CNPD Portugal: Compliment de PII per al RGPD i la LGPD
L'autorita de privadesa de Portugal es la CNPD. Aplica el RGPD de la UE. Tambe connecta el dret de privadesa europeu i el brasiler. Aixo cobreix 215 milions de parlants de portugues.
El 2024, la CNPD va emetre 42 decisions d'aplicacio. Una va ser una multa de 2,5 milions d'euros contra un hospital portugues. La rao: anonimitzacio deficient dels expedients de pacients. Es una de les multes RGPD sanitaries mes grans del sud d'Europa.
El pont entre el RGPD i la LGPD
Dues lleis de privadesa cobreixen el mon de parla portuguesa.
El RGPD de la UE s'aplica a Portugal. Multa maxima: 20 milions d'euros o el 4% dels ingressos globals. La CNPD l'aplica.
La LGPD del Brasil — Llei No. 13.709/2018 — s'aplica al Brasil. Multa maxima: el 2% dels ingressos brasilers, amb un limit de R$50 milions per infraccio (aprox. 9 milions d'euros). L'ANPD del Brasil l'aplica. Les primeres multes importants van arribar el 2024.
Mes de 2.400 empreses tenen fluxos de transferencia UE-Brasil actius. La UE no te cap acord d'adequacio amb el Brasil. Les transferencies UE-Brasil necessiten Clausules Contractuals Estandard o una eina de l'Article 46.
Per a mes detalls, consulteu la nostra guia d'anonimitzacio LGPD.
La multa a l'hospital: tres regles
La multa de 2,5 milions d'euros va establir tres regles clares.
Les politiques no son suficients. L'hospital va afirmar que els seus registres de recerca estaven anonimitzats. Els auditors de la CNPD van trobar numeros NIF, dates de naixement i codis de diagnostic encara presents. Aquesta informacio podia reidentificar els pacients. Una politica escrita no es una solucio tecnica.
Les exempcions de recerca encara necessiten una anonimitzacio real. L'hospital va invocar l'Article 89 del RGPD — l'exencio de recerca. La CNPD va dir que no. L'exencio segueix requerint salvaguardes tecniques genuines.
Les multes per historials sanitaris son mes grans. L'Article 9 del RGPD tracta els historials sanitaris com a categoria especial. La multa va reflectir aixo. 23.000 pacients es van veure afectats. L'hospital no tenia cap proces de validacio en funcionament.
PII portuguesa vs. brasilera
El portugues es un sol idioma. Pero Portugal i el Brasil tenen sistemes d'identitat diferentes. El "suport per a la llengua portuguesa" en una eina de PII no es suficient.
Identificadors de Portugal (UE):
- NIF — Numero fiscal de 9 digits. Principal ID de ciutada. Te un algorisme de digit de control. VERIFICAT
- NIS — Numero de seguretat social d'11 digits. VERIFICAT
- Cartao de Cidadao — Targeta de ciutada de 8 digits amb un sufix de lletra. VERIFICAT
- Passaport — Format estandard de la UE. VERIFICAT
Identificadors del Brasil (LGPD):
- CPF — Numero de contribuent d'11 digits. Dos digits de control. Metode diferent del NIF. VERIFICAT
- CNPJ — Registre d'empresa de 14 digits. VERIFICAT
- RG — ID emesa per l'estat. El format varia per estat. Sao Paulo difereix de Rio de Janeiro. VERIFICAT
- CNH — Permis de conduccio d'11 digits. VERIFICAT
- Titulo de Eleitor — ID d'elector de 12 digits. VERIFICAT
- PIS/PASEP — Numero de programa social d'11 digits. Frequent en registres de nomines. VERIFICAT
Una eina que detecta el NIF pot no detectar el CPF. L'invers tambe es cert. Cada pais necessita la seva propia logica de deteccio.
Consulteu la nostra guia de deteccio de PII multilingue per a mes informacio sobre les llacunes entre idiomes.
Regles de transferencia UE-Brasil
La guia de la CNPD de 2024 cobria les transferencies UE-Brasil.
Les CCE necessiten Avaluacions de l'Impacte de la Transferencia valides. Les CCE son l'eina principal. Pero cadascuna necessita una ATI que demostri que el Brasil ofereix una proteccio equivalent. La CNPD va trobar que moltes ATI no superaven aquesta prova.
El processament basat a la UE elimina el risc de transferencia. Algunes empreses conserven tots els registres en sistemes de la UE. Cap informacio personal en brut va al Brasil. Aixo funciona per a les dues lleis. El RGPD cobreix el processament. La LGPD cobreix els registres dels ciutadans brasilers. Pero no es produeix cap transferencia transfronterera.
Per a les organitzacions en ambdos mercats: la deteccio dual es el minim. NIF i NIS per a Portugal. CPF, CNPJ, RG, CNH, Titulo de Eleitor i PIS/PASEP per al Brasil. Les dues lleis ho exigeixen per demostrar controls tecnics adequats.