勒索软件事件与《通用数据保护法》（LGPD）下的义务

本页为葡萄牙语原文的译文，仅供参考，内容涉及巴西法律。如有出入，以葡萄牙语版本为准。 阅读葡萄牙语原文

勒索软件攻击会让企业在LGPD项下立即承担多项法律义务，包括向ANPD（巴西国家数据保护局）以及受影响的个人信息主体进行通报。

巴西勒索软件攻击的现状

近年来，针对巴西各类规模组织的勒索软件攻击明显增多。这类网络安全事件的基本过程是：攻击者入侵计算机系统，将数据加密，再以支付赎金（通常要求使用加密货币）作为恢复数据访问权限的条件。如今，这早已不再只是技术层面的问题，而成为个人信息保护法律讨论的核心议题之一。

从《通用数据保护法》（Lei Geral de Proteção de Dados，即第13.709/2018号法律）的角度来看，勒索软件攻击往往构成个人数据泄露事件。原因在于，被攻破的系统中通常存有客户、员工、供应商和商业伙伴的信息。即便只是暂时无法使用这些数据，按照法律规定也可能被视为安全事件。如果还发生了数据外泄（即攻击者在加密之前先行复制数据，这种做法正变得越来越常见），事件的严重程度会大幅上升。

我们发现，不少组织仍把勒索软件当作信息技术部门的专属问题，忽视了随之而来的法律和监管后果。这种态度可能招致行政处罚、受影响的个人信息主体提起的诉讼，以及严重的声誉损失。因此，事前做好准备、有条不紊地应对事件，是法律上的硬性要求，而不仅仅是最佳实践层面的建议。

事件发生后须立即履行的法律义务

LGPD第48条规定，如果发生的安全事件可能给个人信息主体带来相关风险或损害，数据控制者应当向国家数据保护局（ANPD）以及受影响的个人信息主体通报。通报应在合理期限内作出，具体以ANPD的规定为准。第CD/ANPD 15/2024号决议对这一程序作了细化，规定自控制者知悉事件之日起，须在3个工作日内向ANPD通报。

应对勒索软件事件的法律工作，并不是从攻击发生的那一刻才开始，而是从组织搭建自身LGPD合规体系时就已经开始了。

面对勒索软件攻击，首要的法律措施是评估事件是否涉及个人数据，以及是否可能给个人信息主体带来相关风险或损害。我们将以下因素视为加重情节：被泄露数据的数量；信息的性质（健康、生物识别或金融数据等敏感数据会提高风险）；能否识别出个人信息主体；事件波及的地域范围；以及对受影响个人造成的实际后果。

向ANPD提交的通报至少应包含：受影响个人数据的性质说明；涉及的个人信息主体的相关信息；为保护数据而采取的技术和安全措施；与事件相关的风险；迟延通报的原因（如果通报并非即时作出）；以及为扭转或减轻损害影响已经采取或将要采取的措施。对事件应对的每一个步骤都留存记录，对于向监管机构证明自身合规和善意至关重要。

向个人信息主体通报

通知受影响的个人信息主体，是一项需要特别重视的义务。通知应使用清晰易懂的语言撰写，避免使用妨碍理解的技术术语。我们需要告知：哪些数据可能已被泄露，个人因该事件面临哪些风险，以及可以采取哪些措施保护自己（例如修改密码、留意资金往来，或在征信机构开通预警服务）。在这个时候保持透明，虽然从声誉角度看似乎适得其反，但这是法律的要求，而且从长远来看，往往有助于维系个人信息主体的信任。

事件的登记与存档

无论是否有义务向ANPD通报，凡是涉及个人数据的安全事件，都应当在内部登记。这项记录构成个人数据保护影响报告（RIPD）的一部分，也可以证明组织采取了与LGPD相适应的治理措施。建议保存详尽的记录，内容包括事件经过的时间顺序、每个阶段所作的决定、参与应对的专业人员，以及为改进安全控制措施而总结的经验教训。

数据尽职调查与预防

在勒索软件的情境下，数据尽职调查（due diligence）这一概念尤为重要。我们认为，这种事前的审慎工作包括：全面梳理组织处理的个人数据，评估各项处理活动相关的风险，并采取与这些风险相称的技术和管理措施。LGPD第46条规定，处理主体应当采取适当的安全措施，保护个人数据免遭未经授权的访问，以及意外或非法情形的侵害。

在实践中，用于预防勒索软件的数据尽职调查涵盖多个方面。第一，数据清单：我们需要准确掌握组织处理哪些个人数据、存放在何处、谁可以访问，以及保存多长时间。第二，漏洞评估：必须找出技术基础设施中可能被攻击者利用的薄弱环节。第三，备份策略：保持最新的备份副本，存放在相互隔离的环境中并定期测试，是对抗勒索软件最有效的措施之一。第四，员工培训：很大一部分勒索软件攻击是通过社会工程（网络钓鱼）发起的，因此提升员工的防范能力是不可或缺的一道防线。

持续开展数据尽职调查的组织，在应对事件时明显处于更有利的位置。事前对数据进行梳理，可以迅速确定受影响的范围；而预先制定并经过演练的事件应对预案，则能确保行动协调、及时。ANPD已表示，健全的隐私治理体系可以在行政处罚中被视为从轻情节。

民事责任与行政处罚

勒索软件事件可能使数据控制者承担民事责任。LGPD第42条至第45条规定，控制者或处理者因处理个人数据而造成财产损害、精神损害、个人损害或集体损害的，应当予以赔偿。巴西在这一问题上的司法实践仍在形成之中，但我们已经看到有法院判决认定，组织因安全漏洞导致数据泄露而应当承担责任。

在行政层面，ANPD可以采取的处罚包括警告，直至对私法人处以最高达其营业额2%的罚款（每项违法行为以R$ 50 milhões为上限）。其他处罚还包括公布违法行为（可能造成相当严重的声誉损害）、封存或删除与违法行为相关的个人数据，以及部分或全部中止数据库的运行。在极端情况下，ANPD可以决定部分或全部禁止从事与数据处理相关的活动。

可以看出，组织在事件发生后的表现，会直接影响处罚的裁量。及时通报、采取补救措施、配合ANPD，以及能够证明攻击发生前已设有合理的安全控制措施，都是该机构在决定是否处罚及处罚轻重时会考虑的因素。反之，试图隐瞒事件、无正当理由迟延通报，或者连最基本的安全措施都没有，往往会使情况更加不利。

是否支付赎金的问题

在为勒索软件事件提供法律咨询时，常常会遇到一个棘手的问题：是否支付攻击者索要的赎金。虽然到目前为止，巴西法律体系中并没有明文禁止在网络攻击中支付赎金，但这一决定涉及复杂的法律考量。支付赎金可能构成对犯罪活动的资助，既不能保证数据真正得以恢复，还可能促使同一组织再次遭到攻击。建议在专业法律意见的协助下作出这一决定，并全面考虑其中涉及的法律、运营和伦理各方面因素。

事件应对预案：法律层面的搭建

我们认为，凡是处理个人数据的组织，都应当制定正式成文并定期演练的安全事件应对预案。预案应当把技术与法律两方面结合起来，明确参与应对的各个团队的角色和职责。从法律角度看，预案应当涵盖：评估事件严重程度的标准；内部和外部的沟通流程（包括向ANPD和个人信息主体通报）；为可能的刑事侦查或诉讼程序保全证据；与警方的联络；以及启动网络保险（如适用）。

LGPD第41条规定的个人数据处理负责人（Encarregado pelo Tratamento de Dados Pessoais，即DPO），在统筹事件应对中发挥着核心作用。这位专业人员应当作为组织、ANPD与受影响的个人信息主体之间的联络人，确保各项通报在法定期限内作出，且内容符合法律要求。DPO具备相应的专业能力并拥有职能上的自主权，是衡量组织数据保护成熟度的一项重要标志。

需要强调的是，应对预案并不是一份一成不变的文件。它应当定期审查和更新，将真实事件或模拟演练中总结的经验、ANPD的监管更新以及网络威胁环境的变化都纳入其中。重视事前准备的组织，往往能更高效地应对，缩短事件的遏制时间，从而降低个人信息主体可能遭受的损害。

这一话题与LGPD下的国际数据传输直接相关，我们已有专文论述。

这一话题与电子商务与LGPD直接相关，我们已有专文论述。

As informações deste artigo são de caráter informativo e não substituem consulta jurídica individualizada. Cada caso possui particularidades que exigem análise específica.