CNPD Portugalia: conformitatea PII sub GDPR și LGPD
Autoritatea de supraveghere a datelor din Portugalia este CNPD. Aceasta aplică GDPR-ul european. Face de asemenea legătura dintre dreptul european și cel brazilian privind confidențialitatea. Aceasta acoperă 215 milioane de vorbitori de portugheză.
În 2024, CNPD a emis 42 de decizii de aplicare. Una dintre ele a fost o amendă de 2,5 milioane de euro împotriva unui spital portughez. Motivul: anonimizarea defectuoasă a dosarelor pacienților. Este una dintre cele mai mari amenzi GDPR din domeniul sănătății din Europa de Sud.
Puntea dintre GDPR și LGPD
Două legi privind confidențialitatea acoperă lumea lusofon.
GDPR-ul UE se aplică în Portugalia. Amenda maximă: 20 milioane de euro sau 4% din cifra de afaceri globală. CNPD îl aplică.
LGPD din Brazilia — Legea nr. 13.709/2018 — se aplică în Brazilia. Amenda maximă: 2% din veniturile braziliene, până la 50 de milioane de reali per încălcare (≈9 milioane de euro). ANPD din Brazilia o aplică. Primele amenzi majore au venit în 2024.
Peste 2.400 de companii au fluxuri active de transfer UE–Brazilia. UE nu are un acord de adecvare cu Brazilia. Transferurile UE–Brazilia necesită Clauze Contractuale Standard sau un instrument conform Articolului 46.
Pentru mai multe detalii, consultați ghidul nostru de anonimizare LGPD.
Amenda spitalului: trei reguli
Amenda de 2,5 milioane de euro a stabilit trei reguli clare.
Politicile nu sunt suficiente. Spitalul a afirmat că înregistrările sale de cercetare sunt anonimizate. Auditorii CNPD au găsit numere NIF, date de naștere și coduri de diagnostic prezente în continuare. Acele informații puteau reidentifica pacienții. O politică scrisă nu înseamnă o soluție tehnică.
Excepțiile pentru cercetare necesită în continuare anonimizare reală. Spitalul a invocat Articolul 89 din GDPR — excepția pentru cercetare. CNPD a respins argumentul. Excepția necesită în continuare garanții tehnice autentice.
Amenzile pentru dosarele medicale sunt mai mari. Articolul 9 din GDPR tratează dosarele de sănătate ca o categorie specială. Amenda a reflectat acest lucru. Au fost afectați 23.000 de pacienți. Spitalul nu aveva niciun proces de validare.
PII portugheză vs. braziliană
Portugheza este o singură limbă. Dar Portugalia și Brazilia au sisteme de identificare diferite. „Suport pentru limba portugheză” într-un instrument PII nu este suficient.
Identificatori din Portugalia (UE):
- NIF — Număr de identificare fiscală din 9 cifre. Principalul ID al cetățeanului. Are un algoritm cu cifră de control. VERIFICAT
- NIS — Număr de securitate socială din 11 cifre. VERIFICAT
- Cartão de Cidadão — Card de cetățean din 8 cifre cu un sufix literal. VERIFICAT
- Pașaport — Format standard UE. VERIFICAT
Identificatori din Brazilia (LGPD):
- CPF — Număr de contribuabil din 11 cifre. Două cifre de control. Metodă diferită față de NIF. VERIFICAT
- CNPJ — Înregistrare a companiei din 14 cifre. VERIFICAT
- RG — ID emis de stat. Formatul variază în funcție de stat. São Paulo diferă de Rio de Janeiro. VERIFICAT
- CNH — Permis de conducere din 11 cifre. VERIFICAT
- Título de Eleitor — ID de alegător din 12 cifre. VERIFICAT
- PIS/PASEP — Număr de program social din 11 cifre. Se găsește în dosarele de salarizare. VERIFICAT
Un instrument care detectează NIF-ul poate rata CPF-ul. Și reciproca este valabilă. Fiecare țară necesită logică proprie de detectare.
Consultați ghidul nostru privind detectarea PII multilingv pentru mai multe informații despre lacunele transfrontaliere.
Regulile de transfer UE–Brazilia
Orientările CNPD din 2024 au acoperit transferurile UE–Brazilia.
CCS necesită Evaluări valide ale Impactului Transferului. CCS sunt instrumentul principal. Dar fiecare necesită o TIA care să demonstreze că Brazilia oferă o protecție echivalentă. CNPD a constatat că multe TIA nu trec acest test.
Procesarea bazată în UE elimină riscul de transfer. Unele firme păstrează toate înregistrările în sisteme din UE. Nicio informație personală brută nu ajunge în Brazilia. Aceasta funcționează pentru ambele legi. GDPR acoperă procesarea. LGPD acoperă înregistrările cetățenilor brazilieni. Dar nu are loc niciun transfer transfrontalier.
Pentru organizațiile active pe ambele piețe: detectarea duală este minimul necesar. NIF și NIS pentru Portugalia. CPF, CNPJ, RG, CNH, Título de Eleitor și PIS/PASEP pentru Brazilia. Ambele legi impun aceasta pentru a demonstra controale tehnice adecvate.