CNPD Portugal: Pagsunod sa GDPR at LGPD PII
Ang awtoridad sa privacy ng Portugal ay ang CNPD. Ipinapatupad nito ang EU GDPR. Ikinokonekta rin nito ang batas sa privacy ng EU at Brazil. Sumasaklaw iyon sa 215 milyong tagapagsalita ng Portuges.
Noong 2024, naglabas ang CNPD ng 42 desisyon sa pagpapatupad. Isa sa mga ito ay isang multa na €2.5 milyon laban sa isang ospital ng Portugal. Ang dahilan: masamang anonymization ng rekord ng pasyente. Isa ito sa mga pinakamalaking multa sa GDPR ng pangangalagang pangkalusugan sa Southern Europe.
Ang Tulay ng GDPR at LGPD
Dalawang batas sa privacy ang sumasaklaw sa mundo ng wikang Portuges.
EU GDPR ay nalalapat sa Portugal. Pinakamataas na multa: €20 milyon o 4% ng pandaigdigang kita. Ipinapatupad ng CNPD.
LGPD ng Brazil — Batas Blg. 13,709/2018 — ay nalalapat sa Brazil. Pinakamataas na multa: 2% ng kita ng Brazil, hanggang R$50 milyon bawat paglabag (≈€9M). Ipinapatupad ng ANPD ng Brazil. Ang mga unang pangunahing multa ay dumating noong 2024.
Mahigit 2,400 kumpanya ang may mga aktibong daloy ng paglilipat sa pagitan ng EU at Brazil. Wala pang adequacy deal ang EU sa Brazil. Ang mga paglilipat sa pagitan ng EU at Brazil ay nangangailangan ng Standard Contractual Clause o isang tool ng Article 46.
Para sa karagdagang detalye, tingnan ang aming gabay sa anonymization ng LGPD.
Ang Multa sa Ospital: Tatlong Panuntunan
Itinakda ng €2.5 milyong multa ang tatlong malinaw na panuntunan.
Hindi sapat ang mga patakaran. Sinabi ng ospital na ang mga rekord ng pananaliksik nito ay anonymized. Natuklasan ng mga auditor ng CNPD ang mga numero ng NIF, mga petsa ng kapanganakan, at mga code ng diagnosis na naroroon pa rin. Ang impormasyong iyon ay maaaring muling matukoy ang mga pasyente. Ang isang nakasulat na patakaran ay hindi isang teknikal na solusyon.
Ang mga exemption sa pananaliksik ay nangangailangan pa rin ng tunay na anonymization. Binanggit ng ospital ang GDPR Article 89 — ang exemption sa pananaliksik. Sinabi ng CNPD na hindi. Ang exemption ay nangangailangan pa rin ng tunay na teknikal na pag-iingat.
Ang mga multa sa rekord ng kalusugan ay mas malaki. Tinatrato ng GDPR Article 9 ang mga rekord ng kalusugan bilang espesyal na kategorya. Ang multa ay sumasalamin dito. 23,000 pasyente ang naapektuhan. Ang ospital ay walang proseso ng validation.
Portuges vs. Brazilian PII
Isang wika ang Portuges. Ngunit ang Portugal at Brazil ay may iba't ibang mga sistema ng ID. Ang "suporta sa wikang Portuges" sa isang tool ng PII ay hindi sapat.
Mga identifier ng Portugal (EU):
- NIF — 9-digit na numero ng buwis. Pangunahing ID ng mamamayan. May algorithm ng check digit. VERIFIED
- NIS — 11-digit na numero ng social security. VERIFIED
- Cartão de Cidadão — 8-digit na citizen card na may letter suffix. VERIFIED
- Pasaporte — EU-standard na format. VERIFIED
Mga identifier ng Brazil (LGPD):
- CPF — 11-digit na numero ng nagbabayad ng buwis. Dalawang check digit. Iba ang pamamaraan kaysa sa NIF. VERIFIED
- CNPJ — 14-digit na rehistrasyon ng kumpanya. VERIFIED
- RG — State-issued ID. Ang format ay nagbabago ayon sa estado. Ang São Paulo ay naiiba sa Rio de Janeiro. VERIFIED
- CNH — 11-digit na lisensya ng driver. VERIFIED
- Título de Eleitor — 12-digit na voter ID. VERIFIED
- PIS/PASEP — 11-digit na numero ng social program. Makikita sa mga rekord ng payroll. VERIFIED
Ang isang tool na natutuklasan ang NIF ay maaaring palampasing ang CPF. Ang kabaligtaran ay totoo rin. Ang bawat bansa ay nangangailangan ng sariling logic ng pagtuklas.
Tingnan ang aming gabay sa multilingual na pagtuklas ng PII para sa karagdagang impormasyon sa mga cross-language na gaps.
Mga Panuntunan sa Paglilipat sa pagitan ng EU at Brazil
Sumasaklaw ang gabay ng CNPD para sa 2024 sa mga paglilipat sa pagitan ng EU at Brazil.
Ang mga SCC ay nangangailangan ng wastong Transfer Impact Assessment. Ang mga SCC ay ang pangunahing tool. Ngunit ang bawat isa ay nangangailangan ng TIA na nagpapakita na ang Brazil ay nagbibigay ng pantay na proteksyon. Natuklasan ng CNPD na maraming TIA ang hindi pumasa sa pagsubok na ito.
Inaalis ng pagpoproseso batay sa EU ang panganib ng paglilipat. Ilang kumpanya ang nagpapanatili ng lahat ng rekord sa mga sistema ng EU. Walang raw na personal na impormasyon na pumupunta sa Brazil. Gumagana ito para sa parehong batas. Sumasaklaw ang GDPR sa pagpoproseso. Sumasaklaw ang LGPD sa mga rekord ng mga mamamayan ng Brazil. Ngunit walang cross-border na paglilipat na nagaganap.
Para sa mga organisasyon sa parehong merkado: ang dual na pagtuklas ay ang minimum. NIF at NIS para sa Portugal. CPF, CNPJ, RG, CNH, Título de Eleitor, at PIS/PASEP para sa Brazil. Kinakailangan ng parehong batas ito upang ipakita ang sapat na mga teknikal na kontrol.