CNPD Portugal: Pematuhan PII GDPR dan LGPD
Pihak berkuasa privasi Portugal ialah CNPD. Ia menguatkuasakan GDPR EU. Ia juga menghubungkan undang-undang privasi EU dan Brazil. Itu merangkumi 215 juta penutur bahasa Portugis.
Pada 2024, CNPD mengeluarkan 42 keputusan penguatkuasaan. Salah satunya ialah denda €2.5 juta terhadap sebuah hospital Portugal. Sebabnya: anonymisasi rekod pesakit yang lemah. Ia adalah salah satu denda GDPR penjagaan kesihatan terbesar di Eropah Selatan.
Jambatan GDPR dan LGPD
Dua undang-undang privasi merangkumi dunia berbahasa Portugis.
GDPR EU terpakai di Portugal. Denda maksimum: €20 juta atau 4% daripada hasil global. CNPD menguatkuasakan ia.
LGPD Brazil — Undang-undang No. 13,709/2018 — terpakai di Brazil. Denda maksimum: 2% daripada hasil Brazil, sehingga R$50 juta setiap pelanggaran (lebih kurang €9 juta). ANPD Brazil menguatkuasakan ia. Denda utama pertama keluar pada 2024.
Lebih 2,400 syarikat mempunyai aliran pemindahan EU-Brazil yang aktif. EU tidak mempunyai perjanjian kecukupan dengan Brazil. Pemindahan EU-Brazil memerlukan Klausa Kontrak Standard atau alat Artikel 46.
Untuk maklumat lanjut, lihat panduan anonymisasi LGPD kami.
Denda Hospital: Tiga Peraturan
Denda €2.5 juta menetapkan tiga peraturan yang jelas.
Polisi tidak mencukupi. Hospital menyatakan rekod penyelidikannya telah dianonimkan. Juruaudit CNPD mendapati nombor NIF, tarikh lahir, dan kod diagnosis masih ada. Maklumat tersebut boleh mengenal semula pesakit. Polisi bertulis bukan penyelesaian teknikal.
Pengecualian penyelidikan masih memerlukan anonymisasi sebenar. Hospital memetik Artikel 89 GDPR — pengecualian penyelidikan. CNPD berkata tidak. Pengecualian masih memerlukan perlindungan teknikal yang tulen.
Denda rekod kesihatan adalah lebih besar. Artikel 9 GDPR menganggap rekod kesihatan sebagai kategori khas. Denda mencerminkan ini. 23,000 pesakit terjejas. Hospital tidak mempunyai proses pengesahan yang ada.
PII Portugis vs. Brazil
Bahasa Portugis adalah satu bahasa. Tetapi Portugal dan Brazil mempunyai sistem ID yang berbeza. "Sokongan bahasa Portugis" dalam alat PII tidak mencukupi.
Pengecam Portugal (EU):
- NIF — nombor cukai 9 digit. ID warganegara utama. Mempunyai algoritma digit semak. VERIFIED
- NIS — nombor keselamatan sosial 11 digit. VERIFIED
- Cartao de Cidadao — kad warganegara 8 digit dengan akhiran huruf. VERIFIED
- Pasport — format standard EU. VERIFIED
Pengecam Brazil (LGPD):
- CPF — nombor pembayar cukai 11 digit. Dua digit semak. Kaedah berbeza daripada NIF. VERIFIED
- CNPJ — pendaftaran syarikat 14 digit. VERIFIED
- RG — ID yang dikeluarkan negeri. Format berbeza mengikut negeri. Sao Paulo berbeza daripada Rio de Janeiro. VERIFIED
- CNH — lesen memandu 11 digit. VERIFIED
- Titulo de Eleitor — ID pengundi 12 digit. VERIFIED
- PIS/PASEP — nombor program sosial 11 digit. Ditemui dalam rekod gaji. VERIFIED
Alat yang mencari NIF mungkin terlepas CPF. Sebaliknya juga benar. Setiap negara memerlukan logik pengesanan tersendiri.
Lihat panduan pengesanan PII pelbagai bahasa kami untuk maklumat lanjut mengenai jurang rentas bahasa.
Peraturan Pemindahan EU-Brazil
Panduan 2024 CNPD merangkumi pemindahan EU-Brazil.
SCC memerlukan Penilaian Impak Pemindahan yang sah. SCC adalah alat utama. Tetapi setiap satu memerlukan TIA yang menunjukkan Brazil memberikan perlindungan yang setara. CNPD mendapati banyak TIA tidak lulus ujian ini.
Pemprosesan berasaskan EU menghapuskan risiko pemindahan. Sesetengah syarikat menyimpan semua rekod dalam sistem EU. Tiada maklumat peribadi mentah yang pergi ke Brazil. Ini berfungsi untuk kedua-dua undang-undang. GDPR merangkumi pemprosesan. LGPD merangkumi rekod warganegara Brazil. Tetapi tiada pemindahan rentas sempadan berlaku.
Untuk organisasi dalam kedua-dua pasaran: pengesanan dwi adalah minimum. NIF dan NIS untuk Portugal. CPF, CNPJ, RG, CNH, Titulo de Eleitor, dan PIS/PASEP untuk Brazil. Kedua-dua undang-undang memerlukan ini untuk menunjukkan kawalan teknikal yang mencukupi.