CNPD Portugal: GDPR ja LGPD isikuandmete vastavus
Portugali privaatsusasutus on CNPD. See jõustab EL-i GDPR-i. Samuti ühendab see EL-i ja Brasiilia privaatsusseadused. See katab üle 215 miljoni portugali keele kõneleja.
- aastal tegi CNPD 42 jõustamisotsust. Üks neist oli 2,5 miljoni euro suurune trahv Portugali haigla vastu. Põhjus: kehv patsiendikirjete anonümiseerimine. See on üks suurimaid tervishoiu GDPR-trahve Lõuna-Euroopas.
GDPR-i ja LGPD sild
Portugalikeelset maailma katavad kaks privaatsusseadust.
EL-i GDPR kehtib Portugalis. Maksimaalne trahv: 20 miljonit eurot või 4% globaalsest tulust. CNPD jõustab seda.
Brasiilia LGPD — seadus nr 13 709/2018 — kehtib Brasiilias. Maksimaalne trahv: 2% Brasiilia tulust, kuni R$50 miljonit rikkumise kohta (umbes 9 miljonit eurot). Brasiilia ANPD jõustab seda. Esimesed suuremad trahvid saabusid 2024. aastal.
Üle 2400 ettevõtte omab aktiivseid EL-Brasiilia andmeedastusvooge. EL-il puudub Brasiiliaga piisavuse leping. EL-Brasiilia edastused vajavad standardseid lepingutingimusi või artikli 46 vahendit.
Lisateabe saamiseks vaadake meie LGPD anonümiseerimise juhendit.
Haiglatrahv: kolm reeglit
2,5 miljoni euro suurune trahv seadis kolm selget reeglit.
Poliitikad ei piisa. Haigla ütles, et tema uuringukirjed on anonümiseeritud. CNPD audiitorid leidsid, et NIF-numbrid, sünnikuupäevad ja diagnoosikoodid olid endiselt olemas. See teave võimaldab patsientide taasidentifitseerimist. Kirjalik poliitika ei ole tehniline lahendus.
Uuringute erandid nõuavad ikkagi tõelist anonümiseerimist. Haigla tugines GDPR artiklile 89 — uuringuekstsentsioonile. CNPD ütles ei. Erand nõuab ikkagi tegelikke tehnilisi kaitsemeetmeid.
Tervisefailide trahvid on suuremad. GDPR artikkel 9 käsitleb tervisefaile erilise kategooriana. Trahv peegeldas seda. Mõjutatud oli 23 000 patsienti. Haiglas puudus valideerimisprotsess.
Portugali versus Brasiilia isikuandmed
Portugali keel on üks keel. Kuid Portugali ja Brasiilial on erinevad ID-süsteemid. "Portugali keele tugi" isikuandmete tööriistas ei piisa.
Portugali tunnused (EL):
- NIF — 9-kohaline maksunumber. Peamine kodaniku tunnus. Omab kontrollnumbri algoritmi.
- NIS — 11-kohaline sotsiaalkindlustusnumber.
- Cartao de Cidadao — 8-kohaline kodanikukaart koos täheliitega.
- Pass — EL-i standardvorming.
Brasiilia tunnused (LGPD):
- CPF — 11-kohaline maksumaksja number. Kaks kontrollnumbrit. Erinev meetod kui NIF-il.
- CNPJ — 14-kohaline ettevõtte registreerimisnumber.
- RG — Riigi väljaantud ID. Vorming varieerub osariigiti. Sao Paulo erineb Rio de Janeirost.
- CNH — 11-kohaline juhiluba.
- Titulo de Eleitor — 12-kohaline valijatunnus.
- PIS/PASEP — 11-kohaline sotsiaalse programmi number. Leitav palgaarvestusfailidest.
Tööriist, mis leiab NIF-i, võib jätta CPF-i vahele. Sama kehtib vastupidi. Iga riik vajab oma tuvastuslogikat.
Lisateavet keeltevaheliste lünkade kohta leiate meie mitmekeelse isikuandmete tuvastamise juhendist.
EL-Brasiilia edastamise reeglid
CNPD 2024. aasta juhend käsitles EL-Brasiilia edastusi.
SCC-d vajavad kehtivaid andmeedastuse mõjuhinnanguid. SCC-d on peamine vahend. Kuid iga vajab TIA-d, mis näitab, et Brasiilia annab võrdväärse kaitse. CNPD leidis, et paljud TIA-d ei läbinud seda testi.
EL-põhine töötlemine kõrvaldab edastamise riski. Mõned ettevõtted hoiavad kõiki kirjeid EL-i süsteemides. Brasiiliasse ei lähe toorandmeid. See toimib mõlema seaduse puhul. GDPR katab töötlemise. LGPD katab Brasiilia kodanike kirjed. Kuid piiriülest edastust ei toimu.
Mõlemas turul tegutsevatele organisatsioonidele: kahekordne tuvastamine on miinimum. NIF ja NIS Portugali jaoks. CPF, CNPJ, RG, CNH, Titulo de Eleitor ja PIS/PASEP Brasiilia jaoks. Mõlemad seadused nõuavad seda piisavate tehniliste kontrollide tõendamiseks.