CNPD Portugal: DSGVO und LGPD PII-Compliance
Portugals Datenschutzbehörde ist die CNPD. Sie setzt die EU-DSGVO durch. Sie verbindet auch EU- und brasilianisches Datenschutzrecht. Das umfasst 215 Millionen Portugiesischsprachige.
2024 erließ die CNPD 42 Durchsetzungsentscheidungen. Eine davon war ein Bußgeld von 2,5 Millionen Euro gegen ein portugiesisches Krankenhaus. Grund: mangelhafte Anonymisierung von Patientenakten. Es ist eines der größten DSGVO-Bußgelder im Gesundheitsbereich in Südeuropa.
Die Brücke zwischen DSGVO und LGPD
Zwei Datenschutzgesetze gelten für die portugiesischsprachige Welt.
EU-DSGVO gilt in Portugal. Höchststrafe: 20 Millionen Euro oder 4 % des weltweiten Umsatzes. Die CNPD setzt sie durch.
Brasiliens LGPD — Gesetz Nr. 13.709/2018 — gilt in Brasilien. Höchststrafe: 2 % des brasilianischen Umsatzes, bis zu R$50 Millionen pro Verstoß (≈ 9 Mio. €). Brasiliens ANPD setzt es durch. Erste größere Bußgelder kamen 2024.
Über 2.400 Unternehmen haben aktive EU–Brasilien-Transferbeziehungen. Die EU hat keine Angemessenheitsentscheidung für Brasilien. EU–Brasilien-Übermittlungen benötigen Standardvertragsklauseln oder ein Instrument nach Artikel 46.
Weitere Details finden Sie in unserem LGPD-Anonymisierungsleitfaden.
Das Krankenhaus-Bußgeld: Drei Regeln
Das Bußgeld von 2,5 Millionen Euro legte drei klare Regeln fest.
Richtlinien reichen nicht aus. Das Krankenhaus sagte, seine Forschungsunterlagen seien anonymisiert. CNPD-Prüfer fanden NIF-Nummern, Geburtsdaten und Diagnosecodes. Diese Angaben konnten Patienten identifizieren. Eine schriftliche Richtlinie ist keine technische Lösung.
Forschungsausnahmen brauchen echte Anonymisierung. Das Krankenhaus berief sich auf DSGVO-Artikel 89 — die Forschungsausnahme. Die CNPD lehnte dies ab. Die Ausnahme erfordert weiterhin echte technische Schutzmaßnahmen.
Bußgelder bei Gesundheitsakten sind höher. DSGVO-Artikel 9 behandelt Gesundheitsakten als besondere Kategorie. Das Bußgeld spiegelte dies wider. 23.000 Patienten waren betroffen. Das Krankenhaus hatte keinen Validierungsprozess.
Portugiesische vs. brasilianische PII
Portugiesisch ist eine Sprache. Aber Portugal und Brasilien haben verschiedene Ausweissysteme. „Portugiesische Sprachunterstützung" in einem PII-Tool reicht nicht aus.
Portugal-Kennungen (EU):
- NIF — 9-stellige Steuernummer. Wichtigster Bürgerausweis. Hat einen Prüfziffernalgorithmus. VERIFIED
- NIS — 11-stellige Sozialversicherungsnummer. VERIFIED
- Cartão de Cidadão — 8-stellige Bürgerkarte mit Buchstabensuffix. VERIFIED
- Reisepass — EU-Standardformat. VERIFIED
Brasilien-Kennungen (LGPD):
- CPF — 11-stellige Steuernummer. Zwei Prüfziffern. Anderes Verfahren als NIF. VERIFIED
- CNPJ — 14-stellige Unternehmensregistrierung. VERIFIED
- RG — Staatlich ausgestellter Ausweis. Format variiert nach Bundesstaat. São Paulo unterscheidet sich von Rio de Janeiro. VERIFIED
- CNH — 11-stellige Führerscheinnummer. VERIFIED
- Título de Eleitor — 12-stellige Wähler-ID. VERIFIED
- PIS/PASEP — 11-stellige Sozialversicherungsnummer. In Gehaltsabrechnungen zu finden. VERIFIED
Ein Tool, das NIF erkennt, kann CPF übersehen. Umgekehrt gilt dasselbe. Jedes Land braucht eigene Erkennungslogik.
Mehr zu sprachübergreifenden Lücken in unserem Leitfaden zur mehrsprachigen PII-Erkennung.
EU–Brasilien-Transferregeln
Die CNPD-Leitlinien 2024 behandelten EU–Brasilien-Transfers.
Standardvertragsklauseln brauchen gültige Transfer-Folgenabschätzungen. SKK sind das Hauptinstrument. Aber jede braucht eine TIA, die zeigt, dass Brasilien gleichwertigen Schutz bietet. Die CNPD stellte fest, dass viele TIAs diesen Test nicht bestanden.
EU-basierte Verarbeitung beseitigt Transferrisiko. Manche Firmen halten alle Unterlagen in EU-Systemen. Keine rohen persönlichen Angaben gehen nach Brasilien. Das funktioniert für beide Gesetze. Die DSGVO gilt für die Verarbeitung. Das LGPD gilt für Unterlagen brasilianischer Bürger. Aber kein grenzüberschreitender Transfer findet statt.
Für Organisationen in beiden Märkten: Doppelte Erkennung ist das Minimum. NIF und NIS für Portugal. CPF, CNPJ, RG, CNH, Título de Eleitor und PIS/PASEP für Brasilien. Beide Gesetze verlangen dies als Nachweis ausreichender technischer Kontrollen.