CNPD Πορτογαλία: Συμμόρφωση PII με GDPR και LGPD
Η ρυθμιστική αρχή προστασίας δεδομένων της Πορτογαλίας είναι η CNPD. Επιβάλλει το ευρωπαϊκό GDPR. Επίσης συνδέει το ευρωπαϊκό και το βραζιλιάνικο δίκαιο απορρήτου. Αυτό καλύπτει 215 εκατομμύρια πορτογαλόφωνους.
Το 2024, η CNPD εξέδωσε 42 αποφάσεις επιβολής. Μία ήταν πρόστιμο €2,5 εκατομμυρίων κατά πορτογαλικού νοσοκομείου. Αιτία: ανεπαρκής ανωνυμοποίηση αρχείων ασθενών. Αποτελεί ένα από τα μεγαλύτερα πρόστιμα GDPR στον τομέα υγειονομικής περίθαλψης στη Νότια Ευρώπη.
Η Γέφυρα GDPR και LGPD
Δύο νόμοι απορρήτου καλύπτουν τον πορτογαλόφωνο κόσμο.
Το ευρωπαϊκό GDPR ισχύει στην Πορτογαλία. Μέγιστο πρόστιμο: €20 εκατομμύρια ή 4% του παγκόσμιου κύκλου εργασιών. Η CNPD το επιβάλλει.
Το βραζιλιάνικο LGPD — Νόμος αρ. 13.709/2018 — ισχύει στη Βραζιλία. Μέγιστο πρόστιμο: 2% του βραζιλιάνικου κύκλου εργασιών, έως R$50 εκατομμύρια ανά παραβίαση (≈€9 εκατ.). Η βραζιλιάνικη ANPD το επιβάλλει. Τα πρώτα σημαντικά πρόστιμα επιβλήθηκαν το 2024.
Πάνω από 2.400 εταιρείες έχουν ενεργές ροές μεταφοράς δεδομένων ΕΕ–Βραζιλία. Η ΕΕ δεν έχει εκδώσει απόφαση επάρκειας για τη Βραζιλία. Οι μεταφορές ΕΕ–Βραζιλία απαιτούν Τυποποιημένες Συμβατικές Ρήτρες ή εργαλείο του Άρθρου 46.
Για περισσότερες λεπτομέρειες, δείτε τον οδηγό ανωνυμοποίησης LGPD.
Το Πρόστιμο του Νοσοκομείου: Τρεις Κανόνες
Το πρόστιμο των €2,5 εκατομμυρίων καθόρισε τρεις σαφείς κανόνες.
Οι πολιτικές δεν αρκούν. Το νοσοκομείο ισχυρίστηκε ότι τα ερευνητικά του αρχεία ήταν ανωνυμοποιημένα. Οι ελεγκτές της CNPD βρήκαν αριθμούς NIF, ημερομηνίες γέννησης και κωδικούς διαγνώσεων να εξακολουθούν να υπάρχουν. Αυτές οι πληροφορίες μπορούσαν να επαναπροσδιορίσουν τους ασθενείς. Μια γραπτή πολιτική δεν αποτελεί τεχνική διόρθωση.
Οι εξαιρέσεις έρευνας εξακολουθούν να απαιτούν πραγματική ανωνυμοποίηση. Το νοσοκομείο επικαλέστηκε το Άρθρο 89 του GDPR — την εξαίρεση για έρευνα. Η CNPD απέρριψε αυτό. Η εξαίρεση εξακολουθεί να απαιτεί πραγματικές τεχνικές εγγυήσεις.
Τα πρόστιμα για αρχεία υγείας είναι υψηλότερα. Το Άρθρο 9 του GDPR αντιμετωπίζει τα αρχεία υγείας ως ειδική κατηγορία. Το πρόστιμο αντικατόπτρισε αυτό. Επηρεάστηκαν 23.000 ασθενείς. Το νοσοκομείο δεν είχε καμία διαδικασία επικύρωσης σε εφαρμογή.
Πορτογαλικά έναντι Βραζιλιάνικων Αναγνωριστικών PII
Η πορτογαλική γλώσσα είναι μία. Αλλά η Πορτογαλία και η Βραζιλία έχουν διαφορετικά συστήματα ταυτοποίησης. Η «υποστήριξη πορτογαλικής γλώσσας» σε ένα εργαλείο PII δεν αρκεί.
Αναγνωριστικά Πορτογαλίας (ΕΕ):
- NIF — 9ψήφιος φορολογικός αριθμός. Κύριο αναγνωριστικό πολίτη. Διαθέτει αλγόριθμο ψηφίου ελέγχου. ΕΠΑΛΗΘΕΥΜΕΝΟ
- NIS — 11ψήφιος αριθμός κοινωνικής ασφάλισης. ΕΠΑΛΗΘΕΥΜΕΝΟ
- Cartão de Cidadão — 8ψήφια κάρτα πολίτη με επίθημα γράμματος. ΕΠΑΛΗΘΕΥΜΕΝΟ
- Διαβατήριο — Τυπική ευρωπαϊκή μορφή. ΕΠΑΛΗΘΕΥΜΕΝΟ
Αναγνωριστικά Βραζιλίας (LGPD):
- CPF — 11ψήφιος αριθμός φορολογούμενου. Δύο ψηφία ελέγχου. Διαφορετική μέθοδος από το NIF. ΕΠΑΛΗΘΕΥΜΕΝΟ
- CNPJ — 14ψήφια εγγραφή εταιρείας. ΕΠΑΛΗΘΕΥΜΕΝΟ
- RG — Ταυτότητα εκδόσεως πολιτείας. Η μορφή ποικίλλει ανά πολιτεία. Το Σάο Πάουλο διαφέρει από το Ρίο ντε Τζανέιρο. ΕΠΑΛΗΘΕΥΜΕΝΟ
- CNH — 11ψήφια άδεια οδήγησης. ΕΠΑΛΗΘΕΥΜΕΝΟ
- Título de Eleitor — 12ψήφιο εκλογικό αναγνωριστικό. ΕΠΑΛΗΘΕΥΜΕΝΟ
- PIS/PASEP — 11ψήφιος αριθμός κοινωνικού προγράμματος. Εμφανίζεται σε αρχεία μισθοδοσίας. ΕΠΑΛΗΘΕΥΜΕΝΟ
Ενα εργαλείο που εντοπίζει NIF μπορεί να χάσει το CPF. Το αντίστροφο επίσης ισχύει. Κάθε χώρα χρειάζεται τη δική της λογική εντοπισμού.
Δείτε τον οδηγό πολύγλωσσης εντοπισμού PII για περισσότερες πληροφορίες σχετικά με τα κενά μεταξύ γλωσσών.
Κανόνες Μεταφοράς ΕΕ–Βραζιλία
Η καθοδήγηση της CNPD για το 2024 κάλυψε τις μεταφορές ΕΕ–Βραζιλία.
Οι ΤΣΡ χρειάζονται έγκυρες Εκτιμήσεις Αντίκτυπου Μεταφοράς. Οι Τυποποιημένες Συμβατικές Ρήτρες είναι το κύριο εργαλείο. Αλλά κάθε μία χρειάζεται μια ΕΑΜ που να αποδεικνύει ότι η Βραζιλία παρέχει ισοδύναμη προστασία. Η CNPD διαπίστωσε ότι πολλές ΕΑΜ δεν πέρασαν αυτή τη δοκιμασία.
Η επεξεργασία που βασίζεται στην ΕΕ εξαλείφει τον κίνδυνο μεταφοράς. Ορισμένες εταιρείες διατηρούν όλα τα αρχεία σε ευρωπαϊκά συστήματα. Κανένα ακατέργαστο προσωπικό δεδομένο δεν μεταβαίνει στη Βραζιλία. Αυτό λειτουργεί για τους δύο νόμους. Το GDPR καλύπτει την επεξεργασία. Το LGPD καλύπτει τα αρχεία Βραζιλιανών πολιτών. Αλλά δεν πραγματοποιείται διασυνοριακή μεταφορά.
Για οργανισμούς και στις δύο αγορές: η διπλή ανίχνευση είναι το ελάχιστο. NIF και NIS για την Πορτογαλία. CPF, CNPJ, RG, CNH, Título de Eleitor και PIS/PASEP για τη Βραζιλία. Και οι δύο νόμοι το απαιτούν για να αποδείξετε επαρκή τεχνικά μέτρα ελέγχου.