LGPD Brazília: CPF, CNPJ a ochrana udajov
Brazilsky zákon Lei Geral de Proteção de Dados (LGPD) pokryva 215 miliónov ludí. Je to tretí najväcsí zákon o ochrane udajov na svete podla poctu obyvatelstva. Pokryva viac ludí ako Nemecko, Francúzsko a Velká Británia dohromady. Autoridade Nacional de Proteção de Dados (ANPD) vydal prve velké pokuty v roku 2024. Prechod na nové pravidlá po prijatí LGPD v roku 2020 skoncil.
Existuje aj technickú vyzvu. Dokumenty LGPD sú v brazilskej portugaltine. Národné ID v Brazílii sa lísia od tych v Portugalsku. Lísia sa aj od ID akejkolvek inej krajiny.
Preco sú brazilské osobné udaje iné
Brazilské federálne a statne systémy ID sa vyvíjali oddelene od europskych systémov digitálnej identity. To vytvorilo jedinecnú sadu identifikátorov. Väcsina NLP nástrojov je trénovaná na anglickych alebo europskych údajoch. Nedokázu detekovát miestne ID.
CPF (Cadastro de Pessoas Físicas): 11-miestné cislo platcu dane. Formát: XXX.XXX.XXX-XX. Má dve kontrolné cifry. Vzorec pouzíva dva oddelené matematické kroky. Oba musia souhlasit, aby bolo CPF platné.
Medzera v detekcii je velká. Nástroje NLP trénované na anglictine detegujú CPF iba so 45% presnostou (ANPD, 2024). Dva dôvody to vysvetlujú. Po prvé, nástroje, ktoré zodpovedajú 11-miestnym cislam bez logiky kontrolnej cifry v dvoch krokoch, zamieñajú platné cisla CPF s náhodnymi sekvenciami. Po druhé, CPF casto nemá formát XXX.XXX.XXX-XX. Stáva sa to pri výstupe OCR a textovych formulároch.
CNPJ (Cadastro Nacional da Pessoa Jurídica): 14-miestné firemné ID cislo. Formát: XX.XXX.XXX/XXXX-XX. Má tiez dve kontrolné cifry. Vzorec je podobny ako pri CPF, ale nie rovnaký.
RG (Registro Geral): Statny preukaz totoznsti. Formát sa lísi podla statu. São Paulo pouzíva 2 písmena a 5-9 cifier. Rio de Janeiro pouzíva 7-8 cifier s pomlckou. Minas Gerais pouzíva 7-9 cifier. Iné staty majú vlastné formáty. Nástroj, ktorý pozná iba RG jedného statu, prevazne zlyháva.
CNH (Carteira Nacional de Habilitação): 11-miestné cislo vodicskeho preukazu. Má jednu kontrolnú cifru. Formát zahrnuje kód obvodu.
Título de Eleitor: 12-miestné cislo volicha. Má tri casti: 8-miestny identifikacny kód, 2-miestny kód statu a 2 kontrolné cifry.
Cislo SUS (Cartão SUS): 15-miestné ID verejného zdravia. Kazdy v krajine ho má. Objavuje sa vo vsetkych nemocnicnych a klinickych zaznamoch.
PIS/PASEP: 11-miestné cislo sociálneho programu. Objavuje sa v kazdom pracovnom zázname.
Standard anonymizácie LGPD
Clanek 12 LGPD definuje anonymné udaje. Standard: udaje "nemôzu byt identifikované s prihliadnutím na primerané technické prostriedky v case spracovania". Je to standard relatívny k technológii. Udaje, ktoré su dnes anonymné, môzu byt zajtra znovu identifikovatelné, ked sa zdokonalí opätovná identifikácia.
ANPD prináša dalšie usmernenie. Odstránenie priamych identifikátorov, ako sú CPF a meno, nestaci. Skupiny kvazi-identifikátorov môzu stale umoznit opätovnú identifikáciu. Vekové rozmedzie, mesto, pohlavie a zamestnanie môzu dohromady identifikovat osobu. Tieto musia byt osetrené zoskupovaním alebo pridaním suma.
Pre AI trenovacie údaje ANPD vyzaduje jednu z troch podmienok:
- Úplná anonymizácia — Priame identifikátory odstránené a kvazi-identifikátory osetrené na k-anonymitu.
- Suhlas — Dotknutá osoba dala suhlas s pouzitím svojich udajov pre trenovanie AI.
- Legitimny záujem — Zriedkavo uplatnitelny pre AI trenovanie bez jasnej technickej zdôvodnenia.
Brazilská technická suladnost s LGPD
Pre brazilské záznamy musí vás nástroj:
- Implementovat CPF s dvojkrokovou kontrolnou logiku. Jedna kontrolná cifra nestaci — CPF pouzíva dve oddelené vypocty.
- Pokryt CNPJ odlisnou validaciou od CPF. Vzorce sú podobné, nie totoznné.
- Pokryt RG pre hlavné brazilské staty — minimálne São Paulo, Rio de Janeiro a Minas Gerais.
- Detekovát vsetky identifikátory v rôznych formátoch. CPF sa vyskytuje s a bez formátovania.
- Pouzívat portugalskyNER. Nie prekladový model — model trénovaný priamo na brazilskej portugaltine.
- Auditovatelné záznamy anonymizácie. ANPD vyzaduje dokladovatelnost spracovania.
ANPD vydal prvé velké pokuty v roku 2024. Firmy, ktoré nedokázu preukázat brazilskú detekciu identifikátorov a suladnú anonymizáciu, su vystavené priamemu presadzovaciemu riziku.
Pozrite si, ako anonym.legal spracúva brazilské identifikátory: /entities.