LGPD通知プロトコル | Decripte Security

LGPDは、データ主体にリスクまたは損害をもたらしうるセキュリティインシデントの場合に 明確な通知義務を定めています。いつ、どのように、 誰に通知すべきかを理解することは、コンプライアンスと危機管理にとって不可欠です。

法的根拠

LGPD第48条は、管理者が、データ主体に重大なリスクまたは重大な損害を もたらしうるセキュリティインシデントの発生を、国家機関（ANPD） およびデータ主体に通報しなければならないと定めています。この通知は合理的な期間内に行わなければなりません。

さらに第52条は、適切なセキュリティ措置を講じない処理従事者は、 企業の売上高の2%に達しうる行政制裁の対象となり、 その上限は1件の違反につき5,000万レアルと定められています。

通知が義務となる場合

通知義務は、インシデントがデータ主体に「重大なリスクまたは重大な 損害」をもたらしうる場合に生じます。評価基準には次のものが含まれます。

データの性質: 機微データ（健康、人種的出身、宗教的 信条など）は、機微性の低いデータよりも高い注意を要します。

データの量: 多数のデータ主体が関与するインシデントは、 一般に通知を要します。

損害の可能性: インシデントがデータ主体に 財産的・精神的損害、差別、詐欺その他の不利益をもたらしうるかを評価します。

保護措置: 漏洩していない鍵で暗号化されたデータは、 通知の必要性を軽減または解消しうます。

通知の期限

LGPDは「合理的な期間」内の通知を定めており、正確な日数は明示していません。 国際的な参考基準は次のとおりです。

GDPR: 当局への通知は72時間以内、高いリスクがある場合は データ主体へ「不当な遅延なく」通知します。

ブラジルにおけるベストプラクティス: ANPDへは72時間以内に通知し、 データ主体へはできるだけ速やかに、理想的には当局への通知と並行して、または その直後に通知することが推奨されます。

初回連絡と最終連絡: 調査が完了していない場合は、 入手可能な情報で初回連絡を行い、後に補足することができます。

ANPDへの通知

国家データ保護機関への通知には、第48条第1項に従い、次の事項を含めなければなりません。

I - 影響を受けた個人データの性質の説明: データの カテゴリ（CPF、電子メール、財務データ、機微データなど）を特定します。

II - 関与するデータ主体に関する情報: 影響を受けたデータ主体の 数およびその特性（顧客、従業員、未成年者など）。

III - 使用した技術的およびセキュリティ上の措置の明示: 実施した セキュリティ管理策（暗号化、ファイアウォール、バックアップなど）。

IV - インシデントに関連するリスク: 影響分析、データ主体への 潜在的損害。

V - 遅延の理由（該当する場合）: 通知が 適切な期間内に行われなかった場合の理由。

VI - 影響を回復または軽減するために講じた措置: 是正 措置、修復、セキュリティの改善。

データ主体への通知

データ主体への連絡は明確で、平易な言葉で行い、次の事項を含めなければなりません。

何が起きたか: 過度の専門用語を用いないインシデントの説明。

どのデータが影響を受けたか: 侵害された個人データのカテゴリ。

いつ発生したか: インシデントの期間および発見日。

起こりうる影響: データ主体が直面しうるリスク（詐欺、 フィッシングなど）。

講じた措置: インシデントを修復し、再発を防止するために 組織が講じた対応。

データ主体への推奨事項: 実践的な案内（パスワードの変更、 信用情報のモニタリング、詐欺への注意）。

連絡窓口: データ主体からの問い合わせのための窓口（電子メール、 電話、ポータル）。

通知の手段

ANPDへ: 当局が提供する公式の手段（ウェブサイト、 オンラインシステム、専用フォーム）を通じて。

データ主体へ: 状況と緊急性に応じた手段：個別の電子メール、 ウェブサイトでの公表、アプリ内通知、重大な場合は書留郵便。SMSや プッシュ通知は緊急アラートに使用できます。

メディア: 大規模なインシデントの場合は、広範な周知のために 報道機関を通じた公的な連絡を検討します。

通知の免除

第48条第3項は、データを権限のない第三者にとって理解不能にする 技術的保護措置が講じられていることをANPDが確認した場合、 データ主体への通知の免除を認めています。

暗号化: 強力なアルゴリズムと漏洩していない鍵で暗号化された データは、免除を正当化しうます。

仮名化: 場合によっては、堅牢な仮名化技術が データ主体へのリスクを軽減しうます。

リスク評価: 暗号化していても、重大な残存リスクがある場合は、 通知が必要となることがあります。

DPOの役割

データ保護責任者（DPO）は、通知プロセスにおいて中心的な役割を担います。

調整: 通知の要否の評価、コンテンツの作成、 各関係者への送付を調整します。

ANPDとの窓口: 当局との連絡窓口として機能します。

指導: 法的要件とベストプラクティスについてチームを指導します。

文書化: コンプライアンスの証明のため、通知プロセス全体の 適切な文書化を確保します。

インシデント対応との統合

通知プロセスは、インシデント対応計画に統合されていなければなりません。

初期評価: 封じ込めの段階で、インシデントが通知を要するかを 予備的に評価します。

Timeline Tracking: 期限を算定するため、発見、封じ込めの タイムスタンプおよび重要なマイルストーンを記録します。

Parallel Paths: 遅延を最小化するため、技術的調査と並行して 通知の準備を開始します。

Decision Points: 通知に関する正式な判断のため、対応プロセスに チェックポイントを定めます。

法的側面

法務助言: 法的義務と訴訟リスクを評価するため、当初から 法務を関与させます。

Privilege: 将来の訴訟における保護のため、インシデントに関する 連絡においてattorney-client privilegeを考慮します。

Class Actions: 通知は集団訴訟を引き起こすことがあります。慎重な 文言が不可欠です。

民事責任: 適切に通知しないことは、データ主体への損害に対する 民事責任を加重しうます。

対外コミュニケーション

義務的な通知に加え、追加の連絡を検討します。

パートナーおよびサプライヤー: 共有データが影響を受けた場合、 共同管理者および処理者に通知します。

投資家: 上場企業の場合、株主および市場への開示義務を 評価します。

保険会社: 保険契約の条件に従い、サイバー保険会社に通知します。

業界規制当局: 金融機関にはBACEN、医療保険には ANSなど。

テンプレートと準備

通知テンプレートを事前に準備しておくことで、対応が迅速化し、適切な 内容が確保されます。

ANPDテンプレート: 第48条のすべての要件を網羅し、 記入用の可変フィールドを備えた、法務が事前承認した文書。

データ主体テンプレート: インシデントの種類 （ランサムウェア、フィッシング、不正アクセス）および対象者（B2C対B2B）ごとのバージョン。

FAQ: カスタマーサポートやコールセンターが データ主体の疑問に回答するためのよくある質問の文書。

Press Release: メディアの注目を集めるインシデント向け。

文書化

通知プロセスの完全な文書を維持します。

Record of Processing: 第37条に従い、処理操作の登録簿に 記録します。

Decision Log: 免除されたか否かを含め、通知に関する決定の 論拠を文書化します。

Evidence of Notification: 送付の証憑（電子メールの 受領確認、受付番号、手紙の配達証明）を保管します。

Communication Tracking: ANPD、データ主体および その他の関係者とのすべての連絡の記録。

通知後

初回の通知の後、継続的な対話を維持します。

ANPDへの更新: 要請に応じて、調査の進捗および追加の 措置について報告します。

データ主体への支援: 疑問のための窓口を開放し続け、 適切な支援（例：無料の信用情報モニタリング）を提供します。

継続的な透明性: 新たな関連情報が判明するのに応じて、 公的な連絡を更新します。

GDPRとの比較

グローバルに事業を行う組織にとって、LGPDとGDPRの違いを 把握することが重要です。

期限: GDPRは72時間と明示しますが、LGPDは「合理的な期間」と述べています。

制裁: いずれも相当額の制裁金を設けていますが、GDPRは 全世界売上高の4%に達しうるのに対し、LGPDは2%です。

Threshold: GDPRは「リスクのおそれ」がある場合に通知を求めますが、LGPDは「重大なリスクまたは 重大な損害」がある場合に求めます。