LGPD-Meldeprotokoll | Decripte Security

Die LGPD legt klare Meldepflichten bei Sicherheitsvorfällen fest, die ein Risiko oder einen Schaden für die betroffenen Personen mit sich bringen können. Zu verstehen, wann, wie und wen man benachrichtigen muss, ist für Compliance und Krisenmanagement von grundlegender Bedeutung.

Rechtsgrundlage

Art. 48 der LGPD bestimmt, dass der Verantwortliche der nationalen Behörde (ANPD) und der betroffenen Person das Auftreten eines Sicherheitsvorfalls mitteilen muss, der ein erhebliches Risiko oder einen erheblichen Schaden für die betroffenen Personen mit sich bringen kann. Diese Meldung muss innerhalb einer angemessenen Frist erfolgen.

Darüber hinaus sieht Art. 52 vor, dass Verarbeitungsbeteiligte, die keine angemessenen Sicherheitsmaßnahmen ergreifen, verwaltungsrechtlichen Sanktionen unterliegen, die bis zu 2 % des Umsatzes des Unternehmens betragen können, begrenzt auf 50 Millionen R$ pro Verstoß.

Wann eine Meldung verpflichtend ist

Die Meldepflicht entsteht, wenn der Vorfall ein „erhebliches Risiko oder einen erheblichen Schaden" für die betroffenen Personen mit sich bringen kann. Zu den Bewertungskriterien gehören:

Art der Daten: Sensible Daten (Gesundheit, ethnische Herkunft, religiöse Überzeugung usw.) erfordern größere Aufmerksamkeit als weniger sensible Daten.

Datenvolumen: Vorfälle, die eine große Anzahl betroffener Personen betreffen, erfordern in der Regel eine Meldung.

Schadenspotenzial: Bewerten, ob der Vorfall zu Vermögens- oder immateriellen Schäden, Diskriminierung, Betrug oder anderen Nachteilen für die betroffenen Personen führen kann.

Schutzmaßnahmen: Mit nicht kompromittierten Schlüsseln verschlüsselte Daten können die Notwendigkeit einer Meldung verringern oder beseitigen.

Meldefrist

Die LGPD schreibt eine Meldung innerhalb einer „angemessenen Frist" vor, ohne eine genaue Anzahl von Tagen festzulegen. Internationale Referenzen schlagen vor:

DSGVO: 72 Stunden für die Meldung an die Behörde und „ohne unangemessene Verzögerung" an die betroffenen Personen, wenn ein hohes Risiko besteht.

Best Practices in Brasilien: Es wird empfohlen, die ANPD innerhalb von 72 Stunden und die betroffenen Personen so bald wie möglich zu benachrichtigen, idealerweise parallel zu oder kurz nach der Meldung an die Behörde.

Erste vs. abschließende Mitteilung: Wenn die Untersuchung noch nicht abgeschlossen ist, kann eine erste Mitteilung mit den verfügbaren Informationen erfolgen und später ergänzt werden.

Meldung an die ANPD

Die Meldung an die Nationale Datenschutzbehörde muss gemäß Art. 48, §1 Folgendes enthalten:

I - Beschreibung der Art der betroffenen personenbezogenen Daten: Angabe der Datenkategorien (CPF, E-Mail, Finanzdaten, sensible Daten usw.).

II - Informationen über die betroffenen Personen: Anzahl der betroffenen Personen und ihre Merkmale (Kunden, Mitarbeiter, Minderjährige usw.).

III - Angabe der verwendeten technischen und Sicherheitsmaßnahmen: Umgesetzte Sicherheitskontrollen (Verschlüsselung, Firewalls, Backups usw.).

IV - Mit dem Vorfall verbundene Risiken: Folgenabschätzung, potenzielle Schäden für die betroffenen Personen.

V - Gründe für die Verzögerung, sofern zutreffend: Begründung, falls die Meldung nicht innerhalb einer angemessenen Frist erfolgt ist.

VI - Maßnahmen zur Rückgängigmachung oder Minderung der Auswirkungen: Korrektur- maßnahmen, Behebung, Sicherheitsverbesserungen.

Meldung an die betroffenen Personen

Die Mitteilung an die betroffenen Personen muss klar und in zugänglicher Sprache erfolgen und Folgendes enthalten:

Was geschehen ist: Beschreibung des Vorfalls ohne übermäßigen Fachjargon.

Welche Daten betroffen waren: Kategorien der kompromittierten personenbezogenen Daten.

Wann es geschehen ist: Zeitraum des Vorfalls und Datum der Entdeckung.

Mögliche Folgen: Risiken, denen die betroffene Person ausgesetzt sein kann (Betrug, Phishing usw.).

Ergriffene Maßnahmen: Vom Unternehmen ergriffene Maßnahmen zur Behebung des Vorfalls und zur Verhinderung eines erneuten Auftretens.

Empfehlungen an die betroffene Person: Praktische Hinweise (Passwortänderung, Kreditüberwachung, Wachsamkeit gegenüber Betrug).

Kontaktkanal: Ansprechpartner für Rückfragen der betroffenen Person (E-Mail, Telefon, Portal).

Meldekanäle

An die ANPD: Über den offiziellen, von der Behörde bereitgestellten Kanal (Website, Online-System, spezifisches Formular).

An die betroffenen Personen: Dem Kontext und der Dringlichkeit angemessene Mittel: individuelle E-Mail, Veröffentlichung auf der Website, In-App-Hinweis, Einschreiben bei schwerwiegenden Fällen. SMS und Push-Benachrichtigungen können für dringende Warnungen verwendet werden.

Medien: Bei großflächigen Vorfällen eine öffentliche Kommunikation über die Presse für eine breite Reichweite in Erwägung ziehen.

Befreiung von der Meldepflicht

§3 des Art. 48 erlaubt eine Befreiung von der Meldung an die betroffene Person, wenn die ANPD feststellt, dass technische Schutzmaßnahmen ergriffen wurden, die die Daten für unbefugte Dritte unverständlich machen.

Verschlüsselung: Mit starken Algorithmen und nicht kompromittierten Schlüsseln verschlüsselte Daten können eine Befreiung rechtfertigen.

Pseudonymisierung: In einigen Fällen können robuste Pseudonymisierungstechniken das Risiko für die betroffene Person verringern.

Risikobewertung: Selbst mit Verschlüsselung kann eine Meldung erforderlich sein, wenn ein erhebliches Restrisiko besteht.

Rolle des DPO

Der Datenschutzbeauftragte (DPO) spielt eine zentrale Rolle im Meldeprozess:

Koordination: Koordination der Bewertung der Meldenotwendigkeit, der Erstellung der Inhalte und des Versands an die Parteien.

Schnittstelle zur ANPD: Als Ansprechpartner gegenüber der Behörde fungieren.

Beratung: Teams hinsichtlich der gesetzlichen Anforderungen und Best Practices beraten.

Dokumentation: Eine angemessene Dokumentation des gesamten Meldeprozesses zur Nachweisführung der Compliance sicherstellen.

Integration in die Vorfallsreaktion

Der Meldeprozess muss in den Plan zur Vorfallsreaktion integriert sein:

Erstbewertung: Während der Eindämmungsphase vorläufig bewerten, ob der Vorfall eine Meldung erfordert.

Timeline Tracking: Den Zeitstempel der Entdeckung, der Eindämmung und wichtiger Meilensteine zur Fristberechnung dokumentieren.

Parallel Paths: Die Vorbereitung der Meldungen parallel zur technischen Untersuchung beginnen, um Verzögerungen zu minimieren.

Decision Points: Kontrollpunkte im Reaktionsprozess für die formelle Entscheidung über die Meldung festlegen.

Rechtliche Aspekte

Rechtsberatung: Die Rechtsabteilung von Anfang an einbeziehen, um die rechtlichen Pflichten und Prozessrisiken zu bewerten.

Privilege: Das Attorney-Client-Privilege in Mitteilungen über den Vorfall zum Schutz in etwaigen Verfahren berücksichtigen.

Class Actions: Meldungen können Sammelklagen auslösen. Eine sorgfältige Wortwahl ist unerlässlich.

Zivilrechtliche Haftung: Ein Versäumnis bei der ordnungsgemäßen Meldung kann die zivilrechtliche Haftung für Schäden an den betroffenen Personen verschärfen.

Externe Kommunikation

Über die verpflichtenden Meldungen hinaus zusätzliche Mitteilungen in Erwägung ziehen:

Partner und Lieferanten: Wenn gemeinsam genutzte Daten betroffen waren, gemeinsame Verantwortliche und Auftragsverarbeiter benachrichtigen.

Investoren: Bei börsennotierten Unternehmen die Offenlegungspflichten gegenüber Aktionären und dem Markt bewerten.

Versicherer: Cyber-Versicherer gemäß den Bedingungen der Police benachrichtigen.

Sektorbehörden: BACEN für Finanzinstitute, ANS für Krankenversicherungen usw.

Vorlagen und Vorbereitung

Das vorzeitige Erstellen von Meldevorlagen beschleunigt die Reaktion und gewährleistet angemessene Inhalte:

ANPD-Vorlage: Ein von der Rechtsabteilung vorab genehmigtes Dokument, das alle Anforderungen des Art. 48 abdeckt, mit auszufüllenden variablen Feldern.

Vorlage für betroffene Personen: Versionen für verschiedene Arten von Vorfällen (Ransomware, Phishing, unbefugter Zugriff) und Zielgruppen (B2C vs. B2B).

FAQ: Ein Dokument mit häufig gestellten Fragen, damit der Kundensupport und das Call- center die Fragen der betroffenen Personen beantworten können.

Press Release: Für Vorfälle, die mediale Aufmerksamkeit erregen werden.

Dokumentation

Eine vollständige Dokumentation des Meldeprozesses führen:

Record of Processing: Im Verzeichnis der Verarbeitungstätigkeiten gemäß Art. 37 erfassen.

Decision Log: Die Begründung für Entscheidungen über die Meldung dokumentieren, einschließlich der Frage, ob auf sie verzichtet wurde.

Evidence of Notification: Versandnachweise aufbewahren (E-Mail- Empfangsbestätigungen, Protokolle, Rückscheine von Briefen).

Communication Tracking: Ein Protokoll aller Kommunikationen mit der ANPD, den betroffenen Personen und anderen Parteien.

Nach der Meldung

Nach den ersten Meldungen einen fortlaufenden Dialog aufrechterhalten:

Aktualisierungen an die ANPD: Über den Fortschritt der Untersuchung und zusätzliche Maßnahmen auf Anfrage informieren.

Unterstützung der betroffenen Personen: Einen Kanal für Fragen offen halten und angemessene Unterstützung anbieten (z. B. kostenlose Kreditüberwachung).

Fortlaufende Transparenz: Öffentliche Mitteilungen aktualisieren, sobald neue relevante Informationen auftauchen.

Vergleich mit der DSGVO

Für weltweit tätige Organisationen ist es wichtig, die Unterschiede zwischen der LGPD und der DSGVO zu kennen:

Frist: Die DSGVO gibt 72 Std. vor; die LGPD nennt eine „angemessene Frist".

Sanktionen: Beide sehen erhebliche Bußgelder vor, aber die DSGVO kann bis zu 4 % des weltweiten Umsatzes gegenüber 2 % bei der LGPD erreichen.

Threshold: Die DSGVO verlangt eine Meldung bei „wahrscheinlichem Risiko"; die LGPD bei „erheblichem Risiko oder erheblichem Schaden".