CNPD פורטוגל: עמידה ב-GDPR ו-LGPD לנתוני PII
רשות הפרטיות של פורטוגל היא CNPD. היא אוכפת את GDPR האירופאי. היא גם מהווה גשר בין חוק הפרטיות האירופאי לחוק הפרטיות הברזילאי — וזה מכסה 215 מיליון דוברי פורטוגזית.
ב-2024 הוציאה CNPD 42 החלטות אכיפה. אחת מהן הייתה קנס של €2.5 מיליון על בית חולים פורטוגזי. הסיבה: אנונימיזציה לקויה של תיקי מטופלים. זהו אחד מקנסות ה-GDPR הגדולים ביותר בתחום הבריאות בדרום אירופה.
הגשר בין GDPR ל-LGPD
שני חוקי פרטיות מכסים את עולם הפורטוגזית.
GDPR האירופאי חל בפורטוגל. קנס מקסימלי: €20 מיליון או 4% מהמחזור הגלובלי. CNPD אוכפת אותו.
LGPD של ברזיל — חוק מס' 13,709/2018 — חל בברזיל. קנס מקסימלי: 2% מההכנסה הברזילאית, עד R$50 מיליון לכל הפרה (כ-€9 מיליון). ANPD הברזילאית אוכפת אותו. קנסות גדולים ראשונים הוצאו ב-2024.
למעלה מ-2,400 חברות מקיימות זרימות העברה פעילות EU–ברזיל. ל-EU אין הסכם הלימות עם ברזיל. העברות EU–ברזיל מצריכות SCCs או כלי סעיף 46.
לפרטים נוספים, ראו את מדריך האנונימיזציה של LGPD.
קנס בית החולים: שלושה כללים
הקנס של €2.5 מיליון קבע שלושה כללים ברורים.
מדיניות אינה מספיקה. בית החולים טען שרשומות המחקר שלו מאונונימות. מבקרי CNPD מצאו מספרי NIF, תאריכי לידה וקודי אבחון עדיין קיימים. מידע זה יכול לזהות מחדש מטופלים. מדיניות כתובה אינה תחליף לפתרון טכני.
פטורים למחקר עדיין דורשים אנונימיזציה אמיתית. בית החולים הצטט GDPR סעיף 89 — פטור המחקר. CNPD אמרה לא. הפטור עדיין מצריך אמצעי הגנה טכניים אמיתיים.
קנסות על תיקי בריאות גדולים יותר. GDPR סעיף 9 מתייחס לתיקי בריאות כקטגוריה מיוחדת. הקנס שיקף זאת. 23,000 מטופלים נפגעו. לבית החולים לא הייתה תהליך אימות קיים.
מזהי PII פורטוגזיים לעומת ברזילאיים
פורטוגזית היא שפה אחת. אך לפורטוגל ולברזיל יש מערכות זהות שונות. "תמיכה בשפה הפורטוגזית" בכלי PII אינה מספיקה.
מזהי פורטוגל (EU):
- NIF — מספר מס בן 9 ספרות. מזהה אזרח מרכזי. יש לו אלגוריתם ספרת ביקורת. מאומת.
- NIS — מספר ביטוח לאומי בן 11 ספרות. מאומת.
- Cartão de Cidadão — תעודת אזרח בת 8 ספרות עם סיומת אות. מאומת.
- דרכון — פורמט EU סטנדרטי. מאומת.
מזהי ברזיל (LGPD):
- CPF — מספר משלם מסים בן 11 ספרות. שתי ספרות ביקורת. שיטה שונה מ-NIF. מאומת.
- CNPJ — רישום חברה בן 14 ספרות. מאומת.
- RG — תעודת זהות מוצאת על ידי המדינה. הפורמט משתנה לפי מדינה. סאו פאולו שונה מריו דה ז'ניירו. מאומת.
- CNH — רישיון נהיגה בן 11 ספרות. מאומת.
- Título de Eleitor — תעודת בוחר בת 12 ספרות. מאומת.
- PIS/PASEP — מספר תוכנית חברתית בן 11 ספרות. מופיע בתיקי שכר. מאומת.
כלי שמוצא NIF עשוי להחמיץ CPF. ההיפך גם נכון. כל מדינה דורשת לוגיקת זיהוי משלה.
ראו את מדריך זיהוי PII רב-לשוני לפרטים נוספים על פערים חוצי שפות.
כללי העברה EU–ברזיל
הנחיית CNPD לשנת 2024 כיסתה העברות EU–ברזיל.
SCCs מצריכות הערכות השפעת העברה תקפות. SCCs הן הכלי המרכזי. אך כל אחת מצריכה TIA המראה שברזיל מספקת הגנה שוות ערך. CNPD מצאה שרבות מה-TIAs לא עמדו במבחן.
עיבוד מבוסס EU מסלק סיכון העברה. חלק מהחברות שומרות את כל הרשומות במערכות EU. שום מידע אישי גולמי אינו עובר לברזיל. גישה זו פועלת עבור שני החוקים. GDPR מכסה את העיבוד. LGPD מכסה רשומות האזרחים הברזילאים. אך לא מתרחשת העברה חוצת גבולות.
לארגונים הפעילים בשני השווקים: זיהוי כפול הוא המינימום. NIF ו-NIS לפורטוגל. CPF, CNPJ, RG, CNH, Título de Eleitor ו-PIS/PASEP לברזיל. שני החוקים דורשים זאת להוכחת בקרות טכניות נאותות.