ANPD Brazil: Pagpapatupad ng LGPD 2024
Ang regulator ng privacy ng Brazil, ang ANPD, ay nagsimulang maglabas ng mga multa noong 2024. Ito ang mga unang pangunahing multa sa ilalim ng LGPD — Batas Blg. 13,709/2018. Ang Brazil ay may 215 milyong tao na saklaw ng batas na ito. Mayroon din itong 180 milyong gumagamit ng internet — ang pinakamalaking digital na ekonomiya sa Latin America. Ang pagsunod sa LGPD ay tunay at aktibo na ngayon.
LGPD: Batas sa Privacy ng Brazil
Ang LGPD ay batay sa GDPR ngunit may mga pangunahing pagkakaiba.
Pinakamataas na multa: Hanggang 2% ng taunang kita sa Brazil. Ang kisame ay R$50 milyon (≈€9M) bawat paglabag. Gumagamit ang GDPR ng pandaigdigang kita sa 4%. Ang batayan na Brazil lamang ng LGPD ay nangangahulugang mas mababang mga kisame para sa mga multinasyonal. Ngunit nangangahulugang mas mataas na relatibong panganib para sa mga kumpanyang Brazil lamang.
Mga sensitibong kategorya: Ang listahan ng LGPD ay malapit sa GDPR Artikulo 9. Sumasaklaw ito sa lahi, mga pampulitikang pananaw, relihiyon, mga rekord ng kalusugan, genetic na datos, biometric, at sekswal na oryentasyon. Pinalawig ng gabay ng ANPD para sa 2024 ang mga panuntunang ito sa ilalim ng Artikulo 11.
Mga karapatan ng data subject: Ang mga tao ay maaaring ma-access, itama, burahin, at ilipat ang kanilang mga rekord. Maaari rin silang magtanong tungkol sa pagbabahagi ng datos. Nagdaragdag ang LGPD ng isang karapatang wala sa GDPR: ang karapatang malaman kung ang AI ay ginamit sa isang desisyon tungkol sa kanila.
Simula ng pagpapatupad: Naglabas ang ANPD ng mga unang parusa noong 2024. Ang mga pangunahing target ay telekomunikasyon, mga kumpanyang pinansyal, at mga provider ng kalusugan. Ang mga multinasyonal sa Brazil ang pokus para sa 2025.
Para sa mas malawak na pananaw, tingnan ang aming gabay sa global na pagsunod sa PII.
Mga Identifier ng PII ng Brazil
Ang sistema ng ID ng Brazil ay kumplikado. Ito ay isang pederal na republika. Ang ilang dokumento ay nag-iiba-iba ayon sa estado.
CPF: Isang 11-digit na numero ng nagbabayad ng buwis (format: XXX.XXX.XXX-XX). Mayroon itong dalawang check digit gamit ang modular na matematika. Ang CPF ay ang pangunahing ID ng Brazil para sa pagbabangko, buwis, kalusugan, at pamahalaan. Lahat ng 215 milyong Braziliano ay may isa.
CNPJ: Isang 14-digit na numero ng kumpanya (format: XX.XXX.XXX/XXXX-XX). Mayroon itong dalawang check digit. Lumalabas ito sa mga rekord ng negosyo na nakakabit sa mga opisyal ng kumpanya.
RG: Isang civil ID card na inilabas ng estado. Ang format ay nag-iiba-iba ayon sa estado. Ang RG ng Sao Paulo ay naiiba mula sa RG ng Rio de Janeiro, at iba pa sa 26 na estado kasama ang Federal District. Ang isang tool na nakakaalam lamang ng format ng isang estado ay makakalimot sa karamihan ng mga numero ng RG ng Brazil.
CNH: Isang 11-digit na numero ng lisensya ng driver na may isang check digit.
Titulo de Eleitor: Isang 12-digit na voter ID. Ini-encode nito ang registration zone ng botante.
PIS/PASEP: Isang 11-digit na numero ng social program. Lumalabas ito sa mga rekord ng payroll at trabaho.
Numero ng SUS: Isang 15-digit na ID ng sistema ng kalusugan. Bawat Braziliano ay may isa. Lumalabas ito sa lahat ng dokumento ng kalusugan.
Ang aming global na gabay sa PII identifier ay sumasaklaw sa CPF kasabay ng SSN, Aadhaar, at iba pang mga pambansang ID.
LGPD kumpara sa GDPR: Mga Pangunahing Pagkakaiba
Protektado ng parehong balangkas ang mga personal na rekord, ngunit naiiba sila sa mahahalagang paraan.
Mga legal na batayan: Ang LGPD ay may 10 legal na batayan. Ang GDPR ay may 6. Kasama sa LGPD ang "proteksyon ng credit" — isang batayan na nakakabit sa kultura ng fintech ng Brazil. Walang tugma ng GDPR para dito.
Walang adequacy ng EU para sa Brazil: Hindi pa nagbibigay ang EU ng desisyon ng adequacy sa Brazil. Ang mga paglipat ng EU-Brazil ay nangangailangan ng Standard Contractual Clauses o Binding Corporate Rules — katulad ng para sa US.
Mga panuntunan sa pahintulot: Ang pahintulot ng LGPD ay dapat na tiyak, may kaalaman, malaya, at malinaw — katulad ng GDPR. Para sa mga sensitibong rekord, pinapayagan ng LGPD ang mas malawak na pahintulot kaysa pamantayan ng bawat layunin ng GDPR, basta nakatakda ang layunin.
Pokus ng Pagpapatupad ng ANPD para sa 2025
Nag-publish ang ANPD ng mga priyoridad nito para sa 2025 batay sa mga resulta ng kaso noong 2024.
Mga Rekord ng Kalusugan
Hinihiling ng Artikulo 11 ang malinaw na pahintulot — o isang malinaw na legal na batayan — para maproseso ang mga rekord ng kalusugan. Natuklasan ng ANPD na maraming app sa kalusugan at mga provider ang kulang sa batayan na ito para sa mga numero ng SUS at mga medikal na file.
Mga Serbisyong Pinansyal
Ang mga numero ng CPF sa mga file ng pautang, mga ulat ng credit, at mga patakaran ng insurance ang mga nangungunang target. Sinisigurado ng ANPD kung ang mga panahon ng pagpapanatili ay tumutugma sa mga nakatakdang layunin.
Pagsunod ng Tech Platform
Ang mga platform ng social media, e-commerce, at streaming sa Brazil ay isang pokus para sa 2025. Tinitingnan ng ANPD ang profiling at mga paglipat sa ibang bansa.
Ano ang Dapat Gawin Ngayon
Ang baseline para sa pagsunod ng Brazil ay pagtuklas ng CPF at CNPJ na may validation ng check-digit. Magdagdag ng pagtuklas ng RG na may lohika ng format bawat estado. Isama ang suporta sa CNH, Titulo de Eleitor, at numero ng SUS para sa kumpletong saklaw. Tingnan ang aming gabay sa anonymization ng LGPD para sa step-by-step na detalye.