ブラジルの新しいCookie同意ガイドライン | CookieFirstブログ

もう一日、国際的なデータプライバシー規制の風景でまた大きな変化が起きました。今回は、ブラジルで変更が行われており、もしあなたが、または今後ブラジルの市民の個人データを処理する予定がある場合、知っておくべきことがたくさんあります。

ブラジルのデータ保護当局がガイダンスを発表
2022年10月18日、ブラジルの中央データ保護機関である国家データ保護当局（ANPD）が、同国のデータプライバシー法であるLGPDの解釈に関する待望のガイダンスを発表しました。これらのガイダンスは、まだ新しい法律の対象となる組織に対し、法令順守を維持するための明確さを提供することを目的として作成されました。

これらのガイダンスに対する期待は高く、一部の組織はブラジルでのデータ処理についてより寛容な解釈を期待しており、それによりクッキーなどのサードパーティーのトラッカーの使用が他の地域よりも容易になる（または難しくなくなる）ことを期待していました。公開された内容は、柔軟性と伝統のバランスがとれたものであり、合法的な利益などの問題に一部譲歩があったものの、一般的な方針はGDPRなどの既存の主要法律と一致しています。

組織は何を知っておくべきか？
ブラジルで最近公開されたガイダンスには、いくつかの重要な変更と問題があります。以下で最も重要な点を説明し、ウェブサイト所有者にとってそれが意味することを説明します。

同意
ここで最初で最も重要な問題は同意です。幸いなことに、これはあまり変化の少ない要素であり、ANPDの解釈ガイドラインはGDPRや他の有名な法律に明示的にモデル化されています。これらの枠組みと同様に、同意にはオプトインモデルが適用され、適切な目的の開示後にデータ主体によって自由に与えられる必要があります。ガイダンスはまた、クッキーバナーの使用を推進しており、個人が容易にすべての不要なサードパーティースクリプトの使用をオプトアウトできるようにするトップレイヤーを持つものを特に支持しています。

個人を特定できる情報（PII）
ブラジルの最新のガイドラインは、過去数年間に見られた成長傾向に乗っています。それは、名前や電話番号などの明確な情報だけでなく、より間接的な個人を特定する情報、特に行動プロファイルや個々のユーザーについての推測を、「個人情報」の定義の下に含めようとしています。

法的根拠
ANPDは、組織がオンラインでサードパーティークッキーを使用する際の法的根拠について非常に明確でした。それは、主に2つの状況を特定しています – 一つ目は同意、二つ目は合法的な利益です。

ここでそれぞれの用語が意味するものを簡単におさらいしましょう：
同意 – 同意とは、個人または団体がクッキーの使用に明示的な許可を与えることを指します。
合法的な利益 – 合法的な利益は、組織がそれを行う合理的な目的を持っている場合に、ユーザーデータを処理することが許可される法的根拠です。

このアプローチは、特にEUの他の主要なデータプライバシー法と比較して、注目すべき簡素さを持っています。EUの法律は、組織がePrivacyの規則に従って同意が必要かどうかを判断し、クッキーの使用を正当化するために6つの法的根拠のうちの1つを選択するという、はるかに複雑なプロセスを経る必要があります。

計測と分析
計測と分析のためのクッキーは、これまでの国際データプライバシー法で異なる方法で扱われてきました。GDPRなどの規制は、明示的な同意なしにそれらを禁止しています。一方、LGPDを含む他の規制は、特定の状況下では自律的に使用を許可しています。ANPDからの最近のガイダンスによると、サードパーティースクリプトを介した視聴者の計測と分析は「合法的な利益」と見なされ、必ずしもユーザーの同意を必要としません。ただし、行動プロファイルやデータの追跡、組み合わせに関するような一部の状況では、ユーザーの許可が必要です。

モバイル
欧州の法律と同様に、ANPDの最近のリリースでは、そのガイドラインがクッキーに限らず適用されることを明記しています。それは、ウェブページと同様に広く使用されているアプリなど、他の追跡技術（ウェブサイトで使用されていないものも含む）も規制の対象となると述べています。モバイルデバイスはここでの主要な関心事です – 当局は、ウェブページと同様に広く使用されているアプリなどのツールが、消費者の個人データを違法に処理するための抜け穴を持っていないことを確認したいと考えています。