Portugalský Comissão Nacional de Proteção de Dados (CNPD) zaujímá mezi dozorovými úřady EU pro ochranu dat jedinečné postavení: propojuje unijní GDPR a brazilský Lei Geral de Proteção de Dados (LGPD) — dva hlavní rámce ochrany soukromí upravující globální sféru portugalského jazyka čítající přes 215 milionů lidí.
CNPD vydal v roce 2024 celkem 42 rozhodnutí o vymáhání, včetně pokuty 2,5 milionu eur uložené portugalské nemocnici za nedostatečnou anonymizaci dat pacientů — jedna z nejvyšších pokut za GDPR ve zdravotnictví v jižní Evropě.
Propojení GDPR a LGPD
EU GDPR (Portugalsko): Maximální pokuta 20 milionů eur nebo 4 % globálního obratu. Vymáhá CNPD.
Brazilský LGPD (zákon č. 13 709/2018): Maximální pokuta 2 % ročních brazilských příjmů, maximálně 50 milionů BRL za porušení (přibližně 9 milionů eur). Vymáhá ANPD (Autoridade Nacional de Proteção de Dados), přičemž první zásadní vymáhací opatření proběhla v roce 2024.
Více než 2 400 společností udržuje aktivní ujednání o přenosech dat mezi EU a Brazílií. EU v současnosti nemá s Brazílií rozhodnutí o přiměřenosti, což znamená, že přenosy EU–Brazílie vyžadují standardní smluvní doložky nebo jiný mechanismus podle článku 46.
Nemocniční rozhodnutí: anonymizace jako technický standard
Pokuta CNPD ve výši 2,5 milionu eur v případě zdravotní péče stanovila zásadní precedenty:
Zásady ≠ shoda. Nemocnice měla zdokumentované zásady uvádějící, že výzkumná data pacientů jsou „anonymizována“. Technické přezkoumání CNPD zjistilo, že „anonymizovaný“ soubor dat si zachovával čísla NIF, data narození, kódy diagnóz a data léčby — umožňující reidentifikaci konkrétních pacientů.
Výjimka pro výzkum vyžaduje technické záruky. Nemocnice argumentovala, že data z klinického výzkumu jsou pokryta výzkumnou výjimkou podle článku 89 GDPR. CNPD shledal, že výjimka vyžaduje skutečnou anonymizaci nebo odpovídající záruky — není to blanketní výjimka z technických opatření.
Pokuty ve zdravotnictví odrážejí status zvláštní kategorie. Pokuta 2,5 milionu eur zohledňovala zacházení se zdravotními daty jako se zvláštní kategorií podle článku 9 GDPR, rozsah postižených pacientů (23 000 osob) a selhání při implementaci základní validace anonymizace.
Identifikátory PII v Portugalsku vs. Brazílii: proč nejsou zaměnitelné
Portugalština je jeden jazyk. Národní identifikační systémy v Portugalsku a Brazílii jsou však zcela odlišné — a pro organizace předpokládající, že „podpora portugalského jazyka“ postačuje, vzniká kritická mezera v compliance.
Identifikátory EU z Portugalska:
- NIF: 9místné daňové identifikační číslo. Primární identifikátor občana v Portugalsku. Kontrolní číslice ověřována specifickým algoritmem.
- NIS: 11místné číslo sociálního zabezpečení.
- Cartão de Cidadão: 8místné číslo průkazu občana s příponou písmene.
- Pas: Formát standardní pro EU.
Identifikátory PII z Brazílie:
- CPF: 11místný registr daňového poplatníka jednotlivce se dvěma kontrolními číslicemi ověřovanými jinými algoritmy než portugalský NIF.
- CNPJ: 14místné číslo registrace společnosti.
- RG: Průkaz totožnosti vydávaný jednotlivými státy — formát se liší podle státu vydání (São Paulo se liší od Rio de Janeiro, Minas Gerais atd.).
- CNH: 11místné číslo řidičského průkazu.
- Título de Eleitor: 12místné registrační číslo voliče.
- PIS/PASEP: 11místné číslo programu sociální integrace v záznamech zaměstnanosti.
Organizace nasazující nástroj PII s „podporou portugalského jazyka“ může správně detekovat NIF v portugalských dokumentech a zároveň zcela přehlédnout CPF v brazilských dokumentech — nebo naopak. Identifikátory vyžadují samostatnou detekční logiku i přesto, že se vyskytují v dokumentech napsaných ve stejném jazyce.
Shoda při přenosech EU–Brazílie
Pro organizace s datovými toky mezi EU a Brazílií pokyny CNPD z roku 2024 k požadavkům na přiměřenost přenosu:
Standardní smluvní doložky s adekvátním TIA: Standardní smluvní doložky jsou současným primárním mechanismem, ale musí být doprovázeny posouzením dopadu přenosu zabývajícím se tím, zda brazilský právní rámec poskytuje rovnocennou ochranu. CNPD zjistil, že mnohá stávající TIA jsou nedostatečná.
Zpracování v EU: Organizace zpracovávající data brazilských občanů v infrastruktuře EU — bez přenosu nezpracovaných osobních dat do Brazílie — mohou současně splňovat oba rámce. Zpracování v EU znamená, že se uplatní LGPD (data brazilských občanů) i GDPR (zpracování v EU), ale přeshraniční přenos nenastane.
Pro organizace obsluhující trh v portugalském jazyce v EU i Brazílii: detekce PII pro dvě jurisdikce pokrývající identifikátory EU z Portugalska (NIF, NIS) i brazilské identifikátory (CPF, CNPJ, RG, CNH, Título de Eleitor, PIS/PASEP) není volitelná — je to základ pro prokázání adekvátních technických opatření v rámci obou právních řádů.
Zdroje: