatojoties uz datu subjektu piekrišanu, tajā ir noteikts, ka 1) ir jābūt izpildītiem oficiālajiem kritērijiem derīgas piekrišanas saņemšanai (t. i., tai jābūt konkrētai, brīvi sniegtai, skaidri formulētai un informētai); 2) datu subjekti tiek informēti par nosūtīšanas raksturu pirms tās (piemēram, informācija par paredzētās nosūtīšanas jurisdikciju un aizsardzības līmeni, ko tā garantē; informācija par to, ka nav lēmuma par aizsardzības līmeņa pietiekamību vai citu datu nosūtīšanas mehānismu; informācija par nosūtīšanas ilgumu); kā arī 3) piekrišana jāsaņem par katru nosūtīšanu konkrēti un atsevišķi no jebkuras citas apstrādes. Kā norādīts 46. apsvērumā, klusējot izteiktu piekrišanu nevar uzskatīt par derīgu piekrišanu, un datu subjektiem ir tiesības jebkurā laikā piekrišanu atsaukt.

(112)

Noteikumos par datu nosūtīšanu ir stingri noteikta visu šo mehānismu izmantošana, pamatojoties uz vairākiem nosacījumiem. Tas jo īpaši ietver “skaidras, precīzas un viegli pieejamas informācijas par nosūtīšanu” nodrošināšanu datu subjektam, kā arī garantiju un spēju pierādīt, ka starptautiskā nosūtīšana tiek veikta tādā veidā, kas nodrošina LGPD noteikto principu un datu subjekta tiesību ievērošanu un nemaina LGPD paredzēto aizsardzības līmeni, neatkarīgi no valsts, kurā atrodas nosūtāmie personas dati, pat pēc apstrādes beigām un tālākas nosūtīšanas gadījumos (164). Šīs prasības piemēro arī, veicot nosūtīšanu, pamatojoties uz “īpašām situācijām”, lai nodrošinātu aizsardzības nepārtrauktību neatkarīgi no instrumenta, ko izmanto starptautiskas nosūtīšanas veikšanai.

(113)

Tāpēc šā lēmuma 96. līdz 112. apsvērumā aprakstītie noteikumi nodrošina aizsardzības nepārtrauktību, kad personas dati no Brazīlijas tiek nosūtīti tālāk tādā veidā, kas pēc būtības ir līdzvērtīgs Regulā (ES) 2016/679 paredzētajai aizsardzībai.

(114)

Saskaņā ar pārskatatbildības principu vienībām, kas apstrādā datus, ir jāievieš atbilstoši tehniskie un organizatoriskie pasākumi, lai tās efektīvi izpildītu savus datu aizsardzības pienākumus, un jāspēj pierādīt šādu izpildi, konkrēti – kompetentajai uzraudzības iestādei.

(115)

LGPD 6. panta IX daļā ir noteikts pārskatatbildības princips, saskaņā ar kuru pārzinis un apstrādātājs pieņem pasākumus, kas ir “efektīvi un spējīgi” pierādīt atbilstību LGPD.

(116)

Lai nodrošinātu pārskatatbildību, LGPD 50. pantā ir noteikts, ka pārziņi un apstrādātāji var pieņemt iekšējos noteikumus un pārvaldības modeļus, it īpaši, lai nodrošinātu labu praksi datu subjektu sūdzību un lūgumrakstu izskatīšanā, kā arī drošības pienākumu un visu citu LGPD noteikto pienākumu ievērošanā (“Laba prakse un pārvaldība”). Šajās programmās būtu jāiekļauj arī izglītības pasākumu plāni, iekšējās uzraudzības mehānisms un riska mazināšana.

(117)

LGPD ir arī noteikta prasība iecelt datu aizsardzības speciālistu (DAS), kam ir būtiska loma šo iekšējo programmu izstrādē un īstenošanā. Saskaņā ar 5. panta VIII daļu DAS darbojas kā saikne starp pārzini, datu subjektiem un ANPD. LGPD 41. pantā ir noteikts, ka visi pārziņi ir pilnvaroti iecelt DAS un publiskot viņa/viņas identitāti.

(118)

Ar LGPD ir piešķirtas pilnvaras ANPD ieviest atbrīvojumu no pārziņu un apstrādātāju pienākuma iecelt DAS (165). ANPD Noteikumos par LGPD piemērošanu maziem un vidējiem uzņēmumiem (MVU) ir paredzēts, ka šis atbrīvojums var attiekties uz konkrētiem mazajiem uzņēmumiem, MVU, jaunuzņēmumiem un bezpeļņas organizācijām (166). Konkrētāk, atbrīvojums attiecas uz šādiem tiesību subjektiem: “mikrouzņēmumi, mazie uzņēmumi, jaunuzņēmumi, privāttiesību subjekti, tai skaitā bezpeļņas organizācijas, saskaņā ar spēkā esošajiem tiesību aktiem, kā arī fiziskas personas un anonimizēti privāti subjekti, kas apstrādā personas datus” (167). Saskaņā ar Brazīlijas tiesību aktiem mikrouzņēmumi (168), mazie uzņēmumi (169) vai jaunuzņēmumi (170) ir uzņēmumi, kuros ir tikai viens darbinieks vai neliels darbinieku skaits (171) un kuru gada bruto ieņēmumi ir mazāki par noteiktu summu (172).

(119)

Atbrīvojums no pienākuma iecelt DAS netiktu piemērots nevienam no šiem uzņēmumiem un tiesību subjektiem (neatkarīgi no to lieluma vai ieņēmumiem), kas veic “augsta riska” personas datu apstrādi (173). Apstrādi uzskata par augsta riska apstrādi, ja tai kumulatīvi piemīt vismaz viena no šīm vispārīgajām pazīmēm: 1) personas datu apstrāde plašā mērogā, un 2) tādu datu apstrāde, kas var būtiski ietekmēt datu subjektu pamattiesības un intereses, kā arī vismaz viena no šīm specifiskajām pazīmēm: 1) jaunu vai inovatīvu tehnoloģiju izmantošana, 2) publiski pieejamu zonu uzraudzība vai kontrole, 3) tikai automatizēti lēmumu pieņemšanas procesi un 4) sensitīvu datu vai bērnu vai vecāku cilvēku datu apstrāde (174). “Plaša mēroga” personas datu apstrāde ir definēta kā apstrāde, kas “attiecas uz ievērojamu skaitu datu subjektu, ņemot vērā arī iesaistīto datu apjomu, kā arī veiktās apstrādes ilgumu, biežumu un ģeogrāfisko aptvērumu” (175). “Datu apstrāde, kas var būtiski ietekmēt datu subjektu pamattiesības un intereses”, ir definēta kā “cita starpā situācijas, kurās apstrādes darbība var kavēt tiesību īstenošanu vai pakalpojuma izmantošanu, kā arī radīt mantisku vai morālu kaitējumu datu subjektiem, piemēram, diskrimināciju, fiziskās neaizskaramības pārkāpumus, tiesību uz tēlu un reputāciju aizskārumu, finanšu krāpšanu vai identitātes zādzību” (176).

(120)

ANPD pieņēma saistošus noteikumus par DAS lomu, kurā sīkāk precizēti tā pienākumi (177). Šajos noteikumos ANPD atgādina par privāto struktūru un publisko iestāžu pienākumu publicēt informāciju par to DAS identitāti (178). DAS noteikumu 10. pantā ir atgādināts par pārziņu un apstrādātāju pienākumu cita starpā nodrošināt, ka DAS savus uzdevumus var veikt neatkarīgi, “bez nepamatotas iejaukšanās, it īpaši sniedzot norādījumus par praksi, kas jāpieņem attiecībā uz personas datu aizsardzību”, un ka DAS tiek nodrošināta tieša piekļuve augstākajam vadības līmenim un visiem darbiniekiem, kas iesaistīti stratēģisko lēmumu pieņemšanā par datu apstrādi attiecīgajā organizācijā. Tāpat DAS savus pienākumus un uzdevumus veic “ētiski, godprātīgi un tehniski neatkarīgi, izvairoties no situācijām, kas var radīt interešu konfliktu” (179).

(121)

DAS loma ir bijusi ANPD izpildes panākšanas darbību prioritāte. Piemēram, ANPD pirmās noteiktās sankcijas attiecās uz uzņēmumu, kuram tika uzlikts naudas sods un izteikts īpašs brīdinājums par to, ka tas nebija pierādījis, ka ir iecēlis DAS (180). Administratīvā procesa laikā šī struktūra nolēma iecelt DAS, lai izpildītu ANPD rīkojumu. Kopš tā laika ANPD turpina piemērot sankcijas publiskām un privātām struktūrām saistībā ar DAS noteikumiem, kas pieņemti saskaņā ar LGPD (181).

(122)

Vēl viens svarīgs instruments pārskatatbildības nodrošināšanai ir novērtējums par ietekmi uz datu aizsardzību (NIDA). NIDA ļauj novērtēt un noteikt apstrādes ietekmi. Saskaņā ar LGPD 38. pantu ANPD var pieprasīt pārzinim vai apstrādātājam veikt NIDA (182), kurā jāiekļauj apraksts par personas datu apstrādes veidu, kā arī jāizklāsta pasākumi, garantijas un mehānismi risku mazināšanai. Turklāt LGPD II iedaļā ir paredzēti noteikumi par pārskatatbildību, saskaņā ar kuriem ANPD ir pilnvarota pieprasīt NIDA publicēšanu vai ieteikt publiskajām iestādēm pieņemt “labu praksi” personas datu aizsardzībai (183).

(123)

Ņemot vērā pārskatatbildības prasības un praksi, kas aprakstīta šā lēmuma 114.–122. apsvērumā, Brazīlijas regulējumā pārskatatbildības princips tiek īstenots līdzīgi pasākumiem, kas paredzēti Regulas (ES) 2016/679 4. nodaļas 3. un 4. iedaļā, cita starpā paredzot dažādus mehānismus, lai nodrošinātu un pierādītu atbilstību LGPD.

(124)

Lai nodrošinātu, ka arī praksē tiek garantēts pietiekams datu aizsardzības līmenis, vajadzētu būt izveidotai neatkarīgai uzraudzības iestādei, kurai uzticētas pilnvaras uzraudzīt un nodrošināt datu aizsardzības noteikumu izpildi. Šai iestādei tās uzdevumi būtu jāveic un pilnvaras jāīsteno pilnīgi neatkarīgi un objektīvi.

(125)

Brazīlijā par LGPD uzraudzību un izpildi atbildīgā neatkarīgā uzraudzības iestāde ir Agência Nacional de Proteção de Dados – ANPD.

(126)

ANPD tika izveidota ar LGPD 55.-A pantu un kļuva par neatkarīgu iestādi – vispirms ar pagaidu dekrētu un pēc tam 2022. gadā ar likumu (184). Pieņemot likumu, ar ko pārveido ANPD būtību, tika veiktas izmaiņas LGPD, lai atceltu noteikumus, kas ANPD darbību un finanšu operācijas pakārtoja izpildvaras atļaujām, kas tika piešķirtas saskaņā ar Brazīlijas budžeta likumu (185). Grozītajā LGPD normā ir atzīts, ka ANPD ir “īpaša iestāde, kurai ir tehniska un lēmumu pieņemšanas autonomija, pašai savi aktīvi un galvenā mītne Federālajā distriktā” (186).

(127)

ANPD kā “īpaša veida iestādei” ir pilnīga autonomija pildīt savas juridiskās funkcijas un pilnvaras, kas noteiktas saskaņā ar LGPD, arī veikt aģentūras administratīvo pārvaldību (187). Tas ietver autonomiju pārvaldīt tās izdevumus un darbinieku pieņemšanu darbā (188). ANPD pirmo reizi tika izveidota kā “iestāde”, bet 2025. gada septembrī kļuva par “aģentūru”, tādējādi tās nosaukums atbilst citu 11 regulatīvo struktūru nosaukumiem, kurām Brazīlijā ir šāds augsts neatkarības līmenis (piemēram, Valsts elektroenerģijas aģentūra, Valsts telesakaru aģentūra u. c.) (189).

(128)

ANPD līdzekļi galvenokārt nāk no Brazīlijas valsts vispārējā budžeta. Turklāt ANPD budžetā var iekļaut ziedojumus, subsīdijas vai citus kredītus, kā noteikts LGPD 55.-L pantā. Kopš ANPD izveides 2021. gadā tā ir strauji augusi. ANPD gada pārskati liecina, ka 2023. gada beigās – vien pēc četriem pastāvēšanas gadiem – iestādē strādāja 141 darbinieks/ierēdnis (190). ANPD 2025. gada budžets ir 18 miljoni R$ (191). 2025. gada septembrī Brazīlijā tika paziņots par jauna civildienesta karjeras virziena izveidi “datu aizsardzības” jomā ar 200 amata vietām, kas ir daļa no ANPD darbaspēka pieauguma turpmākajos gados (192).

(129)

ANPD struktūru veido direktoru padome (kas ir tās augstākā pārvaldes institūcija), Valsts padome personas datu un privātuma aizsardzības jautājumos (kurai ir padomdevējas pilnvaras) un vairākas administratīvās struktūrvienības un nodaļas (193). Šī struktūra ir izveidota ar LGPD 55.-C pantu un sīkāk izklāstīta divos dekrētos, kas pieņemti attiecīgi 2020. un 2023. gadā (194).

(130)

Direktoru padomē ir pieci direktori, arī iestādes priekšsēdētājs. Katru ANPD direktoru padomes locekli uz pieciem gadiem ieceļ Brazīlijas Republikas prezidents pēc apstiprināšanas Federālajā senātā (195).

(131)

Direktori ir ar Brazīlijas valstspiederību un viņiem ir amatam atbilstoša augsta līmeņa izglītība (196). Lai nodrošinātu neatkarību, visiem direktoriem cita starpā ir jāatturas no jebkādas ar peļņu saistītas uzņēmējdarbības, politiskas darbības un vadības vai padomdevēja amatu ieņemšanas uzņēmumos (197). Turklāt Brazīlijas tiesību aktos, kas reglamentē vadošu amatu ieņemšanu federālajā valsts pārvaldē, ir noteikts, ka personām, kas pilda ANPD direktoru funkcijām līdzvērtīgas funkcijas, cita starpā ir aizliegts iesaistīties darbībās, kas nav savienojamas ar viņu amata pienākumiem (198). Tas ietver darbību kā konsultantiem vai starpniekiem privātās interesēs (pat neoficiāli) vai pakalpojumu sniegšanu struktūrām, uz kurām attiecas ANPD uzraudzība vai regulējums, pat neregulāri. Turklāt, beidzoties oficiāli noteiktajam pilnvaru termiņam vai izbeidzot amata pienākumu pildīšanu ANPD, un sešus mēnešus pēc tam direktoriem ir liegts veikt noteiktas funkcijas, kas var radīt interešu konflikta risku (199).

(132)

Direktorus var atlaist tikai īpašos apstākļos, kas noteikti LGPD 55.-E pantā, proti, “pēc atkāpšanās no amata, galīga un nepārsūdzama tiesas notiesājoša sprieduma vai atlaišanas kā soda administratīvā disciplinārlietā”. Federālajā likumā par valsts dienestu ir noteikts, ka šādam sodam ir jābūt pamatotam un to var ierosināt tikai tad, ja ir pierādīti konkrēti pārkāpumi (t. i., smagi amatpārkāpumi, korupcija, valsts līdzekļu nelikumīga izmantošana) (200). Šie noteikumi un procedūra nodrošina ANPD direktoriem institucionālo aizsardzību to amata pienākumu izpildē. Līdz šim neviens ANPD direktors nekad nav ticis atlaists no amata un pret viņiem nav tikusi ierosināta disciplinārlieta. ANPD Direktoru padome ir izveidota un tās sastāvs nav mainījies – tas nenotika arī 2023. gadā, kad Brazīlijā tika nomainīta valsts pārvalde.

(133)

ANPD uzdevumi un pilnvaras ir sīki izklāstītas LGPD 55.-J pantā. Konkrētāk, tie ietver datu aizsardzības politikas un pamatnostādņu izstrādi, tādu standartu pieņemšanas veicināšanu, kas atvieglo datu subjektu kontroli pār saviem personas datiem, individuālo tiesību pārkāpumu izmeklēšanu, sūdzību izskatīšanu, LGPD ievērošanas nodrošināšanu un sankciju noteikšanu, izglītošanu datu aizsardzības jomā un datu aizsardzības popularizēšanu, kā arī informācijas apmaiņu ar trešo valstu datu aizsardzības iestādēm un sadarbību ar tām (201).

(134)

ANPD ir padomdevēja struktūra, ko izveidojusi Valsts padome personas datu un privātuma aizsardzības jautājumos, kas izveidota ar LGPD 58.-A pantu. Šīs struktūras sastāvā ir izpildvaras, likumdevējvaras un tiesu iestāžu, kā arī pilsoniskās sabiedrības, arodbiedrību un uzņēmējdarbības nozares pārstāvji (202). Tai ir tikai konsultatīva loma, proti, tā sagatavo pētījumus vai gada ziņojumus par datu aizsardzību, rīko publiskas debates un uzklausīšanu par personas datu aizsardzību un privātumu, ierosina nesaistošus ieteikumus ANPD un izplata zināšanas par personas datu un privātuma aizsardzību (203). ANPD un Valsts padomes sadarbība ir vērsta uz datu aizsardzības un privātuma veicināšanu Brazīlijā. Valsts padomei nav pilnvaru attiecībā uz LGPD uzraudzību un izpildi, jo tikai ANPD ir pilnvaras pārraudzīt likuma īstenošanu un panākt tā izpildi, piemēram, izdodot noteikumus, veicot izmeklēšanu un piemērojot sankcijas. ANPD kā neatkarīgai iestādei nav jāņem vērā nekādi ieteikumi, ar kuriem savos ziņojumos vai nesaistošajos ieteikumus varētu nākt klajā Valsts padome.

(135)

Lai nodrošinātu noteikumu ievērošanu, likumdevējs ir piešķīris ANPD gan izmeklēšanas, gan izpildes panākšanas pilnvaras, sākot ar brīdinājumu izteikšanu un beidzot ar administratīvo sodu piemērošanu.

(136)

Attiecībā uz izmeklēšanas pilnvarām, ja ir aizdomas vai ir ziņots par LGPD pārkāpumu, vai ja tas ir nepieciešams, lai aizsargātu datu subjekta tiesības, kas ir tikušas vai varētu tikt pārkāptas, ANPD var jebkurā laikā veikt revīzijas un pārbaudes uz vietas pie publiskā un privātā sektora pārziņiem un pieprasīt visu nepieciešamo informāciju (204). Konkrētāk, saistošajos noteikumos par ANPD sankciju pilnvarām ir noteikts, ka pārziņi un apstrādātāji nodrošina ANPD“piekļuvi birojiem/ēkām, aprīkojumam, lietojumprogrammām, iekārtām, sistēmām, rīkiem un tehnoloģiskajiem resursiem, dokumentiem, datiem un tehniska, operatīva un cita veida informācijai, kas nepieciešama personas datu apstrādes darbību novērtēšanu un kas ir to rīcībā vai trešo personu rīcībā” (205).

(137)

ANPD savu korektīvo pilnvaru ietvaros var piemērot brīdinājumus, naudas sodus vai citas sankcijas, piemēram, rīkojumus uz laiku pārtraukt datu apstrādi vai dzēst personas datus (206). Šīs sankcijas var piemērot publiskām vai privātām struktūrām, izņemot naudas sodus un dienas naudas sodus, ko nevar piemērot publiskām struktūrām (207). Lai panāktu kādas struktūras atbilstību, var piemērot vairākas kumulatīvas sankcijas. Izsakot brīdinājumu, ANPD dod pārzinim konkrētu laikposmu, kurā pieņemt korektīvus pasākumus, lai panāktu apstrādes atbilstību LGPD (208). Ja tas netiek izdarīts, tiek piemērotas papildu sankcijas. Piemēram, ANPD ir izteikusi vairākus brīdinājumus Veselības ministrijai par to, ka tā cita starpā nav sniegusi novērtējumu par ietekmi uz datu aizsardzību un nav paziņojusi par datu aizsardzības pārkāpumu (209). ANPD var piemērot vairākas sankcijas saistībā ar datu subjektu tiesību aizsardzību vai LGPD ievērošanu. Piemēram, ANPD var uzlikt administratīvu naudas sodu par LGPD pārkāpumu kopā ar rīkojumu dzēst datus, kas saistīti ar šo pārkāpumu (210). Nemonetāru sankciju gadījumā ANPD var arī nolemt uzlikt “dienas naudas sodus”, lai “vajadzības gadījumā noteiktā termiņā nodrošinātu atbilstību (LGPD)” (211). Dienas naudas sodu piemēro kumulatīvi, ņemot vērā laiku no naudas soda uzlikšanas līdz pienākuma izpildei, un tā summa nepārsniedz 50 miljonus R$ (212).

(138)

Saskaņā ar LGPD 52. panta II daļu ANPD papildus dienas naudas sodiem var uzlikt administratīvus naudas sodus līdz 2 % apmērā no uzņēmuma ieņēmumiem Brazīlijā, bet ne vairāk kā 50 miljonus R$ (213). Vairāku pārkāpumu gadījumā naudas sodi var būt kumulatīvi. ANPD dažus mēnešus pēc tam, kad tika pieņemti Noteikumi par sankcijām, uzlika pirmos naudas sodus kādam telesakaru uzņēmumam, kas nebija identificējis apstrādes juridisko pamatu un nebija iecēlis datu aizsardzības speciālistu. Uzņēmums saņēma brīdinājumu un divus naudas sodus kopsummā par 14 400 R$ (214). Saistošajos noteikumos par sankcijām ANPD sankcijas ir iedalījusi trīs smaguma līmeņos – viegls, vidējs un nopietns (215) – atkarībā no konstatētā faktora, piemēram, apstrādāto datu veida un apjoma, apstrādes veida vai ietekmes uz datu subjektu tiesībām. Piemēram, par pārkāpumiem saistībā ar sensitīvu personas datu apstrādi piemēro visaugstākā līmeņa sankcijas, kādas var piemērot ANPD (216).

(139)

Noteikumos par sankcijām ir paredzēta metodika naudas sodu aprēķināšanai, arī, lai ņemtu vērā atbildību pastiprinošus un/vai mīkstinošus faktorus (217). Piemēram, naudas sodu var palielināt par 10 % atkārtotu konkrētu pārkāpumu gadījumā vai pat par 90 % par katru korektīvo pasākumu, kas nav ievērots noteiktajā termiņā (218). Tāpat naudas sodu var samazināt par 50 %, ja pārkāpums tiek novērsts tūlīt pēc tam, kad ANPD ir uzsākusi administratīvo procesu (219).

(140)

Tāpēc Brazīlijas sistēma apvieno dažādus sankciju veidus: no korektīviem pasākumiem līdz administratīviem naudas sodiem. ANPD sāka izmantot savas sankciju piemērošanas pilnvaras uzreiz pēc to stāšanās spēkā (220). Līdz šim sankcijas ir piemērotas un ieteikumi ir izteikti gan publiskajām iestādēm, arī drošības jomā, gan privātiem uzņēmējiem (221). ANPD līdz šim noteiktās sankcijas attiecas uz plašu problēmu loku, tai skaitā DAS neiecelšanu, drošības incidentiem (arī datu aizsardzības pārkāpumiem) un nesadarbošanos ar ANPD. Papildus naudas sodu noteikšanai ANPD ir īpaši aktīvi izmantojusi visas savas korektīvās pilnvaras, lai, piemēram, izdotu rīkojumus pārziņiem veikt novērtējumu par ietekmi uz datu aizsardzību (NIDA) vai pārtraukt personas datu apstrādi. Piemēram, 2024. gada jūlijā ANPD izdeva rīkojumu lielai sociālo mediju platformai apturēt personas datu apstrādi ģeneratīvā mākslīgā intelekta (MI) sistēmu apmācībai visos tās produktos (222). Kopā ar šo preventīvo pasākumu, kura mērķis bija aizsargāt datu subjektu pamattiesības, ANPD uzlika dienas naudas sodu 50 000 R$ apmērā līdz brīdim, kad apstrāde tika veikta saskaņā ar LGPD (223). Visbeidzot, ANPD ir paziņojusi par izmeklēšanas uzsākšanu pret vairākām lielām daudznacionālām tehnoloģiju platformām, sociālo mediju uzņēmumiem un vienu banku, kā arī turpina izmeklēšanu pret publiskā sektora struktūrām (224). Dažos pastāvēšanas gados ANPD ir uzrādījusi labus izpildes panākšanas rādītājus, izmantojot visas savas izpildes panākšanas pilnvaras.

(141)

Visbeidzot, administratīvās sankcijas, kas noteiktas saskaņā ar LGPD, neaizstāj citu administratīvo vai citu civiltiesisko un kriminālsankciju piemērošanu, arī tās, kas noteiktas Brazīlijas Patērētāju tiesību aizsardzības kodeksā (225) un Civiltiesiskajā regulējumā interneta jomā (226). Konkrētāk, Brazīlijas Patērētāju tiesību aizsardzības kodeksā ir noteikts, ka uzņēmumiem ir jāsniedz patērētājiem informācija par savu uzņēmējdarbību un darbību (227). Patērētāju tiesību aizsardzības kodeksa 56. pantā ir uzskaitītas arī sankcijas, kas uzņēmumiem draud neatbilstības gadījumā, sākot ar naudas sodiem un beidzot ar aizliegumu pārdot vai ražot produktu vai pienākumu pārtraukt pakalpojuma sniegšanu. Turklāt Patērētāju tiesību aizsardzības kodeksa 61.–74. pantā ir uzskaitīti noziedzīgi nodarījumi, par kuriem uzņēmuma atbildīgajām personām var piespriest brīvības atņemšanu uz laiku no sešiem mēnešiem līdz diviem gadiem, arī saistībā ar nepatiesiem vai maldinošiem apgalvojumiem par kādu pakalpojumu vai tāda pakalpojuma reklamēšanu, kas var kaitēt patērētājiem. Piemēram, 2014. gadā Brazīlijas Patērētāju tiesību aizsardzības departaments piesprieda kādam telesakaru uzņēmumam 3,5 miljonu R$ naudas sodu par Patērētāju tiesību aizsardzības kodeksa un Civiltiesiskā regulējuma interneta jomā pārkāpumiem saistībā ar izsekošanu uz uzvedību balstītas tiešsaistes reklāmas nolūkā un tīmekļa pārlūkošanas datu pārdošanu (228).

(142)

No iepriekš minētā izriet, ka Brazīlijas sistēma nodrošina tās datu aizsardzības noteikumu rezultatīvu īstenošanu praksē.

(143)

Lai nodrošinātu pietiekamu aizsardzību un jo īpaši individuālo tiesību īstenošanu, datu subjektam vajadzētu būt pieejamiem efektīviem administratīvajiem un tiesiskajiem aizsardzības līdzekļiem, tostarp kompensācijai par kaitējumu.

(144)

Brazīlijas sistēma nodrošina fiziskām personām dažādus mehānismus, lai tās varētu efektīvi īstenot savas tiesības un panākt aizsardzību.

(145)

Personas, kuras uzskata, ka ir pārkāptas viņu datu aizsardzības tiesības vai intereses, vai vēlas īstenot savas datu aizsardzības tiesības, var vērsties pie attiecīgā pārziņa. Saskaņā ar LGPD 9. pantu pārzinis cita starpā sniedz kontaktinformāciju, ko izmantot, lai varētu iesniegt datu subjektu pieprasījumu un “lūgumrakstus” (229).

(146)

Turklāt saskaņā ar LGPD un Brazīlijas tiesību sistēmu fiziskām personām, kuras uzskata, ka personas datu pārzinis vai apstrādātājs ir pārkāpis šo personu datu aizsardzības tiesības vai intereses, ir pieejami vairāki tiesiskās aizsardzības līdzekļi.

(147)

Pirmkārt, jebkura persona, kas uzskata, ka pārzinis vai apstrādātājs ir pārkāpis tās datu aizsardzības tiesības vai intereses, var iesniegt sūdzību vai ziņot par šādu pārkāpumu ANPD (230). ANPD tīmekļa vietnē ir īpaša lapa, kurā datu subjekti var iesniegt sūdzību LGPD pārkāpuma gadījumā vai lūgumrakstu, ja rodas problēmas saistībā ar pieprasījumu pārzinim par datu subjekta datu aizsardzības tiesībām (231). Kā paskaidrots šā lēmuma 138. apsvērumā, reaģējot uz sūdzību, ANPD var piemērot sankcijas, kā sīki izklāstīts LGPD 52. pantā. Noteikumos par ANPD sankciju pilnvarām tika noteikta tās darbības administratīvā procedūra, tajā skaitā termiņi, procedūras, kas reglamentē tiesības tikt uzklausītam, un lēmuma publicēšana (232).

(148)

Datu subjekti var apstrīdēt ANPD lēmumus, iesniedzot pārsūdzību ANPD direktoru padomē 10 dienu laikā pēc lēmumu saņemšanas (233). Tā kā fiziskām personām ir tiesības uz efektīvu tiesību aizsardzību, tās var gan pārsūdzēt direktoru padomes lēmumus tiesā, gan arī iesniegt prasību pret ANPD par to, ka tā nav izpildījusi savus pienākumus saskaņā ar LGPD (arī par atteikumu izskatīt sūdzību vai sūdzības noraidīšanu pēc būtības) (234).

(149)

Otrkārt, ANPD var veicināt “tiešo samierināšanu” (mediāciju) starp datu subjektiem un pārziņiem, lai par prioritāti noteiktu problēmu risināšanu un “pārziņu veiktu kaitējuma atlīdzināšanu” (235). Šie procesi neliedz datu subjektiem iesniegt sūdzības vai piekļūt citiem tiesiskās aizsardzības līdzekļiem.

(150)

Treškārt, attiecībā uz kaitējuma atlīdzināšanu LGPD 42. pantā ir noteikts pārziņa vai apstrādātāja pienākums atlīdzināt “mantisku, morālu, individuālu vai kolektīvu kaitējumu citiem”, kas radies personas datu apstrādes rezultātā. Datu subjekti var individuāli vai kolektīvi vērsties tiesā, lai saņemtu tiesisko aizsardzību un pieprasītu kompensāciju par šo kaitējumu (236). LGPD ir noteikts, ka tiesnesim ir rīcības brīvība “apvērst pierādīšanas pienākumu par labu datu subjektam”, it īpaši gadījumos, kad “datu subjekta pierādījumu iesniegšana būtu pārmērīgi apgrūtinoša” (237).

(151)

Ceturtkārt, ja datu subjektu tiesību pārkāpums ietilpst patērētāju tiesību un patērētāju attiecību jomā, šajā jomā nodrošinātā aizsardzība ir piemērojama un uz to var atsaukties tiesā (238).

(152)

Piektkārt, Brazīlijas Federālā Augstākā tiesa ir atzinusi, ka fiziskām personām ir tiesības pieprasīt tiesiskās aizsardzības līdzekļus, ja ir pārkāptas viņu konstitucionālās tiesības, arī tiesības uz personas datu aizsardzību (239). Šajā saistībā tiesa var, piemēram, likt pārziņiem apturēt vai pārtraukt jebkādu prettiesisku darbību. Turklāt datu aizsardzības tiesības, arī LGPD aizsargātās tiesības, var īstenot, iesniedzot civilprasību. LGPD 22. pantā ir skaidri noteikts, ka datu subjektu tiesības var aizstāvēt tiesā un plašākā nozīmē – fiziskas personas var individuāli vai kolektīvi iesniegt tiesā datu aizsardzības lietas.

(153)

Tādējādi Brazīlijas sistēma piedāvā dažādus veidus, kā saņemt tiesisko aizsardzību, sākot ar viegli piekļūstamiem, lētiem risinājumiem (piemēram, sūdzības ANPD) un beidzot ar tiesiskās aizsardzības līdzekļiem, kas ietver iespēju saņemt kompensāciju par nodarīto kaitējumu vai izmantot kolektīvas tiesiskās aizsardzības iespēju.

(154)

Komisija ir arī novērtējusi ierobežojumus un garantijas, tajā skaitā pārraudzības un individuālās tiesiskās aizsardzības mehānismus, kas Brazīlijas tiesību aktos pieejami saistībā ar tādu personas datu vākšanu un vēlāku izmantošanu Brazīlijas publiskajās iestādēs, kurus nosūta pārziņiem un apstrādātājiem Brazīlijā sabiedrības interesēs, jo īpaši krimināltiesiskās aizsardzības un valsts drošības nolūkos (turpmāk – “valdības piekļuve”).

(155)

Novērtējot, vai nosacījumi, ar kādiem valdības piekļuve datiem, kas saskaņā ar šo lēmumu nosūtīti uz Brazīliju, atbilst “līdzvērtības pēc būtības” pārbaudei saskaņā ar Regulas (ES) 2016/679 45. panta 1. punktu, kā to interpretējusi Eiropas Savienības Tiesa, ņemot vērā Pamattiesību hartu, Komisija jo īpaši ņēma vērā turpmāk minētos kritērijus.

(156)

Pirmkārt, jebkuriem ierobežojumiem, kas skar tiesības uz personas datu aizsardzību, ir jābūt paredzētiem tiesību aktos, un juridiskajam pamatam, kurš pieļauj šādu tiesību ierobežojumu, pašam jānosaka attiecīgo tiesību īstenošanas ierobežojuma darbības joma (240).

(157)

Otrkārt, lai nodrošinātu atbilstību samērīguma prasībai, saskaņā ar kuru atkāpes no personas datu aizsardzības un to ierobežojumi piemērojami tikai tiktāl, ciktāl tas ir absolūti nepieciešams (noteikti vajadzīgs) demokrātiskā sabiedrībā, lai sasniegtu konkrētus vispārējas nozīmes mērķus, kas ir līdzvērtīgi Savienībā atzītajiem, attiecīgās trešās valsts tiesību aktos, kas pieļauj ierobežojumu, jāparedz skaidri un precīzi noteikumi, kas reglamentē attiecīgo pasākumu darbības jomu un piemērošanu, un jānosaka minimāli aizsardzības pasākumi, lai personām, kuru dati ir nosūtīti, būtu pietiekamas garantijas efektīvai viņu personas datu aizsardzībai pret ļaunprātīgas izmantošanas risku (241). Tiesību aktos jo īpaši jānorāda, kādos apstākļos un ar kādiem nosacījumiem var īstenot pasākumu, kas nodrošina šādu datu apstrādi (242), kā arī piemērot šādu prasību izpildei neatkarīgu pārraudzību (243).

(158)

Treškārt, tiesību aktiem un to prasībām jābūt juridiski saistošiem saskaņā ar valsts tiesību aktiem. Tas vispirms attiecas uz attiecīgās trešās valsts iestādēm, bet šīm juridiskajām prasībām jābūt arī īstenojamām piespiedu kārtā tiesas ceļā pret šīm iestādēm (244). Datu subjektiem jo īpaši jābūt iespējai celt prasību neatkarīgā un objektīvā tiesā, lai gūtu piekļuvi saviem personas datiem vai panāktu šādu datu labošanu vai dzēšanu (245).

(159)

Ierobežojumi un garantijas, kas piemērojami personas datu vākšanai un vēlākai izmantošanai, ko veic Brazīlijas publiskās iestādes, izriet no visaptveroša konstitucionālā regulējuma, īpašiem tiesību aktiem, kuri regulē to darbību krimināltiesiskās aizsardzības un valsts drošības jomā, kā arī noteikumiem, kas konkrēti attiecas uz personas datu apstrādi.

(160)

Pirmkārt, Brazīlijas publisko iestāžu piekļuvi personas datiem reglamentē vispārējais likumības princips (no kura izriet pamatotības, nepieciešamības un samērīguma principi), kas noteikts Brazīlijas konstitūcijā (246). Konkrētāk, saskaņā ar konstitūcijas 5. pantu pamattiesības un brīvības (arī tiesības uz privātumu un datu aizsardzību) var ierobežot tikai ar likumu un tad, ja tas nepieciešams valsts drošības, sabiedriskās drošības vai citu likumā noteiktu īpašu sabiedrības interešu mērķu sasniegšanai. Šādiem ierobežojumiem jābūt saprātīgiem un samērīgiem (247). Konkrēti, sabiedrības interešu mērķa izvērtēšana ir būtiska, lai novērtētu iejaukšanās samērīgumu, ņemot vērā likumības principu. Turklāt konstitūcijas 5. panta LIV daļā ir noteikts, ka “nevienam nedrīkst atņemt brīvību vai īpašumu bez pienācīga tiesas procesa”.

(161)

Otrkārt, Brazīlijas tiesiskā kārtība garantē Habeas Data kā konstitucionālu tiesiskās aizsardzības līdzekli, kas paredzēts, lai aizsargātu tiesības piekļūt personas datiem un labot un dzēst personas datus, kas ir publisko iestāžu rīcībā vai iekļauti publisko datu kopās vai reģistros (248). Tas darbojas kā aizsardzība pret privātuma ļaunprātīgu izmantošanu vai pārkāpumiem saistībā ar datu apstrādi, ko veic publiskas struktūras. Ikviena fiziska persona var iesniegt prasību vai pieprasījumu, pamatojoties uz Habeas Data, neatkarīgi no tās valstspiederības (249).

(162)

Treškārt, 155.–158. apsvērumā minētie vispārīgie principi un tiesības ir atspoguļoti arī īpašajos tiesību aktos, kas reglamentē tiesībaizsardzības un valsts drošības iestāžu pilnvaras. Piemēram, Civiltiesiskajā regulējumā interneta jomā ir paredzēti pasākumi, kas prasa iepriekšēju tiesas rīkojumu, lai piekļūtu datiem, un ierobežojumi piekļuvei tiešsaistes datiem (250). Līdzīgi Likumā par telefonsakaru pārtveršanu ir paredzēti īpaši pasākumi un garantijas saistībā ar telesakaru datu apstrādi (251). Valsts drošības jomā Likums, ar ko izveido Brazīlijas izlūkošanas sistēmu, paredz pasākumus likumīgai piekļuvei datiem valsts drošības nolūkos (252).

(163)

Ceturtkārt, uz personas datu apstrādi, ko veic publiskās iestādes, arī tiesībaizsardzības un valsts drošības nolūkos, attiecas datu aizsardzības prasības saskaņā ar LGPD. Kā aprakstīts šā lēmuma 31. apsvērumā, LGPD noteiktais atbrīvojums attiecībā uz LGPD piemērošanu sabiedriskās drošības, valsts aizsardzības, valsts drošības un noziedzīgu nodarījumu izmeklēšanas un kriminālvajāšanas jomā ir daļējs. Federālā Augstākā tiesa ir interpretējusi LGPD piemērojamību, ņemot vērā personas datu konstitucionālo aizsardzību, un noteikusi, ka LGPD galvenie principi, tiesības un mērķi attiecas uz visu personas datu apstrādi, ko veic publiskās iestādes, tostarp, ja tā tiek veikta krimināltiesiskās izpildes vai valsts drošības vajadzībām (253). Pamatojoties uz to, ANPD, ir veikusi izmeklēšanas un izdevusi norādījumus, piemēram, tehnisko piezīmi publiskajām iestādēm par darbībām, kas saistītas ar sabiedrisko drošību, kurā tā atgādināja, ka apstrādei šādos sabiedrības interešu nolūkos ir jāatbilst vispārējiem principiem un tiesībām, kas paredzētas LGPD (254).

(164)

Visbeidzot, fiziskas personas var atsaukties uz savām konstitucionālajām tiesībām un brīvībām, vēršoties Federālajā Augstākajā tiesā, ja tās uzskata, ka publiskās iestādes savu pilnvaru īstenošanas laikā tās ir pārkāpušas. Fiziskas personas saistībā ar savām datu aizsardzības tiesībām var arī vērsties neatkarīgās pārraudzības struktūrās (piemēram, ANPD) un tiesās, kā izklāstīts šā lēmuma 143.–153. apsvērumā.

(165)

Brazīlijas tiesību aktos ir noteikti vairāki ierobežojumi attiecībā uz piekļuvi personas datiem un to izmantošanu krimināltiesību izpildes panākšanas nolūkos, kā arī ir paredzēti pārraudzības un tiesiskās aizsardzības mehānismi, kas atbilst šā lēmuma 155.–158. apsvērumā minētajām prasībām. Nosacījumi, saskaņā ar kuriem var notikt šāda piekļuve, un garantijas, kas piemērojamas šo pilnvaru izmantošanai, ir sīki novērtēti turpmākajās iedaļās.

(166)

Parasti publisko iestāžu piekļuve personas datiem krimināltiesību izpildes panākšanas nolūkos notiek, pamatojoties uz iepriekšēju tiesas rīkojumu, ko izdevusi kompetenta tiesu iestāde (255). Izņēmums no šā noteikuma ir likumā īpaši paredzēti gadījumi, kad policija un prokuratūra var piekļūt publiskā reģistrā iekļautiem tādu personu datiem, pret kurām vērsta izmeklēšana, t. i., datiem par personas kvalifikāciju, piederību un adresi (256). Pilnīgs pieejamo reģistru saraksts, kas paredzēts tiesību aktos, aptver informāciju par Brazīlijas valstspiederīgajiem un Brazīlijā dzīvojošām privātpersonām, bet neaptver piekļuvi datiem, kas nosūtīti no ES, tādējādi tas neietilpst šā lēmuma darbības jomā (257). Piekļuvi šiem reģistriem reglamentē konstitucionālais likumības princips, no kura izriet saprātīguma, nepieciešamības un proporcionalitātes principi, un ko ex post var pārskatīt tiesā, kā paskaidrots 159.–161. apsvērumā.

(167)

Brazīlijas iestādes, kurām ir tiesības piekļūt personas datiem un vākt tos krimināltiesiskos nolūkos, izmantojot iepriekšēju tiesas rīkojumu, ir šādas: 1) civilā policija, 2) federālā policija, 3) štata prokuratūra, 4) federālā prokuratūra, 5) tiesneši un tiesas, un 6) parlamentārās izmeklēšanas komitejas.

(168)

Saskaņā ar Kriminālkodeksa 3.-B pantu tiesnesis, “kas ir atbildīgs par kriminālizmeklēšanas likumības uzraudzību un personas tiesību aizsardzību”, var izdot tiesas rīkojumu, ar ko atļauj: 1) telefonsakaru pārtveršanu datoros un savienotās sistēmās vai izmantojot citus sakaru veidus, 2) nodokļu, banku, datu un telefonijas konfidencialitātes atcelšanu, 3) kratīšanu un konfiskāciju dzīvesvietā, 4) piekļuvi slepenai informācijai un 5) “citus pasākumus, kuru mērķis ir iegūt pierādījumus un kuri ierobežo tās personas pamattiesības, pret kuru vērsta izmeklēšana” (258).

(169)

Korespondences konfidencialitāte attiecībā uz elektronisko un telefonsakaru saziņu Brazīlijas tiesiskajā regulējumā tiek uzskatīta par pamattiesībām (259).

(170)

Publiskās iestādes var piekļūt šiem datiem tikai izņēmuma gadījumos kriminālizmeklēšanas vai kriminālvajāšanas nolūkos. Sakaru pārtveršanai vienmēr ir jābūt papildu un ārkārtas pasākumam, kas ir atļauts tikai tad, ja nav citu līdzekļu konkrētas lietas atrisināšanai, kā to noteikusi Federālā Augstākā tiesa (260). Uz tiešsaistes un telefonsakaru pārtveršanas kārtību attiecas Likums par telefonsakaru pārtveršanu (261).

(171)

Likuma par telefonsakaru pārtveršanu 2. pantā ir paredzēti stingri nosacījumi, kas ļauj piekļūt šādiem sakariem. Jebkādai sakaru pārtveršanai ir vajadzīga iepriekšēja tiesas atļauja. Pamatotu pārtveršanas pieprasījumu tiesnesim iesniedz pilnvarotas publiskas iestādes, kas var būt 1) attiecīgā policijas iestāde saistībā ar kriminālizmeklēšanu vai 2) prokuratūras pārstāvis kriminālizmeklēšanas un kriminālvajāšanas ietvaros (262). Telefonsakaru pārtveršana nav atļauta nevienā no tālāk minētajiem gadījumiem, ņemot vērā nepieciešamības un samērīguma prasības: 1) ja nav pamatotu pierādījumu par noziedzīga nodarījuma izdarīšanu vai līdzdalību tajā, 2) ja pierādījumus var sniegt, izmantojot citus pieejamus līdzekļus, 3) ja izmeklētais fakts ir noziedzīgs nodarījums, kas sodāms ar brīvības atņemšanu (263).

(172)

Turklāt Likumā par telefonsakaru pārtveršanu ir noteikts, ka pārtveršanas pieprasījumā ir jāprecizē šāda pasākuma nepieciešamība (264). Iepriekšējai tiesas atļaujai jābūt pamatotai, un tajā jāņem vērā pārtveršanai izmantoto līdzekļu samērīgums (265). Tiesnesis var atļaut piekļūt sakaru saturam ne ilgāk kā 15 dienas. Šo termiņu var pagarināt ar jaunu tiesas nolēmumu, ja tiek pierādīta šāda pasākuma nepieciešamība (266). Jebkāda sakaru pārtveršana, arī vides novērošana, kas veikta bez tiesas atļaujas vai likumā neatļautā nolūkā, ir noziedzīgs nodarījums, par kuru var sodīt ar brīvības atņemšanu uz laiku līdz četriem gadiem (267).

(173)

Vispārējs princips ir tāds, ka dati, kuriem piekļūst un kurus vāc krimināltiesiskiem mērķiem saskaņā ar Likumu par telefonsakaru pārtveršanu, tiks glabāti visu apstrādes laiku un pēc tam dzēsti, kad tie vairs nebūs vajadzīgi tiesvedībai, saskaņā ar tiesu iestāžu saistošajām pamatnostādnēm (268). Turklāt Likuma par telefonsakaru pārtveršanu 9. pantā ir noteikts, ka tad, ja savāktais saturs nav saistīts ar lietā izmeklēto jautājumu, dati tiek padarīti “nelietojami” (269).

(174)

Attiecībā uz telesakaru metadatiem Likuma par noziedzīgām organizācijām un kriminālizmeklēšanu 17. pantā ir noteikts, ka telesakaru uzņēmumiem piecus gadus ir jāglabā lietotāja konta informācija par Brazīlijā dzīvojošām personām un tālruņa zvanu saraksti (tikai numuri) (270). Šim ANATEL (Brazīlijas telesakaru regulatīvā aģentūra) uzturētajam reģistram var piekļūt tikai konkrētas publiskas struktūras, un tam ir nepieciešama tiesas atļauja, kā aprakstīts iepriekš.

(175)

Attiecībā uz tiešsaistē pieejamo informāciju Civiltiesiskā regulējuma interneta jomā 7. pants papildus garantē “saziņas plūsmas internetā neaizskaramību un konfidencialitāti”, izņemot ar tiesas rīkojumu, saskaņā ar tiesību aktiem, kā arī “glabātās privātās saziņas neaizskaramību un konfidencialitāti, izņemot ar tiesas rīkojumu” (271).

(176)

Saskaņā ar Civiltiesiskā regulējuma interneta jomā 10. pantu piekļuve tiešsaistes saziņas saturam un pieslēguma datiem (arī metadatiem) ir iespējama tikai ar iepriekšēju tiesas rīkojumu. Saskaņā ar Civiltiesiskā regulējuma interneta jomā 22. pantu pieteikumā par tiesas rīkojuma izdošanu ir jāiekļauj: i) pamatoti pierādījumi par nodarījuma izdarīšanu, ii) argumentēts pamatojums par izmeklēšanas vai pierādījumu vajadzībām pieprasīto ierakstu lietderību un iii) periods, uz kuru attiecas konkrētie ieraksti. Turklāt 13. pantā ir noteikts, ka interneta vai lietojumprogrammu pakalpojumu sniedzējiem ir pienākums vienu gadu “kontrolētā un drošā vidē” glabāt pieslēgumu žurnālfailus (272). Attiecībā uz tiešsaistes saziņas saturu līdzīgs pienākums glabāt datus nepastāv. Piekļuvi saglabātajiem pieslēgumu žurnālfailu ierakstiem kompetentajai iestādei var piešķirt tikai ar tiesas atļauju un saskaņā ar šajā apsvērumā aprakstītajiem nosacījumiem (273).

(177)

Civiltiesiskā regulējuma interneta jomā 11. pantā ir atgādināts, ka jebkurai darbībai, kas saistīta ar žurnālfailu, personas datu vai saziņas datu vākšanu, glabāšanu, saglabāšanu vai citādu apstrādi, ko veic pieslēguma pakalpojumu sniedzēji un interneta lietojumprogrammas Brazīlijā, ir jāievēro “Brazīlijas tiesību akti un tiesības uz privātumu, personas datu aizsardzību un privātās saziņas un ierakstu konfidencialitāti”. No 175.–177. apsvērumā minētajiem aizsardzības pasākumiem izriet, ka Brazīlijā parasti nav atļauta interneta saziņas datu masveida vākšana un saglabāšana.

(178)

Brazīlijā pastāv elektroniskās korespondences (arī datu) un telefonsakaru konfidencialitātes konstitucionāla aizsardzība (274). LGPD papildus aizsargā datu un saziņas informācijas izmantošanu (275), savukārt Likums par finanšu iestāžu darbības konfidencialitāti aizsargā nodokļu un banku informācijas konfidencialitāti (276).

(179)

Publiskās iestādes var piekļūt šai informācijai tikai izņēmuma gadījumos kriminālizmeklēšanas vai kriminālvajāšanas nolūkos. Sakaru pārtveršanai vienmēr ir jābūt papildu un ārkārtas pasākumam, kas ir atļauts tikai tad, ja nav citu līdzekļu konkrētas lietas atrisināšanai, kā to noteikusi Federālā Augstākā tiesa (277).

(180)

Kritēriji un garantijas attiecībā uz piekļuvi datiem un sakariem ir noteikti Civiltiesiskajā regulējumā interneta jomā un Likumā par telefonsakaru pārtveršanu un ir sīki izklāstīti šā lēmuma 169.–177. apsvērumā.

(181)

Attiecībā uz nodokļu un banku datiem Likuma par finanšu iestāžu darbības konfidencialitāti 1. pantā ir paredzēti nosacījumi, saskaņā ar kuriem var atcelt vispārējos pienākumus garantēt šīs informācijas konfidencialitāti. Pirmkārt, konfidencialitāti var atcelt tikai ar tiesas atļauju (278). Otrkārt, pasākumus var atļaut tikai noteiktu nodarījumu vai noziegumu kriminālizmeklēšanai vai kriminālvajāšanai par tiem, proti, saistībā ar: 1) terorismu, 2) narkotisko vielu vai līdzīgu vielu nelikumīgu tirdzniecību, 3) ieroču, munīcijas vai to ražošanai paredzētu materiālu kontrabandu vai nelikumīgu tirdzniecību, 4) izspiešanu, veicot personas nolaupīšanu, 5) noziegumiem pret valsts finanšu sistēmu, 6) noziegumiem pret publisko pārvaldi, 7) noziegumiem pret nodokļu sistēmu un sociālā nodrošinājuma sistēmu, 8) nelikumīgi iegūtu līdzekļu legalizāciju vai aktīvu slēpšanu un 9) saistību ar noziedzīgu organizāciju (279). Likuma 10. pantā ir arī noteikts, ka nodokļu un banku datu konfidencialitātes aizsardzību neatceļ nekādiem citiem nolūkiem, un šā ierobežojuma neievērošana ir noziegums, kas sodāms ar brīvības atņemšanu līdz četriem gadiem (280).

(182)

Federālajā konstitūcijā ir paredzēts vispārējs noteikums, ka kratīšanu un konfiskāciju var veikt tikai stingri noteiktos izņēmuma apstākļos vai saskaņā ar likumu un pamatojoties uz kompetentas tiesu iestādes izdotu tiesas rīkojumu un ievērojot pienācīgu procesu (281). Kratīšanai un konfiskācijai ir jāatbilst likumības principam, un tā jāveic vajadzīgajā apmērā.

(183)

Kratīšanu un konfiskāciju bez tiesas rīkojuma var veikt šādos ārkārtas apstākļos: 1) flagrante delicto gadījumā (t. i., ja noziegums tiek izdarīts tiesībaizsardzības iestāžu pārstāvju klātbūtnē), 2) dabas katastrofas gadījumā (lai glābtu cilvēku dzīvības vai īpašumus) vai 3) ar mērķi sniegt palīdzību personai, kura nespēj sniegt piekrišanu un kurai ir vajadzīga palīdzība (282). Brazīlijas Federālās Augstākās tiesas judikatūrā ir precizēts, ka tiesībaizsardzības iestādes nedrīkst paļauties uz “anonīmiem ziņojumiem” un “aizdomīgu uzvedību” kā pamatu kratīšanai vai konfiskācijai bez ordera, jo tas neatbilst likumības prasībai un nedod iestādēm pamatotu attaisnojumu pārkāpt mājokļa neaizskaramību (283).

(184)

Attiecībā uz procesuālajām garantijām saskaņā ar Brazīlijas konstitucionālajiem principiem elektroniskas ierīces pārmeklēšana nevar notikt bez pamatotām aizdomām, ka ierīcē tiek glabāti pierādījumi par noziedzīgu nodarījumu, un principā to nevar veikt, ja nav attiecīga tiesas rīkojuma (284). Turklāt personu nevar piespiest nodot datus, ja šāda nodošana varētu būt pretrunā personas konstitucionālajām tiesībām, piemēram, tiesībām neliecināt pret sevi (285). Iesniedzot tiesai pieprasījumu izdot rīkojumu par pārmeklēšanu, krimināltiesiskās aizsardzības iestāde, sniedz attiecīgos faktus un pierādījumus, kas pamato nepieciešamību piekļūt datorsistēmai un datiem, izmantojot likumīgi iegūtos piekļuves akreditācijas datus (286). Ja tiesa izdod rīkojumu par pārmeklēšanu, iestādes izmanto piekļuves akreditācijas datus, lai piekļūtu datorsistēmai un tajā esošajiem datiem saskaņā ar rīkojumā norādītajiem noteikumiem. Kad pārmeklēšana vai piekļuve ir pabeigta, kompetentajām iestādēm ir jāiesniedz tiesai ziņojums, kurā aprakstīti pārmeklēšanas vai piekļuves rezultāti un sniegts iegūto datu vai informācijas saraksts.

(185)

Likuma par piekļuvi informācijai (turpmāk – “LAI”) 4. pantā jēdziens “konfidenciāla informācija” ir definēts kā informācija, “kurai uz laiku ir ierobežota publiska piekļuve, jo tā ir būtiska sabiedrības un valsts drošībai” (287). Personas dati var būt daļa no iepriekšējā teikumā definētās konfidenciālās informācijas.

(186)

LAI 6. pantā ir noteikts, ka publiskajām struktūrām ir jāaizsargā konfidenciāla informācija un jāierobežo piekļuve tai. Attiecībā uz piekļuvi saziņas, datu, banku un nodokļu informācijai piekļuve konfidenciālai informācijai kriminālizmeklēšanas un kriminālvajāšanas vajadzībām var notikt izņēmuma gadījumos un tikai ar tiesas atļauju, un ir atļauta tikai tad, ja nav citu līdzekļu konkrētas lietas atrisināšanai, kā to noteikusi Federālā Augstākā tiesa un kā paredzēts tiesību aktos (288).

(187)

Formulējums “citi pasākumi, kuru mērķis ir iegūt pierādījumus un kuri ierobežo tās personas pamattiesības, pret kuru vērsta izmeklēšana”, attiecas, piemēram, uz iespēju izdot rīkojumu par preventīvu aizturēšanu vai fizisku novērošanu. Šie pasākumi principā nav būtiski saistībā ar datu nosūtīšanu, pamatojoties uz lēmumu par aizsardzības līmeņa pietiekamību.

(188)

Pilnīguma labad jānorāda, ka šādus publiskas iestādes ierosinātus pasākumus var veikt tikai ar tiesas atļauju. Ierosinātajiem pasākumiem ir jāatbilst konstitūcijā noteiktajam likumības principam, tie ir jānosaka izņēmuma gadījumos un gadījumos, kad nevar izmantot nevienu citu alternatīvu, kā to noteikusi Federālā Augstākā tiesa.

(189)

Attiecībā uz publiskas iestādes vēlāk veiktu personas datu izmantošanu citam nolūkam Likuma par telefonsakaru pārtveršanu 9. pantā ir noteikts, ka tad, ja savāktais saturs nav saistīts ar lietā izmeklēto jautājumu, dati tiek padarīti “nelietojami”. Arī Civiltiesiskā regulējuma interneta jomā 13. pantā noteikts, ka reģistrā glabājamu pieslēguma datu glabāšanas ilgums nedrīkst pārsniegt vienu gadu. Likuma par finanšu iestāžu darbības konfidencialitāti 10. pants arī ierobežo nolūku, kādam var atcelt nodokļu un bankas datu konfidencialitāti (289). Šie pasākumi praksē ierobežo jebkādas turpmākas informācijas izmantošanas iespējas.

(190)

Turklāt un svarīgi ir tas, ka Federālā Augstākā tiesa ir lēmusi, ka LGPD attiecas uz personas datu kopīgošanu starp publiskām struktūrām, arī gadījumos, kad ar tiem apmainās tiesībaizsardzības un izlūkošanas iestādes (290). Tiesa ir īpaši atgādinājusi, ka “personas datu apmaiņa starp publiskās pārvaldes iestādēm un struktūrām paredz: 1) likumīga, konkrēta un skaidra datu apstrādes mērķa definēšanu, 2) apstrādes saderību ar paziņotajiem nolūkiem, 3) kopīgošanas apjoma ierobežošanu līdz minimumam, kas nepieciešams, lai sasniegtu paziņoto nolūku, kā arī pilnīgu atbilstību prasībām, garantijām un procedūrām, kas noteiktas LGPD, ciktāl tas ir saderīgs ar publiskā sektora darbību.” Tiesa piebilda, ka “personas datu apstrāde, ko publiskās iestādes veic, pārkāpjot tiesiskos un konstitucionālos parametrus, saskaņā ar LGPD 42. pantu izraisa valsts civiltiesisko atbildību par fiziskām personām nodarīto kaitējumu”.

(191)

Attiecībā uz personas datu kopīgošanu starp krimināltiesiskās aizsardzības iestādēm Brazīlijā un līdzīgām iestādēm trešās valstīs – šīs darbības reglamentē starptautisko tiesību instrumenti saskaņā ar LGPD. Šajā saistībā LGPD 33. panta III daļā ir noteikts, ka datu starptautiska nosūtīšana var notikt, ja tā ir “nepieciešama starptautiskai tiesiskai sadarbībai starp publiskām iestādēm izlūkošanas, izmeklēšanas un kriminālvajāšanas jomā saskaņā ar starptautiskiem juridiskiem instrumentiem”. Brazīlijā Tieslietu un sabiedriskās drošības ministrija ir centrālā iestāde starptautiskās tiesiskās sadarbības krimināllietās jomā. Ministrija ir atbildīga par starptautiskās sadarbības ar ārvalstu iestādēm pieprasījumu saņemšanu, analīzi, nosūtīšanu un izpildes uzraudzību saskaņā ar piemērojamajām starptautisko tiesību normām un LGPD noteikumiem. Uz personas datu apstrādi, kas nepieciešama starptautiskajai tiesiskajai sadarbībai, attiecas nolūka ierobežojuma (LGPD 6. panta I punkts), apstrādes likumības un taisnīguma (LGPD 6. un 7. pants), datu minimizēšanas un precizitātes (LGPD 6. panta III un V punkts), pārredzamības (LGPD 6. panta VI punkts), datu drošības (LGPD 6. panta VII punkts) un glabāšanas ierobežojuma (LGPD 6. panta I, III, IV punkts un 16. pants) principi. Personas datu iespējama izpaušana trešām personām (tostarp trešām valstīm) var notikt tikai saskaņā ar šiem principiem pēc tam, kad ir novērtēta atbilstība konstitucionālajiem nepieciešamības un proporcionalitātes principiem un nodrošināta aizsardzības nepārtrauktība un datu subjektu tiesību ievērošana (Noteikumu par datu nosūtīšanu 2. pants).

(192)

Tāpēc Brazīlijas krimināltiesiskās aizsardzības iestāžu pilnvaras vākt datus un piekļūt tiem ir ierobežotas ar skaidriem un precīziem tiesību aktos paredzētiem noteikumiem, un tām tiek piemērotas garantijas. Šīs garantijas jo īpaši ietver garantētu šādu pasākumu izpildes pārraudzību, arī ar iepriekšēju tiesas apstiprinājumu un garantijām, kas ierobežo piekļuves ilgumu un informācijas glabāšanu saskaņā ar nepieciešamības un samērīguma principiem.

(193)

Brazīlijā krimināltiesiskās aizsardzības iestāžu darbību pārrauga dažādas struktūras.

(194)

Pirmkārt, kā apstiprinājusi Federālā Augstākā tiesa, ANPD ir tiesības uzraudzīt personas datu apstrādi, ko veic krimināltiesiskās aizsardzības iestādes saskaņā ar noteiktām LGPD prasībām (291). Šajā kontekstā ANPD var īstenot izmeklēšanas un korektīvās pilnvaras, kas tai piešķirtas saskaņā ar LGPD. Piemēram, ANPD ir izmeklējusi darbības, ko veic Federālā policija, Tieslietu un sabiedriskās drošības ministrija un citas publiskas struktūras, kuras veic federāla, valsts vai vietēja mēroga drošības darbības vai kurām ir tiesībaizsardzības pienākumi (292). Izmeklēšanu var veikt pēc ANPD iniciatīvas vai pēc pieprasījumiem un sūdzībām, ko var iesniegt, piemēram, privātpersonas, pilsoniskās sabiedrības organizācijas un publiskās iestādes. Piemēram, pēc pilsoniskās sabiedrības pieprasījuma ANPD veica vairākas izmeklēšanas par videokameru izmantošanu (293).

(195)

Otrkārt, krimināltiesiskās aizsardzības iestāžu darbību pārrauga tiesu iestādes. Tiesas ir pilnvarotas atļaut personas datu vākšanu un piekļuvi tiem apstākļos, kas minēti 165.–187. apsvērumā. Turklāt spēkā esošo tiesību aktu ļaunprātīgas izmantošanas vai neievērošanas gadījumā tām ir tiesības piemērot civiltiesiskus sodus un kriminālsodus, tai skaitā aizturēšanu vai rīkojumu pārtraukt noteiktas darbības.

(196)

Treškārt, prokuratūrai, kas ir neatkarīga un pastāvīga Brazīlijas iestāde, kura ir atbildīga par tiesību sistēmas un demokrātiskās sistēmas aizstāvību, ir pilnvaras veikt policijas darbības ārējo kontroli (294). Kā noteikts Rezolūcijā par prokuratūru, policijas darbību ārējās kontroles mērķis ir uzturēt “policijas darbības veikšanā izmantoto procedūru pareizību un atbilstību”, īpaši ņemot vērā “Federālajā konstitūcijā un likumos garantēto pamattiesību ievērošanu” (295). Pildot šos pienākumus, prokuratūra cita starpā var veikt plānotu vai jebkurā laikā veiktu apmeklējumu uz vietas, pārbaudīt izmeklēšanas gaitu, pārraudzīt preču konfiskāciju un uzraudzīt orderu ievērošanu (296). Par visiem tiesību aktu pārkāpumiem ziņo tiesai. Prokuratūra savu uzdevumu ietvaros ir bijusi iesaistīta policijas vardarbības, varas ļaunprātīgas izmantošanas un cilvēktiesību pārkāpumu lietu izmeklēšanā un kriminālvajāšanā par šādiem nodarījumiem. Turklāt prokuratūrai ir sava loma datu aizsardzības uzraudzībā – tā var uzsākt tiesiskas darbības vai tām pievienoties, pamatojoties uz konstitucionālo aizsardzību, un veicinot datu aizsardzības tiesības līdztekus ANPD. Piemēram, prokuratūra iepazīstināja ar saviem argumentiem Federālo Augstāko tiesu, atbalstot nozīmīgo lēmumu atzīt datu aizsardzību par pamattiesībām Brazīlijā (297). Prokuratūras darbību reģistrs saistībā ar LGPD ir pieejams arī tās tīmekļa vietnē (298).

(197)

Brazīlijas sistēma piedāvā dažādus juridiskus un administratīvus tiesiskās aizsardzības līdzekļus, tai skaitā kompensāciju par kaitējumu. Šie mehānismi nodrošina datu subjektiem efektīvus administratīvos un tiesiskās aizsardzības līdzekļus, kas jo īpaši ļauj viņiem īstenot to tiesības, tai skaitā tiesības piekļūt saviem personas datiem vai panākt šādu datu labošanu vai dzēšanu.

(198)

Pirmkārt, fiziskas personas var vērsties tiesā, arī par kaitējuma atlīdzināšanu. Federālajā konstitūcijā un Civilprocesa kodeksā ir paredzēti juridiskie pamati, kas ļauj pieprasīt kompensāciju par morālo kaitējumu vai mantisko kaitējumu, ko nodarījusi publiska iestāde, kura nelikumīgi vākusi vai izmantojusi datus krimināltiesiskiem mērķiem (299). It īpaši konstitūcijā ir skaidri minēts, ka tiesības uz privātumu ietver “tiesības uz kompensāciju” par mantisku vai morālu kaitējumu, kas radies to pārkāpuma rezultātā (300). Tiesas lēmumus var pārsūdzēt Federālajā Augstākajā tiesā un pēc tam Amerikas Cilvēktiesību tiesā. Amerikas Cilvēktiesību tiesa 2009. gadā uzdeva Brazīlijai izmaksāt kompensāciju lauksaimniecības kooperatīvu darbiniekiem, jo 1999. gadā Paranas štatā tika veiktas neatbilstošas telefonsakaru pārtveršanas darbības, pārkāpjot Likumu par telefonsakaru pārtveršanu un Amerikas Cilvēktiesību konvenciju (301).

(199)

Otrkārt, fiziskas personas neatkarīgi no to valstspiederības var atsaukties uz aizsardzību, kas izveidota ar Habeas Data jēdzienu, lai turklāt iegūtu piekļuvi saviem datiem, kas ir publisko iestāžu rīcībā, un tos labotu (302). Pamatojoties uz to, fiziskas personas var celt prasības tiesā, tai skaitā Federālajā Augstākajā tiesā celt “tiešu prasību par neatbilstību konstitūcijai” (Ação Direta de Inconstitucionalidade – ADI). STF 2020. gada nozīmīgo nolēmumu, kas pavēra iespēju Brazīlijai atzīt datu aizsardzību par pamattiesībām, aizsāka ADI, kas tika iesniegti, pamatojoties uz Habeas Data principu (303). Lietā bija iesaistīta arī prokuratūra, kas atbalstīja lietu iesniegušo personu un pilsoniskās sabiedrības nostāju. Lietā tika apstrīdēts izpildrīkojums, kura mērķis bija Covid-19 pandēmijas laikā nodot vairāk nekā 200 miljonu telesakaru abonentu personas datus Brazīlijas Ģeogrāfijas un statistikas institūtam (304). STF konstatēja, ka izpildrīkojumā ir pārkāptas konstitūcijā aizsargātās pamattiesības uz privātumu un saziņas konfidencialitāti (305). Izpildrīkojums tika apturēts, un STF nolēma, ka datu aizsardzība būtu jāuzskata par pamattiesībām un jāaizsargā kā pamattiesības, līdzīgi kā tiesības uz privātumu (306). Lēmuma pieņemšanas brīdī LGPD vēl nebija spēkā. Tāpēc tiesnešu kolēģija izmantoja salīdzināmas tiesības, it īpaši Vācijas Federālās konstitucionālās tiesas judikatūru un Eiropas Savienības Pamattiesību hartas 8. pantu, lai pamatotu savu izpratni par izpildrīkojuma neatbilstību konstitūcijai, kā arī konstitūcijā garantēto pamattiesību uz cieņu un privātumu interpretāciju un Habeas Data atzīšanu par instrumentu, ar ko aizsargāt tiesības uz informācijas privātumu (307).

(200)

Treškārt, fiziskas personas var vērsties ANPD saistībā ar LGPD pārkāpumiem saskaņā ar tā 55.-J panta V daļu un saskaņā ar šā lēmuma 146. un 149. apsvērumā izklāstītajiem nosacījumiem. Fiziskas personas var arī izmantot savas datu aizsardzības tiesības, kas noteiktas saskaņā ar LGPD, attiecībā uz publiskām iestādēm (308).

(201)

Šā lēmuma 197.–200. apsvērumā aprakstītie tiesiskās aizsardzības mehānismi nodrošina datu subjektiem efektīvus administratīvos un tiesiskās aizsardzības līdzekļus, kas jo īpaši ļauj tiem īstenot to tiesības, arī datu aizsardzības tiesības attiecībā uz šādiem datiem.

(202)

Brazīlijas tiesību aktos ir noteikti vairāki ierobežojumi un garantijas attiecībā uz piekļuvi personas datiem un to izmantošanu valsts drošības nolūkos, kā arī ir paredzēti pārraudzības un tiesiskās aizsardzības mehānismi, kas atbilst šā lēmuma 156.–158. apsvērumā minētajām prasībām. Nosacījumi, saskaņā ar kuriem var notikt šāda piekļuve, un garantijas, kas piemērojamas šo pilnvaru izmantošanai, ir sīki novērtēti turpmākajās iedaļās.

(203)

Brazīlijā valsts drošības nolūkos personas datiem var piekļūt izlūkošanas darbību ietvaros, pamatojoties uz Likumu, ar ko izveido Brazīlijas izlūkošanas sistēmu (SISBIN) (309). Šā likuma 1. pantā ir paredzēts vispārējs noteikums, ka Brazīlijas izlūkošanas sistēmai “jāievēro un jāsaglabā individuālās tiesības un garantijas, kā arī citi noteikumi, kas paredzēti Federālajā konstitūcijā, līgumos, konvencijās, nolīgumos un starptautiskajās saistībās, kuru līgumslēdzēja puse vai parakstītāja ir Brazīlijas Federatīvā Republika” (310). Tas ietver nepieciešamības un proporcionalitātes principu, kā arī tiesību uz datu aizsardzību garantēšanu (311). Brazīlijas izlūkošanas sistēmas darbības ir sīkāk aprakstītas saistošos dekrētos (312).

(204)

Saskaņā ar 4. pantu Likumā, ar ko izveido Brazīlijas izlūkošanas sistēmu, vienības, kas ir SISBIN daļa, valsts drošības (“Segurança Pública”) nolūkos var iegūt un analizēt konkrētus datus. Valsts drošības jēdzienu reglamentē 2021. gada likums, ar kuru grozīja Kriminālkodeksu (313) un atcēla Brazīlijas Likumu par valsts drošību (314). Ar 2021. gada likumu tika izveidots izsmeļošs “noziegumu” pret valsts drošību saraksts, kas veido šādu jēdzienu. Šie noziegumi ir 1) “noziegumi pret “valsts suverenitāti” (kas ietver karadarbību, iebrukumu valstī, mēģinājumu sagrābt daļu valsts teritorijas, lai izveidotu jaunu valsti, klasificētas informācijas apmaiņu ar ārvalstu valdībām vai ārvalstu noziedzīgām organizācijām, kas varētu apdraudēt valsts suverenitātes konstitucionālo kārtību, un piekļuves informācijas sistēmām veicināšanu vai viltošanu nepilnvarotām personām) (315), 2) noziegumi pret “demokrātiskajām institūcijām” (kas ietver vardarbīgu mēģinājumu izbeigt tiesiskumu, novēršot vai ierobežojot konstitucionālo varu, un valsts apvērsumu) (316), 3) noziegumi pret “demokrātiskajām institūcijām vēlēšanu procesā” (kas ietver vēlēšanu procesa pārtraukšanu un personu spēju īstenot savas politiskās tiesības vardarbīgu ierobežošanu vai uzspiešanu) (317) un 4) noziegumi pret pamatpakalpojumu darbību (kas ietver publisko sakaru līdzekļu un aizsardzības objektu sabotāžu nolūkā izbeigt tiesiskumu) (318). Likuma 359.-T pantā ir precizēts, ka vārda brīvības, konstitucionālo tiesību un pilnvaru īstenošana, žurnālistiskā darbība, tai skaitā “rīkojot gājienus, sanāksmes, streikus, pulcēšanās vai jebkāda cita veida politiskas demonstrācijas ar sociāliem mērķiem”, nav uzskatāma par noziegumu (319). Brazīlijas valsts izlūkošanas politikā (PIN) ir noteikti vairāki būtiski izlūkošanas mērķi, kas iestādēm ir jāņem vērā, piemēram, “sabotāžas” vai “spiegošanas” novēršana (320). Tomēr PIN kā “augsta līmeņa orientējošs dokuments” nepaplašina ar valsts drošības jēdzienu saistīto noziegumu sarakstu un nemaina tā definīciju (321).

(205)

Dati, kuriem var piekļūt un kurus var analizēt, lai novērstu iepriekš uzskaitīttos noziegumus pret valsts drošību, attiecas uz informāciju, kurai SISBIN publiskās iestādes ir piekļuvušas saistībā ar to darbību un saskaņā ar šā lēmuma 165.–187. apsvērumā aprakstītajiem nosacījumiem (t. i., pamatojoties uz tiesas atļauju, kas izsniegta skaidri noteiktam nolūkam). Ar SISBIN kopīgotie dati tiek apstrādāti drošā šifrētā elektroniskā sistēmā ar piekļuves reģistriem, lai nodrošinātu informācijas izsekojamību un revidējamību (322). Kā precizējusi Federālā Augstākā tiesa, uz datu kopīgošanu ar SISBIN attiecas LGPD principi, tai skaitā nolūka ierobežojums (LGPD 6. panta I punkts), datu minimizēšana un precizitāte (LGPD 6. panta III un V punkts), pārredzamība (LGPD 6. panta VI punkts), datu drošība (LGPD 6. panta VII punkts) un glabāšanas ierobežojums (LGPD 6. panta I, III, IV punkts un 16. pants) (323).

(206)

Likuma, ar ko izveido Brazīlijas izlūkošanas sistēmu, 2. pantā ir norādīts, ka šajā sistēmā ir iesaistītas tikai publiskās iestādes. SISBIN veido Brazīlijas izlūkošanas aģentūra (ABIN) un izlūkošanas centru, ministriju, sekretariātu un federālās publiskās pārvaldes aģentūru pārstāvji. To iestāžu saraksts, kuras ir SISBIN dalībnieces, ir sniegts dekrētā par šīs sistēmas organizāciju un darbību (324).

(207)

ABIN ir izlūkošanas sistēmas centrālā struktūra, kas atbild par izlūkošanas darbību plānošanu, izpildi, koordinēšanu, uzraudzību un pārraudzību. Šīs darbības jāveic, izmantojot uz informāciju balstītas konfidenciālas metodes un paņēmienus. Lai veiktu savus pienākumus, ABIN saņem konkrētu informāciju un datus no dažādām publiskajām iestādēm, kas ir daļa no SISBIN un ir saistītas ar valsts drošību. Šī informācija ir jāsniedz iestādēm, kas ietilpst SISBIN, jo likums neatļauj ABIN pašai vākt informāciju (325). Federālajā Augstākajā tiesā tika apšaubīts SISBIN dalībnieku datu kopīgošanas pienākuma likumīgums (326). Savā 2021. gadā izdotajā nolēmumā STF precizēja, ka datos, kurus publiskās iestādes kopīgo ar ABIN, ir stingri jāievēro sabiedrības interešu mērķi (piemēram, publisko iestāžu aizsardzība un valsts intereses), un atgādināja, ka katras datu kopīgošanas darbības konkrētais un leģitīmais nolūks tiek definēts oficiālā procedūrā, kurai ir nepieciešama tiesas atļauja un kura ir noteikta šādā atļaujā (327). Šie ierobežojumi attiecas arī uz jebkādu turpmāku datu apmaiņu starp publiskajām iestādēm (328).

(208)

Visbeidzot, datu apstrādei, ko veic, izmantojot SISBIN, ir jāaizsargā informācija no nepilnvarotu personu vai struktūru piekļuves. Dekrēta par SISBIN darbību 5. pantā ir skaidri noteikts, ka, koordinējot un kopīgojot datus starp iestādēm, kas ir sistēmas dalībnieces, ir jāievēro “tiesību akti par dienesta noslēpumu un drošību, personas datu aizsardzību un informācijas un zināšanu drošību”, kas ietver LGPD kā galveno tiesību aktu Brazīlijā personas datu aizsardzības jomā (329). Dekrēta 6. pantā ir arī precizēts, ka informācijā, ar kuru iestādes apmainās SISBIN sistēmā, ievēro “juridiskās noteiktības, nepieciešamības un sabiedrības interešu principu” un tai ir leģitīms mērķis (330). SISBIN arī atzīst, ka ir svarīgi ievērot LGPD tās publiskajos materiālos un iekšējās procedūrās (331).

(209)

Tāpēc iestāžu pilnvaras apstrādāt datus valsts drošības nolūkos Brazīlijā ir ierobežotas ar skaidriem un precīziem tiesību aktos paredzētiem noteikumiem, un tām tiek piemērotas garantijas. Šīs garantijas jo īpaši ietver garantētu šādu pasākumu izpildes pārraudzību, arī ar iepriekšēju tiesas apstiprinājumu, un garantijas, kas ierobežo piekļuvi informācijai saskaņā ar nepieciešamības un samērīguma principiem.

(210)

Uz tādu personas datu apstrādi, ko Brazīlijas iestādes savākušas valsts drošības vajadzībām, attiecas nolūka ierobežojuma (LGPD 6. panta I punkts), apstrādes likumības un taisnīguma (LGPD 6. un 7. pants), datu minimizēšanas un precizitātes (LGPD 6. panta III un V punkts), pārredzamības (LGPD 6. panta VI punkts), datu drošības (LGPD 6. panta VII punkts) un glabāšanas ierobežojuma (LGPD 6. panta I, III, IV punkts un 16. pants) principi.

(211)

Personas datu iespējama izpaušana trešām personām (tai skaitā trešām valstīm un atbilstoši starptautiskiem nolīgumiem) var notikt tikai saskaņā ar LGPD principiem pēc tam, kad ir novērtēta atbilstība konstitucionālajiem nepieciešamības un proporcionalitātes principiem un nodrošināta aizsardzības nepārtrauktība un datu subjektu tiesību ievērošana (Noteikumu par datu nosūtīšanu 2. pants).

(212)

Brazīlijas valsts drošības iestāžu darbību uzrauga dažādas struktūras. Dekrētā par Brazīlijas Nacionālo izlūkošanas stratēģiju ir norādīts, cik svarīgi ir izveidot vairākus pārraudzības mehānismus, lai aizsargātu “demokrātisko tiesiskumu” (332). Federālā Augstākā tiesa atgādināja par šīs pārraudzības nozīmi lietā par datu apstrādi SISBIN ietvaros, norādot, ka “izlūkošanas pasākumu rezultativitāte bieži vien ir saistīta ar procesa slepenību un savākto informāciju. Demokrātiskā tiesiskuma jomā šī funkcija ir pakļauta likumdevējvaras un tiesu varas ārējai kontrolei nolūkā novērtēt, vai noteiktā slepenība atbilst stingrajiem sabiedriskajiem mērķiem, kam tā paredzēta.” (333)

(213)

Pirmkārt, kontroli veic izpildvara, nodrošinot, ka izlūkošanas sistēmas sasniedzamie mērķi, kā arī īstenojamā politika un izstrādātie plāni atbilst sabiedrības prasībām. Izpildvara ir atbildīga arī par to, lai nodrošinātu, ka izlūkdienestu izdevumi ir racionāli un paredzēti vienīgi leģitīmiem, nepieciešamiem un valstij noderīgiem pasākumiem. Brazīlijas sistēmā šo kontroli veic Valdības padomes Ārējo attiecību un valsts aizsardzības palāta, kas ir atbildīga par Izlūkošanas valsts policijas darbību īstenošanas pārraudzību, un Institucionālās drošības birojs, kas ir atbildīgs par federālo izlūkdienestu darbības koordinēšanu (334).

(214)

Otrkārt, izlūkošanas darbību kontroli veic likumdevēja vara. Šīs kontroles mērķis ir pārbaudīt izlūkošanas darbību likumību un rezultativitāti. Deputātu palātas un Federālā senāta vairākuma un mazākuma partiju vadītāji, kā arī Deputātu palātas un Federālā senāta Ārējo attiecību komitejas un Nacionālās aizsardzības komiteju priekšsēdētāji ir daļa no izlūkošanas darbību ārējās pārraudzības struktūras, ko dēvē par Apvienoto izlūkošanas darbību kontroles komiteju (“Comissão mista de Controle da Atividade de Inteligência – CCAI”) (335). Likumdevējas varas kontrole pār izlūkošanas darbībām tika noteikta 1999. gadā ar Likumu, ar ko izveido Brazīlijas izlūkošanas sistēmu, un CCAI pārraudzības loma un pilnvaras tika ievērojami pastiprinātas, 2013. gadā pieņemot saistošu Kongresa rezolūciju (336). Ar šo rezolūciju tika novērsti iepriekš konstatētie trūkumi, kas traucēja vēl vairāk institucionalizēt CCAI, nodrošinot tai pastāvīgu struktūru un sekretariātu, ieviešot skaidrību par tās pilnvarām un palielinot tās darbības pārredzamību. CCAI loma, darbības un pilnvaras ir sīki izklāstītas minētajā rezolūcijā un tiesību aktos. CCAI uzrauga un kontrolē izlūkošanas darbības, ko veic federālās publiskās pārvaldes struktūras, it īpaši SISBIN ietilpstošās struktūras, ar mērķi nodrošināt, ka darbības tiek veiktas saskaņā ar konstitūciju, un nolūkā aizsargāt fizisku personu, sabiedrības un valsts tiesības un tām paredzētās garantijas (337). CCAI var veikt ne tikai notiekošo darbību post hoc pārskatīšanu, bet arī revīzijas un kontroles (338). CCAI locekļiem ir maksimāla pielaide dokumentiem. CCAI sagatavo gada ziņojumus par savām aktivitātēm, bet neiekļauj informāciju, kas var apdraudēt valsts drošību (339). Kā izklāstīts šā lēmuma 222. apsvērumā, CCAI var arī saņemt sūdzības no fiziskām personām un šādas sūdzības izmeklēt.

(215)

Treškārt, ANPD pārrauga, kā valsts drošības iestādes ievēro noteikumus attiecībā uz personas datu apstrādi, ievērojot LGPD noteiktos parametrus. LGPD daļēji attiecas uz personas datu apstrādi, ko veic sabiedriskās drošības, valsts aizsardzības, valsts drošības vai noziedzīgu nodarījumu izmeklēšanas un kriminālvajāšanas nolūkos (340). Šajā kontekstā ANPD var īstenot izmeklēšanas un korektīvās pilnvaras, kas tai piešķirtas saskaņā ar LGPD. ANPD var, piemēram, jebkurā laikā veikt visu publisko iestāžu, tostarp izlūkošanas aģentūras, revīzijas (341).

(216)

Visbeidzot, tiesu iestādes iztiesās pilsoņu prāvas pret publiskajām iestādēm un šajā kontekstā var pārraudzīt darbības, ko veic valsts drošības nolūkos, lai nodrošinātu atbilstību visām konstitucionālajām tiesībām un attiecīgajam tiesiskajam regulējumam, arī LGPD. Tiesas lēmumus var pārsūdzēt Federālajā Augstākajā tiesā un pēc tam Amerikas Cilvēktiesību tiesā.

(217)

Brazīlijas sistēma piedāvā dažādus juridiskus un administratīvus tiesiskās aizsardzības līdzekļus, tai skaitā kompensāciju par kaitējumu. Šie mehānismi sniedz datu subjektiem efektīvus administratīvos un tiesiskās aizsardzības līdzekļus, kas jo īpaši ļauj viņiem īstenot to tiesības, tai skaitā tiesības piekļūt to personas datiem vai panākt šādu datu labošanu vai dzēšanu.

(218)

Kā izklāstīts šā lēmuma 9. apsvērumā, Brazīlijas un trešo valstu valstspiederīgajiem tiek garantēta piekļuve tiesiskajai aizsardzībai neatkarīgi no tā, vai viņi atrodas Brazīlijas teritorijā.

(219)

Pirmkārt, fiziskām personām ir “absolūtas” tiesības celt prasību tiesā par savu tiesību aizsardzību. Saskaņā ar Civilprocesa kodeksā paredzētajiem vispārīgajiem noteikumiem, lai celtu prasību tiesā, personai nav jāpierāda kaitējums (t. i., personai nav jāpierāda, ka tā var tikt pakļauta novērošanai vai ka tās dati ir apstrādāti valsts drošības nolūkos). Persona var izmantot savas tiesības saskaņā ar Habeas Data attiecībā uz izlūkdienestu apstrādātajiem datiem (342).

(220)

Pieprasot tiesisko aizsardzību tiesā, fiziskas personas var prasīt kaitējuma atlīdzināšanu. Tāpat kā attiecībā uz apstrādi krimināltiesību izpildes panākšanas nolūkos Federālajā konstitūcijā un Civilprocesa kodeksā ir paredzēti juridiskie pamati, kas ļauj pieprasīt kompensāciju par morālo kaitējumu vai mantisko kaitējumu, ko nodarījusi publiska iestāde, kura nelikumīgi vākusi vai izmantojusi datus, arī kolektīvu prasību veidā (343).

(221)

Otrkārt, Federālā Augstākā tiesa ir apstiprinājusi LGPD daļēju piemērošanu valsts drošības mērķiem un līdz ar to arī ANPD pilnvaras izskatīt sūdzības saistībā ar personas datu apstrādi, ko publiskas iestādes veic valsts drošības nolūkos (344). Tajā pašā spriedumā Tiesa norādīja, ka “personas datu apstrāde, ko publiskās iestādes veic, pārkāpjot tiesiskos un konstitucionālos parametrus, saskaņā ar LGPD 42. pantu izraisa valsts civiltiesisko atbildību par fiziskām personām nodarīto kaitējumu” (345).

(222)

Treškārt, CCAI no jebkura pilsoņa, politiskās partijas vai apvienības var saņemt un izmeklēt sūdzības par pamattiesību un garantiju pārkāpumiem, ko izdarījušas publiskas struktūras un struktūras, kuras veic izlūkošanas un pretizlūkošanas darbības (346). Pamatojoties uz to, CCAI var veikt kontroles vai izmeklēšanu. Tāpēc CCAI nodrošina papildu administratīvo ceļu tiesību aizsardzībai gadījumos, kad tiek pārkāptas tiesības saistībā ar datu apstrādi valsts drošības nolūkos. CCAI saņemtās sūdzības pēc tam var nosūtīt tālāk tiesām.

(223)

Dažādie tiesiskās aizsardzības līdzekļi, kas pieejami saskaņā ar Brazīlijas režīmu, ļauj fiziskām personām saņemt tiesisko aizsardzību. Konkrētāk, fiziskas personas var apstrīdēt publisko un izlūkošanas iestāžu darbību likumību. Turklāt tās var saņemt kompensāciju par nodarīto kaitējumu.

(224)

Komisija uzskata, ka Brazīlijas Federatīvā Republika ar LGPD nodrošina no Eiropas Savienības nosūtīto personas datu aizsardzības līmeni, kurš pēc būtības ir līdzvērtīgs Regulā (ES) 2016/679 garantētajam līmenim.

(225)

Komisija arī uzskata, ka kopumā pārraudzības mehānismi un tiesiskās aizsardzības līdzekļi, kas paredzēti Brazīlijas tiesību aktos, ļauj apzināt iespējamus datu aizsardzības noteikumu pārkāpumus, kurus Brazīlijā izdara pārziņi un apstrādātāji, un novērst tos praksē, kā arī sniedz datu subjektam tiesisko aizsardzību, kas nodrošina, ka datu subjekts var piekļūt saviem personas datiem un, galu galā, labot vai dzēst šos datus.

(226)

Visbeidzot, pamatojoties uz pieejamo informāciju par Brazīlijas tiesību sistēmu, Komisija uzskata, ka jebkāda Brazīlijas publisko iestāžu sabiedrisko interešu nolūkos un jo īpaši krimināltiesiskās aizsardzības un valsts drošības nolūkos veiktā iejaukšanās to personu pamattiesībās, kuru personas datus nosūta no Eiropas Savienības uz Brazīliju, būs ierobežota līdz tādam apmēram, kāds ir absolūti nepieciešams attiecīgā leģitīmā mērķa sasniegšanai, un ka pastāv efektīva tiesiskā aizsardzība pret šādu iejaukšanos.

(227)

Tāpēc, ņemot vērā šajā lēmumā izdarītos konstatējumus, būtu jālemj, ka Brazīlija nodrošina pietiekamu aizsardzības līmeni Regulas (ES) 2016/679 45. panta nozīmē, interpretējot to saskaņā ar Eiropas Savienības Pamattiesību hartu, attiecībā uz personas datiem, kas no Eiropas Savienības nosūtīti datu pārziņiem un apstrādātājiem Brazīlijā, uz kuriem attiecas LGPD.

(228)

Dalībvalstīm un to struktūrām ir pienākums veikt nepieciešamos pasākumus, lai izpildītu Savienības iestāžu tiesību aktus, jo tie tiek uzskatīti par likumīgiem un attiecīgi paredz tiesiskās sekas līdz brīdim, kad tiek atcelti, anulēti saskaņā ar prasību atcelt tiesību aktu vai pasludināti par spēkā neesošiem pēc lūguma sniegt prejudiciālu nolēmumu vai iebildes par nelikumību.

(229)

Tādējādi lēmums par aizsardzības līmeņa pietiekamību, ko Komisija pieņēmusi saskaņā ar Regulas (ES) 2016/679 45. panta 3. punktu, ir saistošs visām dalībvalstu struktūrām, kurām tas adresēts, tostarp to neatkarīgajām uzraudzības iestādēm. Konkrētāk, pārzinis vai apstrādātājs Eiropas Savienībā var nosūtīt datus pārziņiem vai apstrādātājiem Brazīlijā bez jebkādas turpmākas atļaujas saņemšanas.

(230)

Vienlaikus būtu jāatgādina, ka saskaņā ar Regulas (ES) 2016/679 58. panta 5. punktu un kā Tiesa paskaidrojusi spriedumā Schrems I lietā, ja valsts datu aizsardzības iestāde, tostarp pēc sūdzības saņemšanas, apšauba Komisijas lēmuma par aizsardzības līmeņa pietiekamību atbilstību personas pamattiesībām uz privātumu un datu aizsardzību, tai valsts tiesību aktos ir jānodrošina tiesiskās aizsardzības līdzeklis, kas ļauj celt šādus iebildumus valsts tiesā, kurai var būt pienākums lūgt Tiesai sniegt prejudiciālu nolēmumu (347).

(231)

Saskaņā ar Eiropas Savienības Tiesas judikatūru (348) un kā atzīts Regulas (ES) 2016/679 45. panta 4. punktā, Komisijai pēc lēmuma par aizsardzības līmeņa pietiekamību pieņemšanas būtu pastāvīgi jāuzrauga norises attiecīgajā trešā valstī, lai novērtētu, vai trešā valsts joprojām nodrošina pēc būtības līdzvērtīgu aizsardzības līmeni. Vajadzība pēc šāda vērtējuma katrā ziņā rodas, ja Komisija saņem informāciju, kura rada šaubas par to.

(232)

Tāpēc Komisijai būtu pastāvīgi jāuzrauga situācija Brazīlijā attiecībā uz personas datu apstrādes tiesisko regulējumu un faktisko praksi, kas novērtēta šajā lēmumā. Šajā sakarā īpaša uzmanība būtu jāpievērš tam, kā praksē tiek piemērotas prasības attiecībā uz novērtējumu par ietekmi uz datu aizsardzību; pārredzamības prasības un to iespējamie ierobežojumi attiecībā uz tiesībām uz informāciju un piekļuvi; noteikumi par datu aizsardzības pārkāpumu paziņošanu; sankciju režīms, kā arī atbilstība ierobežojumiem un garantijām attiecībā uz valdības piekļuvi, ņemot vērā visas attiecīgās norises šajā sakarā.

(233)

Lai atvieglotu šo uzraudzības procesu, Brazīlijas iestādes, ieskaitot ANPD, tiek aicinātas informēt Komisiju par būtiskām ar šo lēmumu saistītām norisēm – gan attiecībā uz personas datu apstrādi, ko veic uzņēmēji un publiskās iestādes, gan attiecībā uz ierobežojumiem un garantijām, kas piemērojami, kad publiskās iestādes piekļūst personas datiem.

(234)

Turklāt, lai Komisija varētu efektīvi pildīt savu uzraudzības funkciju, dalībvalstīm būtu jāinformē Komisija par visām būtiskajām darbībām, ko veikušas valstu datu aizsardzības iestādes, jo īpaši attiecībā uz ES datu subjektu vaicājumiem un sūdzībām par personas datu nosūtīšanu no Eiropas Savienības datu pārziņiem un apstrādātājiem Brazīlijā. Komisiju vajadzētu informēt arī par visām pazīmēm, kas liecina, ka darbības, kuras veic Brazīlijas publiskās iestādes, kas atbild par noziedzīgu nodarījumu novēršanu, izmeklēšanu, atklāšanu vai kriminālvajāšanu par tiem vai par valsts drošību, tostarp jebkādas pārraudzības struktūras, nenodrošina nepieciešamo aizsardzības līmeni.

(235)

Piemērojot Regulas (ES) 2016/679 45. panta 3. punktu (349) un ņemot vērā faktu, ka ar Brazīlijas tiesību sistēmu nodrošinātais aizsardzības līmenis var mainīties, Komisijai pēc šā lēmuma pieņemšanas būtu periodiski jāpārskata, vai konstatējumi par Brazīlijas nodrošinātā aizsardzības līmeņa pietiekamību joprojām ir faktiski un juridiski pamatoti.

(236)

Tālab šis lēmums būtu pirmo reizi jāpārskata pēc četriem gadiem no dienas, kad tas stājies spēkā. Periodiska turpmāka pārskatīšana būtu jāveic vismaz reizi četros gados (350). Pārskatīšanā būtu jāaptver visi šā lēmuma darbības aspekti, arī ANPD sadarbība ar ES datu aizsardzības iestādēm saistībā ar fizisku personu sūdzībām. Tajā būtu arī jāapskata, cik efektīvi tiek veikta pārraudzība un izpilde krimināltiesiskās aizsardzības un valsts drošības jomā.

(237)

Lai veiktu pārskatīšanu, Komisijai būtu jātiekas ar ANPD un vajadzības gadījumā arī ar citām Brazīlijas iestādēm, kas atbild par valdības piekļuvi datiem, tostarp ar attiecīgām pārraudzības struktūrām. Būtu jānodrošina iespēja arī Eiropas Datu aizsardzības kolēģijas pārstāvjiem apmeklēt šādas sanāksmes. Pārskatīšanas ietvaros Komisijai būtu jāprasa, lai ANPD sniedz vispusīgu informāciju par visiem aspektiem, kas ir būtiski konstatējumam par aizsardzības līmeņa pietiekamību, tostarp par ierobežojumiem un garantijām attiecībā uz valdības piekļuvi datiem. Komisijai arī būtu jāprasa paskaidrojumi par jebkuru informāciju, kas ir būtiska šim lēmumam un ko tā saņēmusi no Brazīlijas iestāžu vai citu Brazīlijā esošu ieinteresēto personu publiskiem ziņojumiem, Eiropas Datu aizsardzības kolēģijas, individuālām datu aizsardzības iestādēm, pilsoniskās sabiedrības grupām, mediju ziņojumiem vai jebkuriem citiem pieejamiem informācijas avotiem.

(238)

Pamatojoties uz pārskatīšanu, Komisijai būtu jāsagatavo publisks ziņojums, kas jāiesniedz Eiropas Parlamentam un Padomei.

(239)

Ja pieejamā informācija, jo īpaši informācija, kas iegūta, uzraugot šo lēmumu, vai informācija, ko sniedz Brazīlija vai dalībvalstu iestādes, atklāj, ka Brazīlijas nodrošinātais aizsardzības līmenis, iespējams, vairs nav pietiekams, Komisijai par to būtu jāinformē Brazīlijas kompetentās iestādes un jāpieprasa, lai noteiktā un saprātīgā termiņā tiktu veikti attiecīgi pasākumi.

(240)

Ja līdz noteiktā termiņa beigām Brazīlijas kompetentās iestādes nav veikušas minētos pasākumus vai kā citādi apmierinoši neparāda, ka šā lēmuma pamatā joprojām ir pietiekams aizsardzības līmenis, Komisija uzsāks Regulas (ES) 2016/679 93. panta 2. punktā minēto procedūru, lai daļēji vai pilnībā apturētu vai atceltu šo lēmumu.

(241)

Alternatīvi Komisija uzsāks šo procedūru, lai grozītu šo lēmumu, jo īpaši piemērojot papildu nosacījumus datu nosūtīšanai vai ierobežojot aizsardzības līmeņa pietiekamības konstatējuma darbības jomu tikai attiecībā uz tādu datu nosūtīšanu, kam joprojām tiek nodrošināts pietiekams aizsardzības līmenis.

(242)

Komisijai būtu jāapsver šā lēmuma grozīšanas, apturēšanas vai atcelšanas procedūras sākšana arī gadījumā, ja pārskatīšanas kontekstā vai citādi Brazīlijas kompetentās iestādes nesniedz informāciju vai paskaidrojumus, kas nepieciešami, lai novērtētu no Eiropas Savienības uz Brazīliju nosūtīto personas datu aizsardzības līmeni vai atbilstību šim lēmumam. Šajā saistībā Komisijai būtu jāņem vērā tas, kādā apmērā attiecīgo informāciju var iegūt no citiem avotiem.

(243)

Pienācīgi pamatotu nenovēršamu steidzamu iemeslu dēļ Komisija izmantos iespēju saskaņā ar Regulas (ES) 2016/679 93. panta 3. punktā minēto procedūru pieņemt nekavējoties piemērojamus īstenošanas aktus, ar kuriem aptur, atceļ vai groza šo lēmumu.

(244)

Eiropas Datu aizsardzības kolēģija ir publiskojusi savu atzinumu (351), un tas tika ņemts vērā, sagatavojot šo lēmumu.

(245)

Šajā lēmumā paredzētie pasākumi ir saskaņā ar atzinumu, ko sniegusi komiteja, kura izveidota ar Regulas (ES) 2016/679 93. panta 1. punktu,