LGPD中的敏感个人数据：特别处理与特别保护

本页为葡萄牙语原文的译文，仅供参考，内容涉及巴西法律。如有出入，以葡萄牙语版本为准。 阅读葡萄牙语原文

LGPD（巴西《通用数据保护法》）对敏感个人数据给予强化保护，要求各类组织采取远远超出一般个人数据处理的特别防护措施。

LGPD中的敏感个人数据是什么，为何受到差别化保护

《通用数据保护法》（第13.709/2018号法律）确立了一类需要特别对待的个人信息，即敏感个人数据。这一区分并不只是概念上的划分，而是会给企业、公共机构以及任何处理此类信息的组织带来实实在在的影响。我们所说的敏感数据，是指那些就其本身性质而言，一旦使用不当，就可能使数据主体面临歧视、难堪或处境脆弱的信息。

LGPD第5条第II项将敏感个人数据界定为：与种族或民族出身、宗教信仰、政治观点、工会会员身份或宗教性、哲学性、政治性组织的成员身份相关的数据，以及涉及健康或性生活的数据、与自然人相关联的基因数据或生物识别数据。可以看出，巴西立法者采用的是穷尽式列举，也就是说，只有法律明文列出的类别才享有这种特别保护。这一做法沿袭了欧盟《通用数据保护条例》（GDPR）的传统，而GDPR正是巴西立法的直接参照。

之所以给予差别化保护，原因在于滥用这些信息可能带来歧视性后果。比如，企业利用应聘者的健康状况数据拒绝录用，或者保险公司调取基因信息以拒绝承保。这些情形说明了为什么处理敏感数据所要求的法律依据比一般个人数据更为严格，管控也更为严密。

这一问题与数据匿名化与假名化直接相关，我们已就该主题撰写了专门的文章。

这一问题与生物识别数据直接相关，我们已就该主题撰写了专门的文章。

处理敏感数据的法律依据

就敏感数据而言，LGPD最值得关注的要点之一，是对允许处理的情形作出了限制。一般个人数据可依据该法第7条规定的十项法律依据进行处理，而敏感数据适用的范围更窄，规定在第11条。下面逐一分析其中主要的几种情形。

数据主体的同意

处理敏感数据的同意，必须以具体且突出的方式作出，并针对特定目的。这意味着，仅在冗长的使用条款中夹带一项笼统的授权是不够的。组织必须以清晰、明确的方式告知数据主体：将收集哪些敏感数据、用于什么目的、保存多长时间。可以看到，这一具体性要求明显比一般个人数据的同意更为严格，而对于一般个人数据，法律本身已经提出了清晰与透明的要求。

无需同意即可处理的情形

LGPD还规定了一些情形：只要对特定目的而言不可或缺，即使没有数据主体的同意，也可以处理敏感数据。这些情形主要包括：控制者履行法定或监管义务；为执行法律或法规规定的公共政策而共同处理必要数据；研究机构开展研究（只要可能，必须保证数据匿名化）；正当行使权利，包括在合同中以及在司法、行政和仲裁程序中行使权利；保护数据主体或第三人的生命或人身安全；以及仅限于由卫生专业人员、卫生服务机构或卫生主管部门实施的程序中的健康保护。

处理敏感数据，不仅需要有效的法律依据，还需要一整套完备的技术和管理措施，以保障这些信息在整个生命周期中的安全。

需要指出的是，正当利益（legítimo interesse）是一般个人数据中被广泛使用的法律依据，但它并不在敏感数据的授权情形之列。这一排除是有意为之，体现了立法者的意图：尽可能限制在没有数据主体明示同意的情况下处理此类信息的情形。

技术与管理保护措施

保护敏感数据，并不止于确定一项适当的法律依据。LGPD要求处理主体采取技术和管理方面的安全措施，足以保护个人数据免遭未经授权的访问，以及意外或非法的毁损、丢失、篡改、传输，或任何其他不当或非法的处理方式。在处理敏感数据时，这些要求显得更加重要。

建议采取的技术管控措施

我们认为，保护敏感数据的关键技术措施包括：对静态数据和传输中的数据进行加密；按照最小权限原则实施访问控制（确保只有获得授权的人员才能接触相关信息）；尽可能采用匿名化和假名化技术；保存访问记录（日志）以备审计；定期开展安全测试；以及采取防止数据泄露的措施。这些做法应当与所处理数据的性质及所涉风险相称。

管理措施与治理

在管理层面，敏感数据的治理需要：制定关于处理此类信息的清晰内部政策；对接触敏感数据的员工进行定期培训；任命一名熟悉该领域的数据保护官（DPO）；在大规模处理敏感数据时编制个人数据保护影响报告（RIPD）；并定期审查处理流程，以核实持续符合法律规定。

只要个人数据的处理可能对公民自由和基本权利造成风险，国家数据保护局（ANPD）即可要求编制RIPD。对于敏感数据而言，这一点尤为重要，因为对数据主体造成损害的可能性要大得多。

企业交易中的敏感数据尽职调查

在并购、商业合作，以及选聘供应商和服务提供者等交易中，涉及敏感数据的尽职调查（due diligence）正变得越来越重要。一个组织在对另一家企业进行风险分析时，梳理其敏感数据的处理情况应当是调查的重要支柱之一。忽视这一方面，可能产生重大的负债，既包括财务负债，也包括声誉负债。

在数据尽职调查的实践中，需要分析以下问题：被调查的组织是否对其处理的敏感数据进行了完整梳理；所采用的法律依据是否适合每一项处理操作；与处理者及次级处理者之间的合同是否包含有关敏感数据的专门条款；是否已根据信息的关键程度实施了相应的安全措施；是否曾发生涉及此类数据的安全事件；以及该组织是否持有最新的处理活动记录文件。

可以看到，许多企业对LGPD合规仍然停留在表面，在敏感数据方面尤其如此。严格的尽职调查能够发现一些漏洞，这些漏洞可能给收购方或合作方带来切实的风险。敏感数据一旦泄露，可能引发行政处罚、个人诉讼和集体诉讼，并对企业声誉造成无法挽回的损害。

敏感数据尽职调查实用清单

要在这一领域进行有效的尽职调查，建议核查以下事项：组织是否有最新的敏感数据处理清单；每项处理活动所采用法律依据的记录；针对敏感数据的专门保存与销毁政策；与第三方订立的合同是否包含适当的数据保护条款；员工接受敏感数据处理培训的证明材料；是否有涵盖敏感数据情景的事件应对预案；以及已完成的影响报告的存档文件。

违规处理敏感数据的后果

违规处理敏感数据，可能给组织带来严重后果。LGPD规定的行政处罚包括：警告；按法人营业额最高2%处以的单项罚款（每次违法行为以R$ 50 milhões为上限）；按日罚款；公开违法行为；封存个人数据；删除个人数据；部分中止数据库运行；以及部分或全部禁止从事与数据处理相关的活动。

除行政处罚外，组织还须就给数据主体造成的损害承担民事责任。巴西法院已经审理了涉及个人数据泄露和滥用的案件，保护数据主体的趋势正在不断加强。在消费关系领域，责任为无过错责任，无需证明控制者或处理者存在过错。

需要强调的是，当所涉数据为敏感数据时，处罚往往会更重，原因在于其潜在的歧视性，以及对数据主体基本权利的影响更大。因此，投入合规建设不仅是一项法律义务，更是一项战略决策，既保护组织自身，也增强利益相关方（stakeholders）的信任。

As informações deste artigo são de caráter informativo e não substituem consulta jurídica individualizada. Cada caso possui particularidades que exigem análise específica.