Portekiz'in Comissão Nacional de Proteção de Dados (CNPD) otoritesi, AB veri koruma makamları arasında eşsiz bir konuma sahip: Avrupa Birliği'nin GDPR'ını ve Brezilya'nın Lei Geral de Proteção de Dados (LGPD) yasasını köprülüyor — 215 milyonluk küresel Portekizce dil alanını yöneten iki temel gizlilik çerçevesini.
CNPD, 2024'te 42 yaptırım kararı verdi; bunların arasında Portekizli bir hastaneye verilen 2,5 milyon Euro'luk para cezası da yer alıyor — Güney Avrupa'daki en büyük sağlık GDPR cezalarından biri. Gerekçe: yetersiz hasta verisi anonimleştirmesi.
GDPR-LGPD Bağlantısı
AB GDPR (Portekiz): Maksimum ceza 20 milyon Euro veya küresel gelirin %4'ü. CNPD tarafından uygulanıyor.
Brezilya LGPD (13.709/2018 sayılı Kanun): Maksimum ceza Brezilya yıllık gelirinin %2'si, ihlal başına 50 milyon Brezilya Reali'ne kadar (≈ 9 milyon Euro). ANPD (Autoridade Nacional de Proteção de Dados) tarafından uygulanıyor; ilk büyük yaptırım kararları 2024'te geldi.
2.400'den fazla şirket aktif AB-Brezilya veri transfer düzenlemeleri sürdürüyor. AB'nin şu an Brezilya'yla yeterlilik kararı bulunmuyor; bu nedenle AB-Brezilya transferleri Standart Sözleşme Hükümleri veya başka bir Madde 46 mekanizması gerektiriyor.
Hastane Kararı: Teknik Bir Standart Olarak Anonimleştirme
CNPD'nin 2,5 milyon Euro'luk sağlık cezası kritik emsaller oluşturdu:
Politika ≠ uyum. Hastanenin hasta araştırma verilerinin "anonimleştirildiğini" belirten belgelenmiş politikaları mevcuttu. CNPD'nin teknik incelemesi, "anonimleştirilmiş" veri kümesinin NIF numaralarını, doğum tarihlerini, tanı kodlarını ve tedavi tarihlerini koruduğunu — belirli hastaların yeniden tanımlanmasını mümkün kıldığını — ortaya koydu.
Araştırma muafiyeti teknik güvence gerektiriyor. Hastane, klinik araştırma verilerinin GDPR Madde 89'un araştırma muafiyetiyle kapsandığını öne sürdü. CNPD, bu muafiyetin gerçek anonimleştirme veya uygun güvenceler gerektirdiğini — teknik tedbirlerden genel muafiyet sağlamadığını — tespit etti.
Sağlık cezaları özel kategori statüsünü yansıtıyor. 2,5 milyon Euro'luk ceza, GDPR Madde 9'un sağlık verisi için özel kategori muamelesini, etkilenen hasta ölçeğini (23.000 birey) ve temel anonimleştirme doğrulamasının uygulanmamasını yansıttı.
Portekizce ve Brezilyalı KKB: Neden Birbirinin Yerine Kullanılamaz
Portekizce tek bir dildir. Ancak Portekiz ve Brezilya'daki ulusal kimlik sistemleri tamamen farklıdır — "Portekizce dil desteği"nin yeterli olduğunu varsayan kuruluşlar için kritik bir uyum boşluğu yaratmaktadır.
Portekiz AB tanımlayıcıları:
- NIF: 9 basamaklı vergi kimlik numarası. Portekiz'in birincil vatandaş tanımlayıcısı. Kontrol basamağı belirli bir algoritmayla doğrulanıyor.
- NIS: 11 basamaklı sosyal güvenlik kimlik numarası.
- Cartão de Cidadão: Harf son ekli 8 basamaklı vatandaş kartı numarası.
- Pasaport: AB standardı formatı.
Brezilya KKB tanımlayıcıları:
- CPF: 11 basamaklı bireysel vergi mükellefi kaydı; Portekiz'in NIF'inden farklı algoritmalar kullanan iki kontrol basamağıyla doğrulanıyor.
- CNPJ: 14 basamaklı şirket kayıt numarası.
- RG: Eyalet tarafından verilen kimlik belgesi — düzenlendiği eyalete göre format değişiyor (São Paulo, Rio de Janeiro, Minas Gerais'den farklı vb.).
- CNH: 11 basamaklı sürücü belgesi numarası.
- Título de Eleitor: 12 basamaklı seçmen kayıt numarası.
- PIS/PASEP: İstihdam kayıtlarındaki 11 basamaklı sosyal entegrasyon programı numarası.
"Portekizce dil desteği" olan bir KKB aracı kullanan kuruluş, Portekizce belgelerdeki NIF'i doğru tespit ederken Brezilyalı belgelerdeki CPF'i tamamen gözden kaçırabilir — ya da tam tersi. Tanımlayıcılar, aynı dilde yazılmış belgelerde görünseler de ayrı tespit mantığı gerektiriyor.
AB-Brezilya Transfer Uyumu
AB-Brezilya veri akışı olan kuruluşlar için CNPD'nin 2024 transfer yeterlilik gereksinimleri rehberi:
Yeterli TIA ile SCC'ler: Standart Sözleşme Hükümleri mevcut birincil mekanizma olmaya devam ediyor; ancak Brezilya'nın hukuki çerçevesinin eşdeğer koruma sağlayıp sağlamadığını değerlendiren Transfer Etki Değerlendirmeleriyle desteklenmesi zorunlu. CNPD, mevcut TIA'ların büyük bölümünü yetersiz buldu.
AB'de işleme: Brezilya vatandaşı verilerini AB altyapısında işleyen — ham kişisel verileri hiçbir zaman Brezilya'ya transfer etmeyen — kuruluşlar her iki çerçeveyi aynı anda karşılayabilir. AB merkezli işleme, hem LGPD'nin (Brezilya vatandaşlarının verisi) hem GDPR'ın (AB işleme) uygulandığı anlamına gelir; ancak sınır ötesi transfer gerçekleşmez.
Portekizce dil pazarına hem AB hem de Brezilya'da hizmet veren kuruluşlar için: Portekiz AB tanımlayıcılarını (NIF, NIS) ve Brezilyalı tanımlayıcıları (CPF, CNPJ, RG, CNH, Título de Eleitor, PIS/PASEP) kapsayan çift yargı bölgesi KKB tespiti isteğe bağlı değil — her iki çerçeve kapsamında yeterli teknik tedbirleri kanıtlamak için zorunlu bir başlangıç noktasıdır.
Kaynaklar: