CNPD Portugal: AVG en LGPD PII-naleving
Portugals privacyautoriteit is de CNPD. Zij handhaaft de EU-AVG en verbindt daarnaast het Europese en Braziliaanse privacyrecht — relevant voor 215 miljoen Portugeessprekenden.
In 2024 nam de CNPD 42 handhavingsbeslissingen. Eén ervan betrof een boete van €2,5 miljoen voor een Portugese ziekenhuisinstelling wegens gebrekkige anonimisering van patiëntdossiers. Het is een van de grootste GDPR-boetes voor de gezondheidszorg in Zuid-Europa.
De brug tussen AVG en LGPD
Twee privacywetten dekken de Portugeessprekende wereld.
EU-AVG geldt in Portugal. Maximale boete: €20 miljoen of 4% van de mondiale omzet. De CNPD handhaaft dit.
Brazilië's LGPD — Wet nr. 13.709/2018 — geldt in Brazilië. Maximale boete: 2% van de Braziliaanse omzet, tot R$50 miljoen per overtreding (≈€9M). De ANPD handhaaft dit. De eerste grote boetes volgden in 2024.
Meer dan 2.400 bedrijven hebben actieve EU-Brazilië-overdrachtsstromen. De EU heeft geen adequaatheidsbesluit voor Brazilië. EU-Brazilië-overdrachten vereisen standaardcontractbepalingen of een Artikel 46-instrument.
Voor meer detail, zie onze LGPD-anonimiseringsgids.
De ziekenhuisboete: drie regels
De boete van €2,5 miljoen stelde drie duidelijke regels vast.
Beleid is niet voldoende. Het ziekenhuis beweerde dat zijn onderzoeksgegevens geanonimiseerd waren. CNPD-controleurs vonden nog steeds NIF-nummers, geboortedata en diagnosecodes. Dat kan patiënten heridentificeren. Een schriftelijk beleid is geen technische maatregel.
Onderzoeksuitzonderingen vereisen nog steeds echte anonimisering. Het ziekenhuis beriep zich op AVG Artikel 89 — de onderzoeksuitzondering. De CNPD wees dit af: de uitzondering vereist nog steeds echte technische waarborgen.
Boetes voor gezondheidsregistraties zijn hoger. AVG Artikel 9 behandelt gezondheidsregistraties als bijzondere categorie. De boete weerspiegelde dit. 23.000 patiënten waren getroffen en het ziekenhuis had geen validatieproces.
Portugese vs. Braziliaanse PII
Portugees is één taal. Maar Portugal en Brazilië hebben verschillende ID-systemen. "Portugeestalige ondersteuning" in een PII-tool volstaat niet.
Portugese identificatoren (EU):
- NIF — 9-cijferig fiscaal nummer. Voornaamste burger-ID. Heeft een controlecijferalgoritme.
- NIS — 11-cijferig socialezekerheidsummer.
- Cartão de Cidadão — 8-cijferig burgerpas met een letterachtervoegsel.
- Paspoort — EU-standaardformaat.
Braziliaanse identificatoren (LGPD):
- CPF — 11-cijferig belastingbetalernummer. Twee controlecijfers. Andere methode dan NIF.
- CNPJ — 14-cijferig bedrijfsregistratienummer.
- RG — Staatsuitgegeven ID. Formaat varieert per staat. São Paulo verschilt van Rio de Janeiro.
- CNH — 11-cijferig rijbewijsnummer.
- Título de Eleitor — 12-cijferig kiezersnummer.
- PIS/PASEP — 11-cijferig sociaalzekerheidsnummer. Te vinden in loonstroken.
Een tool die NIF vindt, mist mogelijk CPF en vice versa. Elk land vereist eigen detectielogica.
Zie onze meertalige PII-detectiegids voor meer over talenkloven.
EU-Brazilië-overdrachtsregels
De CNPD-richtsnoeren van 2024 behandelden EU-Brazilië-overdrachten.
SCB's vereisen geldige Transfer Impact Assessments. SCB's zijn het voornaamste instrument, maar elk vereist een TIA die aantoont dat Brazilië gelijkwaardige bescherming biedt. De CNPD vond dat veel TIA's deze toets niet doorstonden.
EU-gebaseerde verwerking elimineert overdrachtsrisico. Sommige bedrijven houden alle gegevens in EU-systemen. Er worden geen ruwe persoonsgegevens naar Brazilië gestuurd. Dit werkt voor beide wetten.
Voor organisaties in beide markten: dubbele detectie is het minimum — NIF en NIS voor Portugal, CPF, CNPJ, RG, CNH, Título de Eleitor en PIS/PASEP voor Brazilië.