BR LGPDとPT RGPDは個人情報漏洩時の72時間通報を義務付けています。
BR ANPDとPT CNPDで通報書式が異なります。
多国籍企業は二重コンプライアンスが必要です。
BR LGPD vs PT RGPD の枠組差
BR LGPDとPT RGPDの枠組には差があります。
基本72時間ルールは共通ですが、書式と罰金水準が異なります。
多国籍企業は両方への対応が必要です。
BR LGPD（Lei 13.709/2018）の独自性
BR LGPDは2018年制定の独自法制です。
RGPDを参考にしつつ、ANPDという独自監督機関を持ちます。
(1) Lei 13.709/2018 estabeleceu a LGPD brasileira.
(2) レイ トレゼ セチセントス
(3) Lei 13.709/2018でBR LGPD制定
PT RGPD（EU 2016/679）の EU 標準準拠
PTはEU標準のRGPD（GDPR）に準拠します。
EU加盟国共通のルールです。
(1) Portugal segue o RGPD da UE.
(2) ポルトゥガウ セゲ
(3) PTはEU RGPDに準拠
二重コンプライアンス必要な多国籍企業
BR/PT両国で事業展開する企業は二重コンプライアンスが必要です。
共通フレームワークで運用します。
(1) Empresas multinacionais: dupla conformidade.
(2) エンプレザス ムウチナシオナイス
(3) 多国籍企業は二重準拠
72時間ルールの起算点
72時間ルールの起算点は「ciência do incidente」です。
漏洩認識が起点であって発生時点ではありません。
初期報告も許容されます。
「ciência do incidente」（漏洩認識）から72時間
「ciência do incidente」は漏洩認識を意味します。
発生時点ではなく認識時点が起算点です。
(1) Ciência do incidente: ponto de partida.
(2) シエンシア ド インシデンチ
(3) 漏洩認識が起算点
週末・祝日含む計算
72時間は週末・祝日含む計算です。
金曜認識なら月曜には通報期限が来ます。
(1) 72 horas: contagem inclui fins de semana.
(2) セテンタ イ ドイス オラス
(3) 72時間：週末含む計算
「relatório preliminar」初期報告許容
初期報告（relatório preliminar）が許容されます。
完全情報なしでも72時間以内通報が原則です。
(1) Relatório preliminar aceito dentro de 72 horas.
(2) ヘラトリオ プレリミナル
(3) 72時間以内なら初期報告許容
BR ANPD 通報メール
BR ANPDへの通報書式があります。
gov.br/anpdポータル経由で公式提出します。
メール添付は補完的です。
ANPD（Autoridade Nacional de Proteção de Dados）の通報書式
ANPDは独自書式を提供しています。
テンプレートに沿って記入します。
(1) Formulário ANPD para notificação oficial.
(2) フォルムラリオ アエネペーデー
(3) ANPD公式通報フォーム
「comunicação de incidente de segurança」
定型表現です。
件名にこのフレーズを使います。
(1) Comunicação de incidente de segurança LGPD.
(2) コムニカサォン ジ インシデンチ
(3) LGPD セキュリティインシデント通信
公式 portal（gov.br/anpd）経由
提出はgov.br/anpdポータル経由です。
メールは追加情報用です。
(1) Submissão via gov.br/anpd.
(2) スブミサォン ヴィア
(3) gov.br/anpdから提出
PT CNPD 通報メール
PT CNPDへの通報書式があります。
cnpd.ptポータル経由で公式提出します。
EU標準と整合します。
CNPD（Comissão Nacional de Proteção de Dados）通報
CNPDはPT国家データ保護委員会です。
72時間ルールを監督します。
(1) CNPD supervisiona o cumprimento do RGPD.
(2) セーエネペーデー スペルヴィシオナ
(3) CNPDがRGPD遵守監督
「notificação de violação」フォーム
定型表現です。
「violação」を「漏洩」の意味で使います。
(1) Notificação de violação de dados pessoais.
(2) ノチフィカサォン ジ ヴィオラサォン
(3) 個人情報漏洩通報
cnpd.pt 経由提出
提出はcnpd.ptポータル経由です。
QR Code等の認証も連動します。
(1) Submissão via cnpd.pt obrigatória.
(2) スブミサォン ヴィア セーエネペーデー
(3) cnpd.pt提出必須
通報メール必須項目
通報メールには5つの必須項目があります。
これらが揃わないと不完全通報になります。
BR/PT共通の構造です。
漏洩内容（natureza dos dados afetados）
漏洩データの種類を明示します。
個人情報・機密情報等を区分します。
(1) Natureza dos dados: nomes, e-mails e CPFs.
(2) ナトゥレザ ドス ダードス
(3) データ種別：氏名・メール・CPF
影響者数（número de titulares afetados）
影響者数を概算で報告します。
「不明」は許容されません。
(1) Número estimado: 5.000 titulares afetados.
(2) ヌメロ エスチマード
(3) 推定数：5,000名影響
発見経緯（forma de detecção）
発見経緯を時系列で説明します。
誰が何時に発見したかを明記します。
(1) Detecção por equipe de TI em 24/04 às 10h.
(2) デテッサォン ポル エキペ
(3) 4/24 10時IT部発見
対応措置（medidas tomadas）
対応措置を具体提示します。
技術的・組織的措置の両方を含めます。
(1) Medidas tomadas: bloqueio do servidor e auditoria.
(2) メジダス トマーダス
(3) 措置：サーバー遮断と監査
DPO 連絡先（contato do encarregado）
DPO（データ保護責任者）の連絡先を提示します。
当局からの照会窓口になります。
(1) Contato do DPO: dpo@empresa.com.br.
(2) コンタト ド デーペーオー
(3) DPO連絡先：DPOメール
被害者通知メール
被害者本人への通知も法的義務です。
権利説明が必須要素です。
BR/PT共通の構造です。
「Informamos que os seus dados pessoais podem ter sido afetados」
定型表現です。
「podem ter sido」で婉曲的に伝えます。
(1) Informamos que os seus dados podem ter sido afetados.
(2) インフォルマモス ケ オス
(3) お客様の情報が影響を受けた可能性をお知らせ
漏洩データの具体的列挙
漏洩データを具体列挙します。
本人がリスク評価できるようにします。
(1) Dados afetados: nome, e-mail e número de telefone.
(2) ダードス アフェタードス
(3) 影響データ：氏名・メール・電話
被害者の権利説明（acesso・retificação・eliminação）
本人の権利を説明します。
アクセス・訂正・削除等の権利です。
(1) Direitos: acesso, retificação e eliminação.
(2) ジレイトス アセソ
(3) 権利：アクセス・訂正・削除
件名様式
件名は緊急度と機密度を表示します。
受信者の優先度判断を助けます。
BR/PT共通の標準形式があります。
「[URGENTE – LGPD/RGPD] Comunicação de incidente」
標準形式の件名です。
大文字でURGENTEを表示します。
(1) [URGENTE – LGPD] Comunicação de incidente
(2) ウルジェンチ エウジーペーデー
(3) 緊急 LGPD インシデント通知
「Notificação de violação de dados pessoais」
PTで使う標準形式です。
「violação」が法的用語です。
(1) Notificação de violação de dados pessoais
(2) ノチフィカサォン ジ ヴィオラサォン
(3) 個人情報漏洩通報
緊急度・機密度表示
緊急度・機密度を併記します。
受信者のフィルタを通過させます。
(1) [URGENTE – CONFIDENCIAL] Incidente de segurança
(2) ウルジェンチ コンフィデンシアウ
(3) 緊急 機密 セキュリティインシデント
内部報告メール
内部報告は最優先で送ります。
CEO・jurídico・CISOへの即時報告が原則です。
24時間以内に通報判断を下します。
CEO・jurídico・CISO への即時報告
即時報告対象を明確化します。
役員レベルの判断が必要です。
(1) Reporte imediato ao CEO, jurídico e CISO.
(2) ヘポルチ イメジアト
(3) CEO・法務・CISO即時報告
「[INTERNO] Incidente de segurança – LGPD/RGPD」
内部用件名です。
「INTERNO」表示で外部流出防止します。
(1) [INTERNO] Incidente de segurança – LGPD
(2) インテルノ インシデンチ
(3) 社内 セキュリティインシデント LGPD
24時間以内に通報判断
24時間以内に通報判断を下します。
残り48時間で書式作成・提出します。
(1) Decisão de notificar em 24 horas.
(2) デシザォン ジ ノチフィカル
(3) 24時間以内に通報判断
取引先連鎖通知
影響を受ける取引先への連鎖通知も必要です。
共同コントローラー責任が発生する場合があります。
processador（処理者）への要請も並行します。
影響受ける取引先への通知
取引先にも通知します。
連鎖被害を最小化します。
(1) Parceiros afetados informados em paralelo.
(2) パルセイロス アフェタードス
(3) 影響パートナーに並行通知
共同コントローラー（controlador conjunto）責任
共同コントローラー責任を明確化します。
BR/PT共通の概念です。
(1) Responsabilidade de controlador conjunto.
(2) ヘスポンサビリダージ
(3) 共同管理者責任
processador（処理者）への要請
処理者にも対応要請します。
契約に基づく義務です。
(1) Solicitação ao processador conforme contrato.
(2) ソリシタサォン アオ プロセサドル
(3) 契約に基づき処理者要請
公開声明（Comunicado oficial）
公開声明はSNS・プレス対応も含みます。
BR Reclame Aqui・Procon監視も必要です。
PT Livro de Reclamações連動も視野に入れます。
SNS・プレス対応
SNS・プレス対応を統一メッセージで行います。
広報部と法務の連携が必要です。
(1) Mensagem unificada para imprensa e SNS.
(2) メンサージェン ウニフィカーダ
(3) プレス・SNS統一メッセージ
BR Reclame Aqui・Procon 監視
BR Reclame AquiとProconを監視します。
苦情拡大を即時対応します。
(1) Reclame Aqui e Procon monitorados.
(2) ヘクラミ アキ イ プロコン
(3) Reclame Aqui・Procon監視
PT Livro de Reclamações 連動
PT Livro de Reclamações記載も監視します。
転送先の監督機関対応も並行します。
(1) Livro de Reclamações monitorado em PT.
(2) リヴロ ジ ヘクラマソエス
(3) PTで苦情台帳監視
罰金リスク評価
罰金リスクを評価します。
BR/PTで上限が異なります。
軽減事由として自主通報・協力があります。
BR LGPD：最大R百万または全売上2%
BR LGPDの罰金上限です。
事案規模で適用されます。
(1) Multa máxima: R$50 milhões ou 2% do faturamento.
(2) ムウタ マシマ シンクエンタ
(3) 最大罰金：R$50百万または売上2%
PT RGPD：最大€20百万または全売上4%
PT RGPDの罰金上限です。
BRより重く設定されています。
(1) Multa máxima: €20 milhões ou 4% do faturamento.
(2) ムウタ マシマ ヴィンチ
(3) 最大罰金：€20百万または売上4%
軽減事由（自主通報・協力・是正措置）
軽減事由として自主通報・協力・是正があります。
事前対応が罰金軽減につながります。
(1) Atenuantes: notificação voluntária e cooperação.
(2) アテヌアンチス ノチフィカサォン
(3) 軽減事由：自主通報と協力
過去事例（BR）
BR過去事例から学ぶことが多いです。
Serasa・Renner等の重大事例があります。
対応速度の重要性を示します。
Serasa Experian（2021）2.2億人分漏洩
2021年Serasa事案は2.2億人分漏洩でした。
対応の遅延が罰金加重事由になりました。
(1) Serasa 2021: 220 milhões afetados.
(2) セラサ ドイス ミウ ヴィンチ ウン
(3) Serasa 2021：2.2億人影響
Renner（2021）ランサムウェア
Renner 2021はランサムウェア攻撃でした。
速やかな通報で罰則軽減につながりました。
(1) Renner 2021: ataque ransomware.
(2) ヘネル ドイス ミウ ヴィンチ ウン
(3) Renner 2021：ランサムウェア
教訓と対応速度の重要性
教訓は対応速度の重要性です。
72時間ルール厳守が罰金軽減の鍵です。
(1) Velocidade de resposta: chave para mitigar multas.
(2) ヴェロシダージ ジ ヘスポスタ
(3) 対応速度：罰金軽減の鍵
過去事例（PT）
PT過去事例も参考になります。
Vodafone Portugal・Hospital等の事例があります。
是正措置の重要性を示します。
Vodafone Portugal（2022）
Vodafone Portugal 2022事案です。
大規模通信事業者の漏洩でした。
(1) Vodafone Portugal 2022: violação significativa.
(2) ヴォーダフォン ポルトゥガウ
(3) Vodafone Portugal 2022：重大漏洩
Hospital de Setúbal（2021）
Hospital de Setúbal 2021事案です。
医療データ漏洩で社会的影響が大きい事案でした。
(1) Hospital de Setúbal 2021: dados médicos.
(2) オスピタウ ジ セトゥーバウ
(3) Setúbal病院 2021：医療データ
教訓と是正措置
教訓は是正措置の徹底です。
暗号化・アクセス制御強化が標準対応です。
(1) Lições: implementar medidas técnicas robustas.
(2) リソエス インプレメンタル
(3) 教訓：強固な技術措置実施
再発防止策の説明
再発防止策を具体提示します。
「Implementação de medidas técnicas e organizacionais」が定型表現です。
監査・テスト計画も併記します。
「Implementação de medidas técnicas e organizacionais」
定型表現です。
RGPD条文の引用です。
(1) Implementação de medidas técnicas e organizacionais.
(2) インプレメンタサォン ジ メジダス
(3) 技術的・組織的措置の実施
暗号化・アクセス制御強化
暗号化とアクセス制御強化を約束します。
具体的な実装方針を示します。
(1) Criptografia AES-256 e MFA implementados.
(2) クリプトグラフィア
(3) AES-256暗号化とMFA実装
監査・ペネトレーションテスト
定期監査とペネトレーションテストを計画します。
第三者機関による評価を含めます。
(1) Auditoria e pentest trimestrais.
(2) アウディトリア イ ペンテスチ
(3) 監査とペンテスト四半期実施
日本人の情報漏洩通知 NG
日本人がやりがちな情報漏洩通知の失敗パターンです。
72時間ルール認識不足と公式書式の自己流改変が二大問題です。
事前に避ければ罰金軽減につながります。
「申し訳ございません」直訳の弱さ
「申し訳ございません」の直訳は強度不足です。
「Lamentamos profundamente」を使います。
(1) Tradução literal soa fraca em PT.
(2) トラドゥサォン リテラウ
(3) 直訳はPTで弱く響く
72時間ルール認識不足
72時間ルール認識不足は致命的です。
事前に法務研修で徹底する必要があります。
(1) Falta de conhecimento da regra de 72 horas.
(2) ファウタ ジ コニェシメント
(3) 72時間ルール知識不足
ANPD/CNPD 公式書式の自己流改変
公式書式の自己流改変は受理拒否事由です。
テンプレ厳守が原則です。
(1) Modificação do formulário oficial: rejeitado.
(2) モジフィカサォン ド フォルムラリオ
(3) 公式フォーム改変は却下
関連リンク
情報漏洩通知は72時間ルール厳守が原則です。portuguese-business-email-dialect-comparisonもご参照ください。
誤送信訂正はcorrection、クレーム対応はcomplaintを活用してください。
契約関連はportuguese-contractsを参照ください。
トラブル全般はportuguese-biz-email-troubleもご活用ください。
