ANPD Brazílie: Vymáhání LGPD v roce 2024
Brazilský úřad pro ochranu osobních údajů ANPD začal v roce 2024 vydávat pokuty. Byly to první velké pokuty podle LGPD — zákona č. 13 709/2018. Brazílie má 215 milionů lidí, na něž se tento zákon vztahuje. Má také 180 milionů uživatelů internetu — největší digitální ekonomiku v Latinské Americe. Soulad s LGPD je nyní reálný a aktivně vymáhaný.
LGPD: brazilský zákon o ochraně soukromí
LGPD vychází z GDPR, ale má klíčové odlišnosti.
Maximální pokuty: Až 2 % brazilského ročního obratu. Strop je 50 milionů BRL (přibližně 9 milionů EUR) za porušení. GDPR používá 4 % z globálního obratu. Základ pouze pro Brazílii znamená nižší stropy pro nadnárodní společnosti. Pro firmy působící výhradně v Brazílii to ale znamená vyšší relativní riziko.
Citlivé kategorie: Seznam LGPD je blízký GDPR článku 9. Zahrnuje rasu, politické názory, náboženství, zdravotní záznamy, genetická data, biometrii a sexuální orientaci. Pokyny ANPD z roku 2024 rozšířily tato pravidla v rámci článku 11.
Práva subjektů údajů: Lidé mají přístup ke svým záznamům, mohou je opravovat, mazat a přenášet. Mohou se také dotazovat na sdílení dat. LGPD přidává jedno právo, které GDPR nemá: právo vědět, zda bylo při rozhodnutí o nich použito AI.
Zahájení vymáhání: ANPD vydal první sankce v roce 2024. Hlavními cíli byly telekomunikační firmy, finanční instituce a poskytovatelé zdravotní péče. Nadnárodní společnosti působící v Brazílii jsou prioritou pro rok 2025.
Pro širší přehled viz náš průvodce globálním soulad s ochranou PII.
Brazilské PII identifikátory
Brazilský identifikační systém je složitý. Jde o federativní republiku. Některé dokumenty se liší podle státu.
CPF: Jedenáctimístné daňové číslo (formát: XXX.XXX.XXX-XX). Má dvě kontrolní číslice počítané modulo. CPF je hlavním brazilským identifikátorem pro bankovnictví, daně, zdravotnictví a veřejnou správu. Mají ho všichni 215 milionů Brazilců.
CNPJ: Čtrnáctimístné číslo společnosti (formát: XX.XXX.XXX/XXXX-XX). Má dvě kontrolní číslice. Vyskytuje se v obchodních záznamech propojených s vedoucími pracovníky.
RG: Státem vydaný občanský průkaz. Formát se liší podle státu. Průkaz RG ze São Paula se liší od průkazu z Ria de Janeiro, a tak je tomu ve všech 26 státech a federálním distriktu. Nástroj, který zná formát pouze jednoho státu, přehlédne většinu brazilských čísel RG.
CNH: Jedenáctimístné číslo řidičského průkazu s jednou kontrolní číslicí.
Título de Eleitor: Dvanáctimístný volební průkaz. Kóduje registrační zónu voliče.
PIS/PASEP: Jedenáctimístné číslo programu sociální pomoci. Vyskytuje se v mzdových a pracovních záznamech.
Číslo SUS: Patnáctimístný identifikátor zdravotního systému. Má ho každý Brazilec. Vyskytuje se ve všech zdravotních dokumentech.
Náš průvodce globálními PII identifikátory srovnává CPF s americkým SSN, indickým Aadhaar a dalšími národními identifikátory.
LGPD vs. GDPR: klíčové rozdíly
Oba rámce chrání osobní záznamy, ale liší se v důležitých ohledech.
Právní základy: LGPD má 10 právních základů. GDPR má 6. LGPD zahrnuje „ochranu úvěru” — základ vázaný na brazilskou fintech kulturu. Žádná odpovídající možnost v GDPR neexistuje.
Brazílie nemá status přiměřenosti EU: EU Brazílii neudělila rozhodnutí o přiměřenosti. Přenosy mezi EU a Brazílií vyžadují standardní smluvní doložky nebo závazná podniková pravidla — stejně jako pro USA.
Pravidla souhlasu: Souhlas dle LGPD musí být konkrétní, informovaný, svobodný a jasný — podobně jako dle GDPR. Pro citlivé záznamy LGPD umožňuje širší souhlas než GDPR s jeho standardem pro každý účel zvlášť, pokud je účel uveden.
Priority vymáhání ANPD pro rok 2025
ANPD zveřejnil priority pro rok 2025 na základě výsledků případů z roku 2024.
Zdravotní záznamy
Článek 11 vyžaduje výslovný souhlas — nebo jasný právní základ — ke zpracování zdravotních záznamů. ANPD zjistil, že mnoha zdravotnickým aplikacím a poskytovatelům chyběl tento základ pro čísla SUS a lékařské záznamy.
Finanční služby
Čísla CPF v úvěrových smlouvách, kreditních zprávách a pojišťovacích smlouvách jsou hlavním cílem. ANPD kontroluje, zda doby uchovávání odpovídají deklarovaným účelům.
Soulad technologických platforem
Sociální sítě, e-commerce a streamovací platformy v Brazílii jsou prioritou pro rok 2025. ANPD se zaměřuje na profilování a přeshraniční přenosy.
Co dělat nyní
Základem brazilského souladu je detekce CPF a CNPJ s ověřením kontrolní číslice. Přidejte detekci RG s logikou formátu podle jednotlivých států. Zahrňte podporu pro CNH, Título de Eleitor a číslo SUS pro úplné pokrytí. Podrobný postup najdete v našem průvodci anonymizací dle LGPD.