LGPD Brasil: CPF, CNPJ y protección de datos
La Lei Geral de Proteção de Dados (LGPD) de Brasil cubre 215 millones de personas. Es la tercera ley de protección de datos más grande del mundo por población. Cubre más personas que Alemania, Francia y el Reino Unido juntos. La Autoridade Nacional de Proteção de Dados (ANPD) emitió sus primeras multas importantes en 2024. El período de gracia tras la entrada en vigor de la LGPD en 2020 ha terminado.
También hay un desafío técnico. Los documentos LGPD están en portugués brasileño. Los IDs nacionales en Brasil difieren de los de Portugal. También difieren de los IDs de cualquier otro país.
Por qué los datos personales brasileños son diferentes
Los sistemas de ID federales y estatales de Brasil evolucionaron separados de los sistemas de identidad digital europeos. Esto creó un conjunto único de identificadores. La mayoría de las herramientas de NLP se entrenan con datos en inglés o europeos. No detectan los IDs locales.
CPF (Cadastro de Pessoas Físicas): El número de contribuyente de 11 dígitos. Formato: XXX.XXX.XXX-XX. Tiene dos dígitos de control. La fórmula usa dos pasos de cálculo separados. Ambos deben coincidir para que el CPF sea válido.
La brecha de detección es grande. Las herramientas de NLP entrenadas en inglés detectan el CPF con solo el 45 % de precisión (ANPD, 2024). Dos razones explican esto. Primero, las herramientas que buscan números de 11 dígitos sin la lógica de los dos pasos de dígitos de control confunden números CPF válidos con secuencias aleatorias. Segundo, el CPF a veces no tiene el formato XXX.XXX.XXX-XX. Esto ocurre en salidas OCR y formularios de texto plano.
CNPJ (Cadastro Nacional da Pessoa Jurídica): El número de ID de empresa de 14 dígitos. Formato: XX.XXX.XXX/XXXX-XX. También tiene dos dígitos de control. La fórmula se parece a la del CPF pero no es idéntica.
RG (Registro Geral): La cédula de identidad civil estatal. El formato varía según el estado. São Paulo usa 2 letras y 5–9 dígitos. Río de Janeiro usa 7–8 dígitos con un guion. Minas Gerais usa 7–9 dígitos. Otros estados tienen sus propios formatos. Una herramienta que solo conoce el formato RG de un estado se perderá la mayoría de los números RG.
CNH (Carteira Nacional de Habilitação): El número de licencia de conducir de 11 dígitos. Tiene un dígito de control. El formato incluye un código de distrito.
Título de Eleitor: El número de ID de votante de 12 dígitos. Tiene tres partes: un código de ID de 8 dígitos, un código de estado de 2 dígitos y 2 dígitos de control.
Número SUS (Cartão SUS): El ID de salud pública de 15 dígitos. Cada persona en el país recibe uno. Aparece en todos los registros de hospitales y clínicas.
PIS/PASEP: El número de programa social de 11 dígitos. Aparece en cada registro de empleo.
Estándar de anonimización LGPD
El artículo 12 de la LGPD define los datos anónimos. El estándar: datos que "no pueden ser identificados, teniendo en cuenta los medios técnicos razonables en el momento del tratamiento." Es un estándar relativo a la tecnología. Los datos anonimizados hoy pueden no seguir siéndolo si los métodos de re-identificación mejoran.
La ANPD agrega más orientación. Eliminar identificadores directos como el CPF y el nombre no es suficiente. Los grupos de cuasi-identificadores pueden seguir permitiendo la re-identificación. El rango de edad, la ciudad, el sexo y el trabajo juntos pueden identificar a una persona. Estos deben manejarse mediante agrupación o adición de ruido.
Para datos de entrenamiento de IA, la ANPD exige una de tres condiciones. Primera: los datos cumplen el estándar del artículo 12. Segunda: cada persona dio su consentimiento explícito para el uso específico en el entrenamiento. Tercera: hay un propósito documentado válido.
Requisitos de idioma
El portugués brasileño difiere del portugués europeo. Las palabras, la ortografía y los formularios de documentos no son los mismos. Los modelos de NLP entrenados con texto portugués de Portugal alcanzan alrededor del 71 % de la precisión de los modelos entrenados con texto local. Esto surge de la evaluación técnica de la ANPD.
Diferencias clave para la detección de datos personales:
- Nombres: El uso de doble apellido y el orden de nombres difieren de Portugal.
- Direcciones: Los códigos CEP usan el formato XXXXX-XXX. Este formato es único del país. Necesita su propia lógica de detección.
- Términos de documentos: "Carteira de Identidade" aquí vs. "Bilhete de Identidade" en Portugal. Los nombres de agencias también difieren.
Lo que necesita el cumplimiento de la ANPD
Cuatro requisitos técnicos cubren el cumplimiento de la ANPD. La detección de CPF y CNPJ debe incluir validación de dígitos de control en dos pasos. La detección de RG debe cubrir todos los estados. La detección del número SUS y del Título de Eleitor también es necesaria. Los modelos de NLP deben entrenarse con texto en portugués local.
Vea nuestra guía sobre detección global de identificadores de datos personales y acciones de aplicación de la LGPD en 2024.