포르투갈 CNPD: GDPR과 LGPD 개인정보 규정 준수
포르투갈의 개인정보 감독기관은 CNPD입니다. EU GDPR을 집행하며, EU와 브라질의 개인정보 법제를 연결하는 역할도 합니다. 이는 2억 1,500만 명의 포르투갈어 사용자를 포괄합니다.
2024년 CNPD는 42건의 집행 결정을 내렸습니다. 그 중 하나는 포르투갈 병원에 대한 €250만 제재였습니다. 사유는 환자 기록 익명화 미흡이었으며, 이는 남유럽에서 가장 큰 의료 분야 GDPR 제재 중 하나입니다.
GDPR과 LGPD의 연결
포르투갈어권 세계를 두 가지 개인정보 법률이 포괄합니다.
EU GDPR은 포르투갈에 적용됩니다. 최대 제재: €2,000만 또는 전 세계 매출의 4%. CNPD가 집행합니다.
브라질 LGPD — 법률 제13,709/2018호 — 는 브라질에 적용됩니다. 최대 제재: 브라질 내 매출의 2%, 위반 건당 최대 R$5,000만 (≈€900만). 브라질 ANPD가 집행합니다. 최초 주요 제재는 2024년에 시작되었습니다.
2,400개 이상의 기업이 EU-브라질 데이터 이전을 활발히 진행 중입니다. EU는 브라질에 대한 적정성 결정을 내리지 않았습니다. EU-브라질 데이터 이전에는 표준계약조항(SCC) 또는 GDPR 제46조 수단이 필요합니다.
자세한 내용은 LGPD 익명화 가이드를 참고하세요.
병원 제재가 제시한 세 가지 원칙
€250만 제재는 세 가지 명확한 원칙을 세웠습니다.
정책만으로는 부족합니다. 병원 측은 연구 기록이 익명화되었다고 주장했습니다. CNPD 감사인들은 NIF 번호, 생년월일, 진단 코드가 여전히 남아 있음을 발견했습니다. 해당 정보는 환자를 재식별하는 데 사용될 수 있었습니다. 서면 정책은 기술적 조치가 아닙니다.
연구 예외에도 실질적인 익명화가 필요합니다. 병원은 GDPR 제89조의 연구 예외 조항을 주장했습니다. CNPD는 이를 인정하지 않았습니다. 예외 조항도 실질적인 기술적 안전장치를 요구합니다.
의료 기록 제재는 더 무겁습니다. GDPR 제9조는 의료 기록을 특별 범주로 분류합니다. 제재 규모는 이를 반영했습니다. 2만 3,000명의 환자가 영향을 받았으며, 병원에는 검증 프로세스가 없었습니다.
포르투갈과 브라질의 개인정보 식별자 비교
포르투갈어는 하나의 언어지만, 포르투갈과 브라질은 서로 다른 신분증 체계를 가지고 있습니다. 개인정보 도구의 '포르투갈어 지원'만으로는 충분하지 않습니다.
포르투갈 식별자 (EU):
- NIF — 9자리 세금 번호. 주요 시민 신분증. 검사 자릿수 알고리즘 포함. 검증됨
- NIS — 11자리 사회보장 번호. 검증됨
- 시민 카드 (Cartão de Cidadão) — 8자리 숫자와 알파벳 접미사 조합. 검증됨
- 여권 — EU 표준 형식. 검증됨
브라질 식별자 (LGPD):
- CPF — 11자리 납세자 번호. 검사 자릿수 2개, NIF와 다른 방식. 검증됨
- CNPJ — 14자리 법인 등록 번호. 검증됨
- RG — 주(州) 발급 신분증. 형식은 주마다 다름. 상파울루와 리우데자네이루가 상이함. 검증됨
- CNH — 11자리 운전면허 번호. 검증됨
- 선거인 명부 번호 (Título de Eleitor) — 12자리 유권자 ID. 검증됨
- PIS/PASEP — 11자리 사회보장 프로그램 번호. 급여 기록에 등장. 검증됨
NIF를 탐지하는 도구가 CPF를 놓칠 수 있으며, 그 반대도 마찬가지입니다. 각 국가에는 별도의 탐지 로직이 필요합니다.
언어 간 탐지 격차에 대해서는 다국어 개인정보 탐지 가이드를 참고하세요.
EU-브라질 데이터 이전 규정
CNPD의 2024년 지침은 EU-브라질 데이터 이전을 다루었습니다.
SCC에는 유효한 이전 영향 평가가 필요합니다. SCC가 주된 수단입니다. 그러나 각 SCC마다 브라질이 동등한 보호를 제공하는지 확인하는 TIA가 필요합니다. CNPD는 다수의 TIA가 이 기준을 통과하지 못했다고 판단했습니다.
EU 내 처리는 이전 위험을 없애줍니다. 일부 기업은 모든 기록을 EU 시스템에서 보관합니다. 개인 원본 정보가 브라질로 이전되지 않습니다. 이 방식은 두 법률 모두에서 유효합니다. GDPR은 처리를, LGPD는 브라질 시민 기록을 각각 규율하지만, 국경 간 이전 자체가 발생하지 않습니다.
두 시장에서 운영하는 조직은 최소한 이중 탐지가 필요합니다. 포르투갈용 NIF와 NIS, 브라질용 CPF, CNPJ, RG, CNH, 선거인 번호, PIS/PASEP. 두 법률 모두 적절한 기술적 통제를 입증하기 위해 이를 요구합니다.