CNPD Portugal: uskladjenost s GDPR-om i LGPD-om za PII
Portugalni organ za zastitu privatnosti je CNPD. On primenjuje EU GDPR. Takodje povezuje EU i brazilski zakon o privatnosti. To pokriva 215 miliona govornika portugalskog.
U 2024. godini, CNPD je doneo 42 odluke o primeni propisa. Jedna je bila kazna od 2,5 miliona evra protiv portuguDske bolnice. Razlog: losa anonimizacija pacijentskih kartona. To je jedna od najvecih GDPR kazni u zdravstvenom sektoru u Juznoj Evropi.
GDPR i LGPD most
Dva zakona o privatnosti pokrivaju svet govornika portugalskog.
EU GDPR primenjuje se u Portugalu. Maksimalna kazna: 20 miliona evra ili 4% globalnog prihoda. CNPD ga primenjuje.
Brazilski LGPD — Zakon br. 13.709/2018 — primenjuje se u Brazilu. Maksimalna kazna: 2% brazilskog prihoda, do R$50 miliona po krsenju (oko 9 miliona evra). Brazilski ANPD ga primenjuje. Prve velike kazne dosle su 2024. godine.
Vise od 2.400 kompanija ima aktivne EU-Brazilske tokove prenosa podataka. EU nema sporazum o adekvatnosti s Brazilom. EU-Brazilski prenosi zahtevaju standardne ugovorne klauzule ili alat prema clanu 46.
Za vise detalja, pogledajte nas LGPD vodic za anonimizaciju.
Bolnicka kazna: tri pravila
Kazna od 2,5 miliona evra postavila je tri jasna pravila.
Politike nisu dovoljne. Bolnica je rekla da su njeni istrazivacki kartoni anonimizovani. CNPD revizori pronasli su NIF brojeve, datume rodjenja i kodove dijagnoza koji su i dalje prisutni. Te informacije mogle su da identifikuju pacijente. Pisana politika nije tehnicko resenje.
Izuzeci za istrazivanje i dalje zahtevaju pravu anonimizaciju. Bolnica se pozvala na GDPR clan 89 — izuzetak za istrazivanje. CNPD je rekao ne. Izuzetak i dalje zahteva istinske tehnicke zastite.
Kazne za zdravstvene kartone su vece. GDPR clan 9 tretira zdravstvene evidencije kao posebnu kategoriju. Kazna je to odrazila. Pogodjeno je 23.000 pacijenata. Bolnica nije imala validacijski proces.
Portugalni i brazilski PII
Portugalski je jedan jezik. Ali Portugal i Brazil imaju razlicite ID sisteme. "Podrska za portugaski jezik" u PII alatu nije dovoljna.
Portugalni identifikatori (EU):
- NIF — 9-cifreni poreski broj. Glavni gradjanskiID. Ima algoritam kontrolne cifre. VERIFIED
- NIS — 11-cifreni broj socijalnog osiguranja. VERIFIED
- Cartao de Cidadao — 8-cifrena gradjanskaa karta s slovnim sufiksom. VERIFIED
- Pasos — EU-standardni format. VERIFIED
Brazilski identifikatori (LGPD):
- CPF — 11-cifreni poreski broj. Dve kontrolne cifre. Drugacija metoda od NIF-a. VERIFIED
- CNPJ — 14-cifrena registracija kompanije. VERIFIED
- RG — ID koji izdaje drzava. Format se razlikuje po drzavi. Sao Paulo se razlikuje od Rio de Janeira. VERIFIED
- CNH — 11-cifrena vozacka dozvola. VERIFIED
- Titulo de Eleitor — 12-cifrena glasacka legitimacija. VERIFIED
- PIS/PASEP — 11-cifreni broj programa socijalne pomoci. Pojavljuje se u platnim evidencijama. VERIFIED
Alat koji pronadje NIF mozda propusti CPF. Isto vazi i obrnuto. Svaka zemlja zahteva sopstvenu logiku detekcije.
Pogledajte nas vodic za visejezicnu detekciju PII za vise informacija o prekogranicnim jezickim prazninama.
EU-Brazilska pravila prenosa
CNPD-ove smernice za 2024. pokrivale su EU-Brazilske prenose.
SCC zahtevaju validne Procene uticaja prenosa. SCC je glavni alat. Ali svaka zahteva TIA koja pokazuje da Brazil pruzaa jednaku zastitu. CNPD je utvrdio da mnoge TIA nisu prosle ovaj test.
Obrada zasnovana u EU uklanja rizik prenosa. Neke firme drzecve evidencije u EU sistemima. Nikakvi sirovi licni podaci ne idu u Brazil. Ovo funkcionise za oba zakona. GDPR pokriva obradu. LGPD pokriva evidencije brazilskih gradana. Ali ne dolazi do prekogranicnog prenosa.
Za organizacije na oba trzista: dvojna detekcija je minimum. NIF i NIS za Portugal. CPF, CNPJ, RG, CNH, Titulo de Eleitor i PIS/PASEP za Brazil. Oba zakona to zahtevaju kako bi se pokazale adekvatne tehnicke kontrole.