ANPD ברזיל: אכיפת LGPD 2024
רשות הגנת הנתונים הברזילאית, ANPD, החלה להוציא קנסות ב-2024. אלה היו הקנסות הגדולים הראשונים תחת LGPD — חוק מס' 13,709/2018. לברזיל יש 215 מיליון אנשים המכוסים בחוק זה. יש לה גם 180 מיליון משתמשי אינטרנט — הכלכלה הדיגיטלית הגדולה ביותר באמריקה הלטינית. ציות ל-LGPD הוא כעת אמיתי ופעיל.
LGPD: חוק הפרטיות של ברזיל
LGPD מבוסס על GDPR אך קיימים בו הבדלים מרכזיים.
קנסות מקסימליים: עד 2% מהכנסה שנתית ברזילאית. התקרה היא R$50 מיליון (≈€9 מיליון) להפרה. GDPR משתמש בהכנסה גלובלית ב-4%. הבסיס הברזילאי-בלבד של LGPD פירושו תקרות נמוכות יותר לתאגידים רב-לאומיים. אך זה פירושו סיכון יחסי גבוה יותר לחברות ברזיליות-בלבד.
קטגוריות רגישות: רשימת LGPD קרובה ל-GDPR סעיף 9. היא מכסה גזע, דעות פוליטיות, דת, רשומות בריאות, נתונים גנטיים, ביומטריה ונטייה מינית. הנחיית ANPD לשנת 2024 הרחיבה כללים אלה תחת סעיף 11.
זכויות נושאי נתונים: אנשים יכולים לגשת, לתקן, למחוק ולהעביר את רשומותיהם. הם יכולים גם לשאול על שיתוף נתונים. LGPD מוסיף זכות אחת שאינה ב-GDPR: הזכות לדעת אם AI שימש בהחלטה לגביהם.
תחילת אכיפה: ANPD הוציאה סנקציות ראשונות ב-2024. יעדים עיקריים היו חברות תקשורת, חברות פיננסיות וספקי שירותי בריאות. תאגידים רב-לאומיים בברזיל הם המיקוד לשנת 2025.
לתצוגה רחבה יותר, ראו את מדריכנו על ציות PII גלובלי.
מזהי PII ברזילאיים
מערכת הזיהוי של ברזיל מורכבת. היא רפובליקה פדרלית. חלק מהמסמכים משתנים לפי מדינה.
CPF: מספר נישום בן 11 ספרות (פורמט: XXX.XXX.XXX-XX). יש לו שתי ספרות ביקורת המשתמשות בחשבון מודולרי. ה-CPF הוא הזיהוי הראשי של ברזיל לבנקאות, מס, בריאות וממשל. כל 215 מיליון הברזילאים מחזיקים באחד.
CNPJ: מספר חברה בן 14 ספרות (פורמט: XX.XXX.XXX/XXXX-XX). יש לו שתי ספרות ביקורת. הוא מופיע ברשומות עסקיות הקשורות לקציני חברה.
RG: תעודת זהות אזרחית שהונפקה על ידי המדינה. הפורמט משתנה לפי מדינה. ה-RG של סאו פאולו שונה מזה של ריו דה ז'נרו, וכך הלאה ב-26 מדינות ובמחוז הפדרלי. כלי שמכיר רק את הפורמט של מדינה אחת יחמיץ את רוב מספרי RG הברזילאיים.
CNH: מספר רישיון נהיגה בן 11 ספרות עם ספרת ביקורת אחת.
Título de Eleitor: תעודת בוחר בת 12 ספרות. היא מקודדת את אזור הרישום של הבוחר.
PIS/PASEP: מספר תוכנית חברתית בן 11 ספרות. הוא מופיע ברשומות שכר ותעסוקה.
מספר SUS: מספר מערכת בריאות בן 15 ספרות. כל ברזילאי מחזיק באחד. הוא מופיע בכל מסמכי הבריאות.
מדריך המזהים הגלובליים של PII שלנו מכסה CPF לצד SSN, Aadhaar ומזהים לאומיים אחרים.
LGPD לעומת GDPR: הבדלים מרכזיים
שתי המסגרות מגנות על רשומות אישיות, אך הן שונות בדרכים חשובות.
בסיסים משפטיים: ל-LGPD יש 10 בסיסים משפטיים. ל-GDPR יש 6. LGPD כולל "הגנה על אשראי" — בסיס הקשור לתרבות הפינטק של ברזיל. אין מקביל ב-GDPR לכך.
אין נאותות EU לברזיל: ה-EU לא נתנה לברזיל החלטת נאותות. העברות EU-ברזיל דורשות סעיפים חוזיים סטנדרטיים או כללי תאגיד מחייבים — אותו הדבר כמו עבור ארה"ב.
כללי הסכמה: הסכמת LGPD חייבת להיות ספציפית, מיודעת, חופשית וברורה — בדומה ל-GDPR. עבור רשומות רגישות, LGPD מאפשר הסכמה רחבה יותר מסטנדרט ה-GDPR למטרה-לפי-מטרה, כל עוד המטרה מוצהרת.
מיקוד אכיפת ANPD ב-2025
ANPD פרסמה את עדיפויותיה ל-2025 בהתבסס על תוצאות המקרים של 2024.
רשומות בריאות
סעיף 11 דורש הסכמה מפורשת — או בסיס משפטי ברור — לעיבוד רשומות בריאות. ANPD מצאה שאפליקציות ספקי בריאות רבים חסרים בסיס זה עבור מספרי SUS וקבצים רפואיים.
שירותים פיננסיים
מספרי CPF בתיקי הלוואות, דוחות אשראי ופוליסות ביטוח הם יעדים מובילים. ANPD בודקת האם תקופות שמירה תואמות מטרות מוצהרות.
ציות פלטפורמות טכנולוגיה
מדיה חברתית, מסחר אלקטרוני ופלטפורמות סטרימינג בברזיל הם מיקוד 2025. ANPD בוחנת פרופיילינג והעברות חוצי-גבולות.
מה לעשות עכשיו
הבסיס לציות ברזילאי הוא זיהוי CPF ו-CNPJ עם אימות ספרות ביקורת. הוסיפו זיהוי RG עם לוגיקת פורמט לפי מדינה. כללו תמיכה ב-CNH, Título de Eleitor ומספר SUS לכיסוי מלא. ראו את מדריך האנונימיזציה של LGPD לפרטים שלב-אחר-שלב.