CNPD Portugal: GDPR- og LGPD-efterlevelse
Portugals databeskyttelsesmyndighed er CNPD. Den håndhæver EU's GDPR. Den forbinder også EU's og Brasils privatlivslovgivning. Det dækker 215 millioner portugisisktalende.
I 2024 udstedte CNPD 42 håndhævelsesafgørelser. Én var en bøde på 2,5 millioner euro til et portugisisk hospital. Årsagen: dårlig anonymisering af patientjournaler. Det er en af de største GDPR-bøder inden for sundhedssektoren i Sydeuropa.
Broen mellem GDPR og LGPD
To privatlivslove dækker den portugisisktalende verden.
EU's GDPR gælder i Portugal. Maksimalbøde: 20 millioner euro eller 4 % af den globale omsætning. CNPD håndhæver den.
Brasils LGPD — Lov nr. 13.709/2018 — gælder i Brasilien. Maksimalbøde: 2 % af brasiliansk omsætning, op til R$50 millioner pr. overtrædelse (≈9 mio. €). Brasils ANPD håndhæver den. De første større bøder kom i 2024.
Mere end 2.400 virksomheder har aktive EU-Brasilien-dataflows. EU har ingen tilstrækkelighedsaftale med Brasilien. EU-Brasilien-overførsler kræver Standardkontraktklausuler eller et artikel 46-redskab.
For mere detalje, se vores LGPD-anonymiseringsguide.
Hospitalsbøden: Tre regler
Bøden på 2,5 millioner euro fastsatte tre klare regler.
Politikker er ikke nok. Hospitalet hævdede, at dets forskningsoptegnelser var anonymiserede. CNPD-revisorer fandt NIF-numre, fødselsdatoer og diagnosekoder stadig til stede. Disse oplysninger kunne re-identificere patienter. En skriftlig politik er ikke en teknisk løsning.
Forskningsfritagelser kræver stadig reel anonymisering. Hospitalet påberåbte sig GDPR artikel 89 — forskningsfritagelsen. CNPD sagde nej. Fritagelsen kræver stadig ægte tekniske sikkerhedsforanstaltninger.
Bøder for sundhedsjournaler er større. GDPR artikel 9 behandler sundhedsoplysninger som særlig kategori. Bøden afspejlede dette. 23.000 patienter var berørt. Hospitalet havde ingen valideringsproces på plads.
Portugisiske vs. brasilianske PII
Portugisisk er ét sprog. Men Portugal og Brasilien har forskellige ID-systemer. "Portugisisk sprogunderstøttelse" i et PII-værktøj er ikke tilstrækkeligt.
Portugisiske identifikatorer (EU):
- NIF — 9-cifret skattenummer. Primær borger-ID. Har en kontrolcifferalgoritme. VERIFICERET
- NIS — 11-cifret socialsikringsnummer. VERIFICERET
- Cartão de Cidadão — 8-cifret borgerkort med bogstavsuffiks. VERIFICERET
- Pas — EU-standardformat. VERIFICERET
Brasilianske identifikatorer (LGPD):
- CPF — 11-cifret skatteydernummer. To kontrolcifre. Anden metode end NIF. VERIFICERET
- CNPJ — 14-cifret virksomhedsregistrering. VERIFICERET
- RG — Statsudstedt ID. Format varierer efter delstat. São Paulo adskiller sig fra Rio de Janeiro. VERIFICERET
- CNH — 11-cifret kørekort. VERIFICERET
- Título de Eleitor — 12-cifret vælger-ID. VERIFICERET
- PIS/PASEP — 11-cifret socialprogram-nummer. Forekommer i lønfiler. VERIFICERET
Et værktøj, der finder NIF, overser muligvis CPF. Det omvendte gælder også. Hvert land kræver sin egen registreringslogik.
Se vores guide til flersproget PII-registrering for mere om sprogkrydsende gab.
EU-Brasilien-overførselsregler
CNPD's vejledning fra 2024 dækkede EU-Brasilien-overførsler.
SCC'er kræver gyldige Transfer Impact Assessments. SCC'er er det primære redskab. Men hver af dem kræver en TIA, der dokumenterer, at Brasilien yder tilsvarende beskyttelse. CNPD fandt, at mange TIA'er ikke bestod denne prøve.
EU-baseret behandling fjerner overførselsrisikoen. Nogle firmaer opbevarer alle optegnelser i EU-systemer. Ingen rå personoplysninger sendes til Brasilien. Dette fungerer for begge love. GDPR dækker behandlingen. LGPD dækker brasilianske borgeres optegnelser. Men ingen grænseoverskridende overførsel finder sted.
For organisationer på begge markeder: dobbelt registrering er minimum. NIF og NIS for Portugal. CPF, CNPJ, RG, CNH, Título de Eleitor og PIS/PASEP for Brasilien. Begge love kræver dette for at demonstrere tilstrækkelige tekniske kontroller.