CNPD Portugal: GDPR- och LGPD PII-efterlevnad
Portugals integritetsmyndighet är CNPD. Den tillämpar EU GDPR. Den kopplar också samman EU:s och Brasiliens integritetslagar. Det täcker 215 miljoner portugisisktalande.
2024 utfärdade CNPD 42 tillsynsbeslut. Ett var en böter på €2,5 miljoner mot ett portugisiskt sjukhus. Anledningen: bristfällig anonymisering av patientjournaler. Det är en av de största GDPR-böterna inom sjukvården i södra Europa.
Bryggan mellan GDPR och LGPD
Två integritetslagar täcker den portugisisktalande världen.
EU GDPR gäller i Portugal. Maxböter: €20 miljoner eller 4 % av global omsättning. CNPD tillämpar den.
Brasiliens LGPD — lag nr 13 709/2018 — gäller i Brasilien. Maxböter: 2 % av brasiliansk omsättning, upp till R$50 miljoner per överträdelse (≈€9 miljoner). Brasiliens ANPD tillämpar den. De första stora böterna kom 2024.
Över 2 400 företag har aktiva EU–Brasilien-dataflöden. EU har inget adekvansavtal med Brasilien. EU–Brasilien-överföringar kräver standardavtalsklausuler eller ett artikel 46-verktyg.
För mer detaljer, se vår LGPD-anonymiseringsguide.
Sjukhusböterna: tre regler
Böterna på €2,5 miljoner fastställde tre tydliga regler.
Policyer räcker inte. Sjukhuset hävdade att dess forskningshandlingar var anonymiserade. CNPD:s revisorer fann NIF-nummer, födelsedatum och diagnoskoder fortfarande kvar. Den informationen kunde återidentifiera patienter. En skriftlig policy är inte en teknisk åtgärd.
Forskningsundantag kräver ändå verklig anonymisering. Sjukhuset åberopade GDPR artikel 89 — forskningsundantaget. CNPD sa nej. Undantaget kräver fortfarande genuina tekniska skyddsåtgärder.
Böter för hälsojournaler är högre. GDPR artikel 9 behandlar hälsojournaler som en särskild kategori. Böterna speglade detta. 23 000 patienter drabbades. Sjukhuset hade ingen valideringsprocess på plats.
Portugisiska vs. brasilianska PII
Portugisiska är ett språk. Men Portugal och Brasilien har olika ID-system. "Stöd för portugisiska" i ett PII-verktyg räcker inte.
Portugisiska identifierare (EU):
- NIF — 9-siffrigt skattenummer. Viktigaste medborgat-ID. Har en kontrollsifferalgoritm. VERIFIED
- NIS — 11-siffrigt socialförsäkringsnummer. VERIFIED
- Cartão de Cidadão — 8-siffrigt medborgarkortnummer med bokstavssuffix. VERIFIED
- Pass — EU-standardformat. VERIFIED
Brasilianska identifierare (LGPD):
- CPF — 11-siffrigt skattebetalarnummer. Två kontrollsiffror. Annan metod än NIF. VERIFIED
- CNPJ — 14-siffrigt företagsregistreringsnummer. VERIFIED
- RG — Statligt utfärdat ID. Formatet varierar per delstat. São Paulo skiljer sig från Rio de Janeiro. VERIFIED
- CNH — 11-siffrigt körkort. VERIFIED
- Título de Eleitor — 12-siffrigt väljar-ID. VERIFIED
- PIS/PASEP — 11-siffrigt socialprogram-nummer. Förekommer i löneposter. VERIFIED
Ett verktyg som hittar NIF kan missa CPF. Det omvända gäller också. Varje land behöver sin egen detekteringslogik.
Se vår guide om flerspråkig PII-detektering för mer om luckor mellan språk.
EU–Brasilien överföringsregler
CNPD:s vägledning 2024 täckte EU–Brasilien-överföringar.
Standardavtalsklausuler kräver giltiga Transfer Impact Assessments. Standardavtalsklausuler är det viktigaste verktyget. Men var och en behöver en TIA som visar att Brasilien ger likvärdigt skydd. CNPD fann att många TIA:er inte klarade detta test.
EU-baserad behandling eliminerar överföringsrisken. Vissa företag håller alla uppgifter i EU-system. Inga rå personuppgifter går till Brasilien. Det fungerar för båda lagarna. GDPR täcker behandlingen. LGPD täcker brasilianska medborgares uppgifter. Men ingen gränsöverskridande överföring sker.
För organisationer på båda marknaderna: dubbel detektering är miniminivån. NIF och NIS för Portugal. CPF, CNPJ, RG, CNH, Título de Eleitor och PIS/PASEP för Brasilien. Båda lagarna kräver detta för att visa tillräckliga tekniska kontroller.