CNPD Portugal: Kepatuhan PII GDPR dan LGPD
Otoritas privasi Portugal adalah CNPD. Lembaga ini menegakkan GDPR EU. Ia juga menghubungkan hukum privasi EU dan Brasil. Ini mencakup 215 juta penutur bahasa Portugis.
Pada 2024, CNPD mengeluarkan 42 keputusan penegakan. Salah satunya adalah denda €2,5 juta terhadap sebuah rumah sakit Portugal. Alasannya: anonimisasi rekam pasien yang buruk. Ini adalah salah satu denda GDPR layanan kesehatan terbesar di Eropa Selatan.
Jembatan GDPR dan LGPD
Dua undang-undang privasi mencakup dunia berbahasa Portugis.
EU GDPR berlaku di Portugal. Denda maksimum: €20 juta atau 4% dari pendapatan global. CNPD menegakkannya.
LGPD Brasil — Undang-Undang No. 13.709/2018 — berlaku di Brasil. Denda maksimum: 2% dari pendapatan Brasil, hingga R$50 juta per pelanggaran (≈€9 juta). ANPD Brasil menegakkannya. Denda besar pertama datang pada 2024.
Lebih dari 2.400 perusahaan memiliki aliran transfer EU–Brasil yang aktif. EU tidak memiliki perjanjian kecukupan dengan Brasil. Transfer EU–Brasil memerlukan Klausul Kontraktual Standar atau alat Pasal 46.
Untuk detail lebih lanjut, lihat panduan anonimisasi LGPD kami.
Denda Rumah Sakit: Tiga Aturan
Denda €2,5 juta menetapkan tiga aturan yang jelas.
Kebijakan saja tidak cukup. Rumah sakit mengatakan rekam penelitiannya dianonimkan. Auditor CNPD menemukan nomor NIF, tanggal lahir, dan kode diagnosis masih ada. Informasi tersebut dapat mengidentifikasi ulang pasien. Kebijakan tertulis bukan perbaikan teknis.
Pengecualian penelitian masih membutuhkan anonimisasi nyata. Rumah sakit mengutip GDPR Pasal 89 — pengecualian penelitian. CNPD mengatakan tidak. Pengecualian tersebut masih memerlukan pengamanan teknis yang tulus.
Denda rekam kesehatan lebih besar. GDPR Pasal 9 memperlakukan rekam kesehatan sebagai kategori khusus. Denda mencerminkan hal ini. 23.000 pasien terdampak. Rumah sakit tidak memiliki proses validasi.
PII Portugis vs. Brasil
Bahasa Portugis adalah satu bahasa. Namun Portugal dan Brasil memiliki sistem ID yang berbeda. "Dukungan bahasa Portugis" dalam alat PII tidak cukup.
Identifier Portugal (EU):
- NIF — Nomor pajak 9 digit. ID warga utama. Memiliki algoritma digit pemeriksaan. TERVERIFIKASI
- NIS — Nomor jaminan sosial 11 digit. TERVERIFIKASI
- Cartão de Cidadão — Kartu warga 8 digit dengan sufiks huruf. TERVERIFIKASI
- Paspor — Format standar EU. TERVERIFIKASI
Identifier Brasil (LGPD):
- CPF — Nomor pembayar pajak 11 digit. Dua digit pemeriksaan. Metode berbeda dari NIF. TERVERIFIKASI
- CNPJ — Registrasi perusahaan 14 digit. TERVERIFIKASI
- RG — ID yang diterbitkan negara bagian. Format bervariasi per negara bagian. São Paulo berbeda dari Rio de Janeiro. TERVERIFIKASI
- CNH — SIM 11 digit. TERVERIFIKASI
- Título de Eleitor — ID pemilih 12 digit. TERVERIFIKASI
- PIS/PASEP — Nomor program sosial 11 digit. Ditemukan dalam rekam penggajian. TERVERIFIKASI
Alat yang menemukan NIF mungkin melewatkan CPF. Demikian pula sebaliknya. Setiap negara memerlukan logika deteksinya sendiri.
Lihat panduan deteksi PII multibahasa kami untuk informasi lebih lanjut tentang kesenjangan lintas bahasa.
Aturan Transfer EU–Brasil
Panduan CNPD 2024 mencakup transfer EU–Brasil.
SCC memerlukan Penilaian Dampak Transfer yang valid. SCC adalah alat utama. Namun setiap satu memerlukan TIA yang menunjukkan Brasil memberikan perlindungan yang setara. CNPD menemukan banyak TIA tidak lulus ujian ini.
Pemrosesan berbasis EU menghilangkan risiko transfer. Beberapa perusahaan menyimpan semua rekam dalam sistem EU. Tidak ada informasi pribadi mentah yang pergi ke Brasil. Ini bekerja untuk kedua undang-undang. GDPR mencakup pemrosesan. LGPD mencakup rekam warga Brasil. Tetapi tidak ada transfer lintas batas yang terjadi.
Untuk organisasi di kedua pasar: deteksi ganda adalah minimum. NIF dan NIS untuk Portugal. CPF, CNPJ, RG, CNH, Título de Eleitor, dan PIS/PASEP untuk Brasil. Kedua undang-undang mengharuskan ini untuk menunjukkan kontrol teknis yang memadai.