CNPD Portugálsko: sulad PII s GDPR a LGPD
Portugalsky organ na ochranu sukromia je CNPD. Presadzuje GDPR EU. Taktiez spája europské a brazilske pravo v oblasti ochrany sukromia. To pokryva 215 milionov hovoriacich portugalscy.
V roku 2024 CNPD vydal 42 vymozitelnych rozhodnutí. Jedno bola pokuta 2,5 miliona eur pre portugalskeho nemocnicneho pacienta. Dovod: nedostatocna anonymizacia pacientskych zaznamov. Je to jedna z najvyssich pokut GDPR v oblasti zdravotnictva v juznej Europe.
Most medzi GDPR a LGPD
Svet hovoriacich po portugalsky sa riadi dvoma zakonmi o ochrane sukromia.
GDPR EU platí v Portugálsku. Maximálna pokuta: 20 milionov eur alebo 4 % globálnych príjmov. Presadzuje ho CNPD.
Brazilsky LGPD -- zakon c. 13 709/2018 -- platí v Brazílii. Maximálna pokuta: 2 % brazilskych príjmov, az do výsky R$50 miliónov za porušenie (priblizne 9 mil. EUR). Presadzuje ho brazilska ANPD. Prvé významné pokuty prishli v roku 2024.
Viac ako 2 400 spolocností má aktivne toky prenosu dat medzi EU a Brazíliou. EU nema dohodu o primeranosti s Brazíliou. Prenosy EU-Brazília potrebuju Standardne zmluvné dolozy alebo nastroj podla Clanku 46.
Viac podrobnosti nájdete v nasej príručke o anonymizácii LGPD.
Pokuta pre nemocnicu: tri pravidlá
Pokuta 2,5 miliona eur stanovila tri jasné pravidlá.
Politiky nestacia. Nemocnica tvrdila, ze jej výskumné zaznamy su anonymizované. Audítori CNPD zistili, ze cisla NIF, dátumy narodenia a diagnózy kódy su stale prítomné. Tieto informácie by mohli umoznit re-identifikaciu pacientov. Písomna politika nie je technickym riesením.
Výnimky pre výskum stale vyzaduju skutocnú anonymizáciu. Nemocnica citovala GDPR Clanek 89 -- výnimku pre výskum. CNPD to odmietol. Výnimka stale vyzaduje skutocné technicke záruky.
Pokuty za zdravotné zaznamy su vyššie. GDPR Clanek 9 zaraďuje zdravotné zaznamy ako osobitnu kategoriu. Pokuta to odzrkadlovala. Postihnutych bolo 23 000 pacientov. Nemocnica nemala žiadny validacny proces.
Identifikatory: Portugálsko vs. Brazília
Portugalština je jeden jazyk. Ale Portugálsko a Brazília maju rozdielné systémy identifikátorov. Podpora jazyka v nastroji PII nepostacuje.
Identifikatory Portugálska (EU):
- NIF -- 9-miestne danové cislo. Hlavný identifikator obcana. Má algoritmus kontrolnej cifry. OVERENÉ
- NIS -- 11-miestne cislo socialneho zabezpecenia. OVERENÉ
- Cartao de Cidadao -- 8-miestny obciansky preukaz s písomnou príponou. OVERENÉ
- Pas -- Formát podla normy EU. OVERENÉ
Identifikatory Brazílie (LGPD):
- CPF -- 11-miestne danové cislo. Dve kontrolné cifry. Iná metóda ako NIF. OVERENÉ
- CNPJ -- 14-miestna registrácia spolocnosti. OVERENÉ
- RG -- Identifikátor vydaný stavom. Formát sa lísi podla statu. São Paulo sa lísi od Rio de Janeira. OVERENÉ
- CNH -- 11-miestny vodicky preukaz. OVERENÉ
- Titulo de Eleitor -- 12-miestny volebny preukaz. OVERENÉ
- PIS/PASEP -- 11-miestne cislo socialného programu. Nachadza sa v mzdovych suboroch. OVERENÉ
Nástroj, ktory najde NIF, môže prehliadnuť CPF. Platí to aj naopak. Každá krajina potrebuje vlastnú detekčnú logiku.
Viac o medzijazykových medzerách nájdete v nasej príručke o viacjazyčnej detekcii PII.
Pravidlá prenosov EU-Brazília
Usmernenie CNPD z roku 2024 sa zaberalo prenosmi EU-Brazília.
SCC potrebujú platné Posúdenia vplyvu prenosu. SCC sú hlavným nástrojom. Ale každá zmluva potrebuje TIA preukazujúcu, ze Brazília poskytuje rovnocennú ochranu. CNPD zistil, ze mnohé TIA touto skúškou neprešli.
Spracovanie v EU odstraňuje riziko prenosu. Niektoré firmy uchovávajú všetky záznamy v systémoch EU. Žiadne osobné informácie neidú do Brazílie. To funguje pre oba zákony. GDPR pokrýva spracovanie. LGPD pokrýva záznamy brazílskych občanov. Žiadny cezhraničný prenos však nenastáva.
Pre organizácie pôsobiace na oboch trhoch: duálna detekcia je minimom. NIF a NIS pre Portugálsko. CPF, CNPJ, RG, CNH, Título de Eleitor a PIS/PASEP pre Brazíliu. Oba zákony to vyzadujú pre preukázanie primeraných technických kontrol.