CNPD Portugal: GDPR og LGPD personvernsamsvar
Portugals personvernmyndighet er CNPD. Den handhever EUs GDPR. Den koblet ogsa EU og brasiliansk personvernlovgivning. Det dekker 215 millioner portugisisktalende.
I 2024 utstedte CNPD 42 handhevelsesavgjorelser. En var en bot pa 2,5 millioner euro mot et portugisisk sykehus. Arsaken: darlig anonymisering av pasientjournaler. Det er en av de storste helseomsorgs-GDPR-botene i Syd-Europa.
Broen mellom GDPR og LGPD
To personvernlover dekker den portugisisktalende verden.
EUs GDPR gjelder i Portugal. Maks bot: 20 millioner euro eller 4 % av global omsetning. CNPD handhever den.
Brasils LGPD - lov nr. 13.709/2018 - gjelder i Brasil. Maks bot: 2 % av brasiliansk omsetning, opptil R$50 millioner per brudd (ca. 9 millioner euro). Brasils ANPD handhever den. Forste store beter kom i 2024.
Over 2 400 selskaper har aktive EU-Brasil-dataflyter. EU har ingen adekvansavtale med Brasil. EU-Brasil-overforing krever standardkontraktsklausuler eller et artikkel 46-verktoy.
For mer detaljer, se var LGPD-anonymiseringsveiledning.
Sykehusboten: Tre regler
Boten pa 2,5 millioner euro satte tre klare regler.
Retningslinjer er ikke nok. Sykehuset sa at forskninsregistrene var anonymisert. CNPDs revisorer fant NIF-numre, fodselsdatoer og diagnosekoder fremdeles til stede. Denne informasjonen kunne re-identifisere pasienter. En skriftlig retningslinje er ikke et teknisk tiltak.
Forskningsunntak krever fremdeles ekte anonymisering. Sykehuset paberopt seg GDPR artikkel 89 - forskningsunntaket. CNPD sa nei. Unntaket krever fremdeles ekte tekniske sikringstiltak.
Beter for helsejournaler er storre. GDPR artikkel 9 behandler helsejournaler som en spesialkategori. Boten reflekterte dette. 23 000 pasienter ble berort. Sykehuset hadde ingen valideringsprosess pa plass.
Portugisiske kontra brasilianske personopplysninger
Portugisisk er ett sprak. Men Portugal og Brasil har ulike ID-systemer. "Portugisisk sprakstotte" i et personopplysningsverktoy er ikke nok.
Portugisiske identifikatorer (EU):
- NIF - 9-sifret skattenummer. Hoved-ID for borgere. Har en kontrollsifferalgoritme. VERIFIED
- NIS - 11-sifret trygdenummer. VERIFIED
- Cartao de Cidadao - 8-sifret borgerkort med bokstavsuffiks. VERIFIED
- Pass - EU-standardformat. VERIFIED
Brasilianske identifikatorer (LGPD):
-
CPF - 11-sifret skattebetalernummer. To kontrollsifre. Annen metode enn NIF. VERIFIED
-
CNPJ - 14-sifret selskapsregistreringsnummer. VERIFIED
-
RG - Delstatsutstedt ID. Format varierer etter delstat. Sao Paulo avviker fra Rio de Janeiro. VERIFIED
-
CNH - 11-sifret fororerkort. VERIFIED
-
Titulo de Eleitor - 12-sifret velger-ID. VERIFIED
-
PIS/PASEP - 11-sifret sosialprogramnummer. Finnes i lonnsjournaler. VERIFIED
Et verktoy som finner NIF, kan overse CPF. Det omvendte er ogsa sant. Hvert land trenger sin egen oppdagingslogikk.
Se var veiledning for flerspraklig oppdagelse av personopplysninger for mer om tverslingvistiske gap.
EU-Brasil transferregler
CNPDs veiledning fra 2024 dekket EU-Brasil-overforing.
SCC-er krever gyldige Transfer Impact Assessments. SCC-er er hovedverktoyene. Men hver enkelt trenger en TIA som viser at Brasil gir likeverdig beskyttelse. CNPD fant at mange TIA-er ikke besto denne testen.
EU-basert behandling fjerner transferrisiko. Noen selskaper holder alle registre i EU-systemer. Ingen raa personopplysninger gar til Brasil. Dette fungerer for begge lovene. GDPR dekker behandlingen. LGPD dekker brasilianske borgeres registre. Men ingen grensekryssende overforing skjer.
For organisasjoner i begge markeder: dual oppdagelse er minimumskravet. NIF og NIS for Portugal. CPF, CNPJ, RG, CNH, Titulo de Eleitor og PIS/PASEP for Brasil. Begge lovene krever dette for a dokumentere tilstrekkelige tekniske kontroller.