CNPD Португалия: съответствие с GDPR и LGPD за PII
Португалският надзорен орган за данни е CNPD. Той прилага ЕС GDPR. Освен това свързва европейското и бразилското законодателство за неприкосновеност на личния живот. Това обхваща 215 милиона португалски говорещи.
През 2024 г. CNPD е издал 42 решения за прилагане. Едно от тях е глоба от 2,5 млн. евро срещу португалска болница. Причината: лоша анонимизация на пациентски досиета. Това е една от най-големите здравни глоби по GDPR в Южна Европа.
Мостът между GDPR и LGPD
Два закона за неприкосновеност на личния живот обхващат португалскоезичния свят.
ЕС GDPR се прилага в Португалия. Максимална глоба: 20 млн. евро или 4% от глобалния оборот. CNPD го прилага.
Бразилският LGPD — Закон No. 13,709/2018 — се прилага в Бразилия. Максимална глоба: 2% от бразилския оборот, до R$50 милиона на нарушение (приблизително 9 млн. евро). Бразилската ANPD го прилага. Първите големи глоби са наложени през 2024 г.
Над 2400 компании имат активни потоци на данни между ЕС и Бразилия. ЕС няма решение за адекватност с Бразилия. Трансферите ЕС–Бразилия изискват Стандартни договорни клаузи или инструмент по член 46.
За повече подробности вижте нашето ръководство за анонимизация по LGPD.
Болничната глоба: три правила
Глобата от 2,5 млн. евро е установила три ясни правила.
Политиките не са достатъчни. Болницата е заявила, че изследователските й досиета са анонимизирани. Одиторите на CNPD са открили налични NIF номера, дати на раждане и кодове за диагнози. Тази информация позволявала повторна идентификация на пациенти. Написаната политика не е техническо решение.
Изключенията за изследвания все още изискват реална анонимизация. Болницата се е позовала на GDPR член 89 — изключението за изследвания. CNPD е отказал. Изключението все още изисква реални технически предпазни мерки.
Глобите за здравни досиета са по-големи. GDPR член 9 третира здравните досиета като специална категория. Глобата отразява това. Засегнати са 23 000 пациенти. Болницата не е разполагала с процес на валидация.
Португалски срещу бразилски PII
Португалският е един език. Но Португалия и Бразилия имат различни системи от идентификатори. "Поддръжка на португалски език" в PII инструмент не е достатъчна.
Португалски идентификатори (ЕС):
- NIF — 9-цифрен данъчен номер. Основен граждански идентификатор. Има алгоритъм за контролна цифра. ВЕРИФИЦИРАН
- NIS — 11-цифрен номер за социална сигурност. ВЕРИФИЦИРАН
- Cartao de Cidadao — 8-цифрена гражданска карта с буквен суфикс. ВЕРИФИЦИРАН
- Паспорт — стандартен ЕС формат. ВЕРИФИЦИРАН
Бразилски идентификатори (LGPD):
- CPF — 11-цифрен данъчен номер. Две контролни цифри. Различен метод от NIF. ВЕРИФИЦИРАН
- CNPJ — 14-цифрен регистрационен номер на компания. ВЕРИФИЦИРАН
- RG — Издадена от щата лична карта. Форматът варира по щати. Сао Пауло се различава от Рио де Жанейро. ВЕРИФИЦИРАН
- CNH — 11-цифрена шофьорска книжка. ВЕРИФИЦИРАН
- Titulo de Eleitor — 12-цифрена лична карта на избирател. ВЕРИФИЦИРАН
- PIS/PASEP — 11-цифрен номер на социална програма. Открива се в досиета за заплати. ВЕРИФИЦИРАН
Инструмент, засичащ NIF, може да пропусне CPF. Обратното също е вярно. Всяка страна изисква своя логика за засичане.
Вижте нашето ръководство за многоезично засичане на PII за повече информация за пропуските между езиците.
Правила за трансфер ЕС–Бразилия
Насоките на CNPD от 2024 г. са обхванали трансферите ЕС–Бразилия.
SCCs изискват валидни оценки на въздействието на трансфера. SCCs са основният инструмент. Но всяка от тях изисква TIA, показваща, че Бразилия осигурява равностойна защита. CNPD е установил, че много TIAs не са издържали тази проверка.
Обработката, базирана в ЕС, елиминира риска от трансфер. Някои компании съхраняват всички записи в системи на ЕС. Никакви необработени лични данни не отиват в Бразилия. Това работи и за двата закона. GDPR обхваща обработката. LGPD обхваща записите на бразилски граждани. Но не се извършва трансгранично предаване.
За организации, присъстващи и на двата пазара: двойното засичане е минимумът. NIF и NIS за Португалия. CPF, CNPJ, RG, CNH, Titulo de Eleitor и PIS/PASEP за Бразилия. И двата закона изискват това, за да се докажат адекватни технически контроли.