CNPD Португалія: відповідність вимогам GDPR та LGPD щодо персональних даних
Португальський орган із захисту конфіденційності — CNPD. Він забезпечує виконання GDPR ЄС. Він також є сполучною ланкою між законодавством про конфіденційність ЄС та Бразилії. Це охоплює 215 мільйонів португаломовних осіб.
У 2024 році CNPD ухвалив 42 рішення про правозастосування. Одне з них — штраф у розмірі €2,5 мільйона для португальської лікарні. Причина: неналежна анонімізація медичних записів пацієнтів. Це один із найбільших штрафів за GDPR у сфері охорони здоров'я в Південній Європі.
Міст між GDPR та LGPD
Два закони про захист конфіденційності охоплюють португаломовний світ.
GDPR ЄС застосовується в Португалії. Максимальний штраф: €20 мільйонів або 4% від глобальної виручки. Забезпечує виконання CNPD.
Бразильський LGPD — Закон № 13 709/2018 — застосовується в Бразилії. Максимальний штраф: 2% від бразильської виручки, до R$50 мільйонів за кожне порушення (≈€9 млн). Забезпечує виконання ANPD Бразилії. Перші значні штрафи були накладені у 2024 році.
Понад 2 400 компаній мають активні потоки передачі даних між ЄС та Бразилією. ЄС не має угоди про адекватний захист із Бразилією. Передачі між ЄС та Бразилією потребують Стандартних договірних положень або інструменту за статтею 46.
Докладніше читайте в нашому посібнику з анонімізації LGPD.
Штраф лікарні: три правила
Штраф у розмірі €2,5 мільйона встановив три чіткі правила.
Політики є недостатніми. Лікарня стверджувала, що її дослідницькі записи були анонімізовані. Аудитори CNPD виявили, що NIF-номери, дати народження та коди діагнозів залишилися присутніми. Ця інформація могла дати змогу повторно ідентифікувати пацієнтів. Письмова політика — це не технічне рішення.
Виключення для досліджень усе одно вимагає справжньої анонімізації. Лікарня посилалась на статтю 89 GDPR — виключення для досліджень. CNPD відмовив. Виключення все одно вимагає справжніх технічних гарантій.
Штрафи за медичні записи є більшими. Стаття 9 GDPR відносить медичні записи до особливої категорії. Штраф відобразив це. Постраждало 23 000 пацієнтів. Лікарня не мала жодного процесу верифікації.
Ідентифікатори Португалії та Бразилії
Португальська — одна мова. Але Португалія та Бразилія мають різні системи ідентифікаторів. «Підтримки португальської мови» в інструменті для роботи з персональними даними недостатньо.
Ідентифікатори Португалії (ЄС):
- NIF — 9-значний податковий номер. Основний ідентифікатор громадянина. Має алгоритм контрольної цифри. VERIFIED
- NIS — 11-значний номер соціального страхування. VERIFIED
- Cartão de Cidadão — 8-значна картка громадянина з буквеним суфіксом. VERIFIED
- Паспорт — формат стандарту ЄС. VERIFIED
Ідентифікатори Бразилії (LGPD):
- CPF — 11-значний ідентифікаційний номер платника податків. Дві контрольні цифри. Метод відрізняється від NIF. VERIFIED
- CNPJ — 14-значний номер реєстрації компанії. VERIFIED
- RG — ідентифікаційний документ, виданий штатом. Формат варіюється залежно від штату. Сан-Пауло відрізняється від Ріо-де-Жанейро. VERIFIED
- CNH — 11-значне водійське посвідчення. VERIFIED
- Título de Eleitor — 12-значне посвідчення виборця. VERIFIED
- PIS/PASEP — 11-значний номер соціальної програми. Зустрічається у платіжних відомостях. VERIFIED
Інструмент, що виявляє NIF, може пропускати CPF. Справедливе і зворотне твердження. Кожна країна потребує власної логіки виявлення.
Дивіться наш посібник із багатомовного виявлення персональних даних для отримання детальнішої інформації про міжмовні прогалини.
Правила передачі даних між ЄС та Бразилією
Настанови CNPD 2024 року охопили передачі між ЄС та Бразилією.
SCC потребують чинних Оцінок впливу на передачу. SCC є основним інструментом. Але кожне з них потребує TIA, що доводить рівнозначний захист у Бразилії. CNPD виявив, що багато TIA не витримували цієї перевірки.
Обробка на базі ЄС усуває ризик передачі. Деякі компанії зберігають усі записи в системах ЄС. Жодна необроблена персональна інформація не передається до Бразилії. Це відповідає вимогам обох законів. GDPR охоплює обробку. LGPD охоплює записи бразильських громадян. Але жодна транскордонна передача не відбувається.
Для організацій, що працюють на обох ринках: подвійне виявлення є мінімальною вимогою. NIF та NIS для Португалії. CPF, CNPJ, RG, CNH, Título de Eleitor та PIS/PASEP для Бразилії. Обидва закони вимагають цього для підтвердження належних технічних засобів контролю.