CNPD البرتغال: الامتثال للائحة GDPR وقانون LGPD في حماية البيانات الشخصية
الجهة التنظيمية للخصوصية في البرتغال هي CNPD. تُطبّق اللائحة GDPR الأوروبية. وتربط أيضًا بين قانوني الخصوصية الأوروبي والبرازيلي، ليشمل نطاق عملها 215 مليون ناطق بالبرتغالية.
في 2024، أصدرت CNPD 42 قرارًا تنفيذيًا، من بينها غرامة 2.5 مليون يورو ضد مستشفى برتغالي بسبب ضعف إخفاء هوية سجلات المرضى، وهي من أكبر غرامات GDPR في قطاع الرعاية الصحية في جنوب أوروبا.
الجسر بين GDPR وLGPD
قانونان للخصوصية يحكمان العالم الناطق بالبرتغالية.
اللائحة GDPR الأوروبية سارية في البرتغال. الغرامة القصوى: 20 مليون يورو أو 4% من الإيرادات العالمية. تُطبّقها CNPD.
قانون LGPD البرازيلي — القانون رقم 13,709/2018 — سارٍ في البرازيل. الغرامة القصوى: 2% من الإيرادات البرازيلية بحد أقصى 50 مليون ريال برازيلي لكل مخالفة (≈9 مليون يورو). تُطبّقه هيئة ANPD البرازيلية، وصدرت أولى الغرامات الكبرى في 2024.
أكثر من 2,400 شركة لديها تدفقات نشطة لنقل البيانات بين الاتحاد الأوروبي والبرازيل. لا يوجد اتفاق كفاءة بين الاتحاد الأوروبي والبرازيل، لذا تستلزم عمليات النقل البنودَ التعاقدية القياسية أو أداة من أدوات المادة 46.
للمزيد من التفاصيل، راجع دليل LGPD لإخفاء الهوية.
غرامة المستشفى: ثلاث قواعد
أرست غرامة 2.5 مليون يورو ثلاث قواعد واضحة.
السياسات وحدها لا تكفي. أكد المستشفى أن سجلاته البحثية مجهولة الهوية، غير أن مراجعي CNPD وجدوا أرقام NIF وتواريخ الميلاد ورموز التشخيص لا تزال موجودة. هذه المعلومات تُمكّن من إعادة التعريف بالمرضى. الوثيقة السياسية ليست حلًا تقنيًا.
الاستثناءات البحثية لا تُلغي الإخفاء الحقيقي للهوية. استند المستشفى إلى المادة 89 من اللائحة GDPR — استثناء البحث العلمي. رفضت CNPD ذلك، مؤكدةً أن الاستثناء لا يزال يستلزم ضمانات تقنية حقيقية.
غرامات السجلات الصحية أكبر. تُصنّف المادة 9 من اللائحة GDPR السجلات الصحية بوصفها فئة خاصة، وانعكس ذلك على حجم الغرامة. أُصيب 23,000 مريض، ولم يكن للمستشفى أي إجراء للتحقق.
المعرّفات البرتغالية مقابل البرازيلية
البرتغالية لغة واحدة، لكن البرتغال والبرازيل يمتلكان نظامَي هوية مختلفَين. «دعم اللغة البرتغالية» في أداة تحديد المعلومات الشخصية لا يكفي.
المعرّفات البرتغالية (الاتحاد الأوروبي):
- NIF — رقم ضريبي من 9 أرقام. المعرّف الرئيسي للمواطن. له خوارزمية رقم تحقق.
- NIS — رقم الضمان الاجتماعي المكوّن من 11 رقمًا.
- Cartão de Cidadão — بطاقة المواطن المكوّنة من 8 أرقام مع امتداد حرفي.
- جواز السفر — صيغة أوروبية قياسية.
المعرّفات البرازيلية (LGPD):
- CPF — رقم دافع الضرائب المكوّن من 11 رقمًا. رقما تحقق. طريقة مختلفة عن NIF.
- CNPJ — رقم تسجيل الشركة المكوّن من 14 رقمًا.
- RG — بطاقة هوية تصدرها الولايات. الصيغة تتباين بحسب الولاية؛ ساو باولو تختلف عن ريو دي جانيرو.
- CNH — رخصة القيادة المكوّنة من 11 رقمًا.
- Título de Eleitor — بطاقة الناخب المكوّنة من 12 رقمًا.
- PIS/PASEP — رقم برنامج الدعم الاجتماعي المكوّن من 11 رقمًا. يُوجد في سجلات الرواتب.
أداة تكشف NIF قد تُغفل CPF، والعكس صحيح. كل بلد يحتاج منطق كشف خاصًا به.
راجع دليل الكشف عن المعلومات الشخصية متعدد اللغات للمزيد حول الفجوات عبر اللغات.
قواعد النقل بين الاتحاد الأوروبي والبرازيل
غطّت إرشادات CNPD لعام 2024 عمليات النقل بين الاتحاد الأوروبي والبرازيل.
البنود التعاقدية القياسية تستلزم تقييمات أثر نقل صحيحة. البنود التعاقدية القياسية هي الأداة الرئيسية، لكن كل منها يحتاج إلى تقييم أثر النقل الذي يُثبت أن البرازيل توفر حماية مكافئة. وجدت CNPD أن كثيرًا من هذه التقييمات لم تجتز الاختبار.
المعالجة المحلية في الاتحاد الأوروبي تُزيل مخاطر النقل. بعض الشركات تحتفظ بجميع السجلات في الأنظمة الأوروبية دون إرسال أي بيانات شخصية خام إلى البرازيل. هذا ينجح في ظل كلا القانونين؛ اللائحة GDPR تُغطّي المعالجة، وLGPD يُغطّي سجلات المواطنين البرازيليين، لكن لا يقع أي نقل عبر الحدود.
للمنظمات العاملة في كلا السوقين: الكشف المزدوج هو الحد الأدنى المطلوب. NIF وNIS للبرتغال. CPF وCNPJ وRG وCNH وTítulo de Eleitor وPIS/PASEP للبرازيل. يستلزم كلا القانونين هذا لإثبات الضوابط التقنية الكافية.