Cookies与在线追踪：巴西的监管规则

本页为葡萄牙语原文的译文，仅供参考，内容涉及巴西法律。如有出入，以葡萄牙语版本为准。 阅读葡萄牙语原文

Cookies及各类在线追踪技术每天都在收集数以百万计巴西人的数据，而巴西国内立法对这种做法早已划定了明确的界限。

什么是Cookies，追踪技术如何运作

我们上网时，几乎所有访问过的网站都会在设备上存放一些小型文本文件。这些文件就是通常所说的Cookies，里面记录着偏好设置、浏览历史、登录信息，甚至是在线行为模式。许多Cookies对网站的基本运行必不可少（例如保持用户的登录状态，或记住购物车里的商品），但也有一些用途要具侵入性得多，比如跨平台追踪用户的活动，进而生成详尽的消费画像。

除了传统的Cookies，还有一些运作方式更为精密的追踪技术。以追踪像素为例，它是嵌入网页和电子邮件中的不可见图像，能够记录内容在何时、以何种方式被访问。指纹识别（fingerprinting，即浏览器数字指纹）则会收集用户设备的技术特征，如屏幕分辨率、操作系统、已安装的插件和语言设置，即使不使用Cookies，也能生成唯一的标识符。至于网页信标（web beacons）和移动应用中的SDK，则把数据收集的范围扩展到了远远超出常规浏览器的环境。

Cookies可以按用途分为不同类别。严格必要型Cookies保障网站的基本功能，通常无需征得同意。性能型或分析型Cookies收集访问者使用网站的情况，用以改进用户体验。功能型Cookies用于保存个性化偏好。而广告和营销类Cookies最令人担忧，在法律层面尤其如此：它们会跨多个网站追踪用户，构建行为画像，并据此推送个性化广告。

这一问题与被遗忘权直接相关，我们已在专门的文章中探讨过这一主题。

这一问题与应用程序中的数据保护直接相关，我们已在专门的文章中探讨过这一主题。

《通用数据保护法》与Cookies对数据的处理

《通用个人数据保护法》（第13.709/2018号法律），简称LGPD，是规范巴西境内个人数据处理的主要规范性文件，其中也包括通过Cookies和追踪技术收集的数据。LGPD的条文中并未明确提到“cookies”一词，但这些技术所收集的数据完全符合该法第5条第I项确立的个人数据概念：“与已识别或可识别的自然人有关的信息”。

IP地址、Cookie标识符，或根据用户浏览行为建立的行为画像，只要能够直接或间接识别出某个人，就属于个人数据。试想，广告追踪类Cookies会汇总数十个网站的信息，为个人建立详细的画像（包括其兴趣、消费习惯、常去的地点，以及搜索过的健康状况），由此可见，识别出个人的可能性是极大的。

根据LGPD，要使Cookies对数据的处理合法，必须符合该法第7条规定的某一项法律依据。在这一语境下，最重要的法律依据是数据主体的同意（第7条第I项）和控制者的正当利益（第7条第IX项）。依据第5条第XII项，同意必须是自由、知情且明确的意思表示，数据主体通过它同意为特定目的处理其个人数据。这意味着，仅有一句“本网站使用cookies”的笼统横幅，外加一个“接受”按钮，并不符合法律要求，因为它既没有提供足够的信息，也不允许用户进行细分选择。

仅仅展示一个告知使用Cookies的横幅，并不等同于LGPD所要求的有效同意；LGPD要求数据主体作出自由、知情、明确且可细分的意思表示。

至于正当利益，则可用于网站运行所严格必需的Cookies，或以汇总、匿名化方式收集数据的分析型Cookies。然而，若以正当利益作为行为广告类Cookies的法律依据，则风险较大，因为数据主体的合理预期通常很难涵盖不明第三方对其在线活动的大规模追踪。

《互联网民法框架》与在线隐私保护

早在LGPD之前，《互联网民法框架》（Marco Civil da Internet，第12.965/2014号法律）就已经为巴西数字环境中的隐私保护确立了基本原则。该法第3条将隐私保护和个人数据保护确立为巴西互联网使用规范的原则。第7条则保障用户享有私生活和隐私不受侵犯、通信流不受泄露的权利，以及未经自由、明示且知情的同意，其个人数据不得提供给第三方的权利。

为实施《互联网民法框架》而颁布的第8.771/2016号法令，另有一些值得关注的规定。其第13条要求连接提供者和应用提供者尽可能少地留存个人数据，并采取适当的安全措施。这一最小化原则直接适用于Cookies的使用：网站和应用程序只应收集为实现所声明目的而严格必需的数据，避免不加区分地累积有关用户行为的信息。

在实践中我们看到，《互联网民法框架》与LGPD是相辅相成的。前者确立了在线隐私保护的一般原则，以及关于访问记录留存的规则；后者则就法律依据、数据主体的权利、控制者的义务和行政处罚提供了更为详尽的框架。这两部法律合在一起，构成了一套严密的规范体系，为Cookies和追踪技术的使用划定了明确的界限。

在巴西运营的网站和企业的实际义务

鉴于现行的法律框架，使用Cookies和追踪技术的网站及数字平台需要采取一系列措施来确保合规。首要也是最基本的一项，是部署同意管理机制（通常称为“cookie banner”或“同意管理平台”）。该机制应当以清晰易懂的方式让用户看到：网站打算使用哪些类别的Cookies，每一类的用途是什么，哪些第三方将获得所收集的数据，以及这些信息会存储多长时间。

同意机制应当提供可细分的选项，使数据主体能够分别接受或拒绝每一类Cookies。不得把访问网站内容的前提设定为全盘接受所有Cookies（这种做法被称为“cookie wall”），因为这违反了LGPD所规定的同意须出于自愿的要求。同样，同意必须在非必要Cookies启用之前取得，而不能事后补办（即所谓的“opt-in”而非“opt-out”）。

网站的隐私政策应当设有专门的章节，介绍Cookies和追踪技术，以透明且通俗易懂的语言说明这类数据收集的所有相关方面。据我们分析，许多巴西网站仍然沿用笼统的隐私政策，这些政策翻译自外国模板，既没有反映巴西国内立法的实际情况，也没有体现实际数据处理的具体特点。

另一个值得关注的方面涉及第三方Cookies，尤其是由广告平台、社交网络和分析工具所安装的那些。在其访问者设备上安装这些Cookies的网站，依据LGPD属于共同控制者（或视情况属于处理者），对这些第三方所进行的数据处理负有连带责任。这意味着，仅仅嵌入一段Google Analytics、Meta Pixel或程序化广告平台的脚本，所产生的法律义务就已不止于展示一个Cookies横幅。

国家数据保护局（ANPD）已发布指导性指南，进一步强化了这些义务。该机构对Cookies和同意问题表现出特别的关注，并表示未来几年在这一领域的监督检查和处罚可能会趋于加强。LGPD规定的处罚包括警告、最高可达企业营业额2%的罚款（每次违法行为以R$ 50 milhões为限）、封存以及删除被违规处理的个人数据。

监管趋势与巴西在线追踪的未来

围绕Cookies和在线追踪的监管环境正在不断演变，无论是在巴西还是在国际层面。我们注意到，ANPD的监管活动在逐步扩大，陆续发布法规和指南，就LGPD的一般性义务在特定情形下如何适用作出细化。可以预见，该机构今后将就Cookies的使用出台越来越具体的规范，其所循的是欧洲数据保护机构的路径，后者已就此议题发布了详细的指导意见。

在立法层面，国民议会正在审议若干法案，意在以更具体的规则补充LGPD，涉及数字广告、人工智能，以及在线环境中对儿童和青少年的保护。这些法案一旦获得通过，可能会对追踪类Cookies的使用施加额外限制，尤其是针对未成年人的行为定向广告。

技术变革同样直接影响着这一格局。随着Firefox和Safari等浏览器逐步放弃第三方Cookies（Google Chrome也在朝这个方向有所动作），新的追踪技术正在不断涌现。服务器端追踪、注重隐私的归因API以及概率型标识符等方案，带来了前所未有的监管挑战，因为它们的运作方式往往对用户而言更不可见，也更难以通过传统的同意管理机制加以控制。

对于在巴西数字环境中运营的企业和专业人士，我们的建议很明确：从现在起就投入合规建设，采取隐私设计（privacy by design）和默认隐私（privacy by default）的做法，正如LGPD第46条第2款所倡导的那样。这包括梳理所使用的全部Cookies和追踪技术，记录适用的法律依据，部署恰当的同意机制，并持续运行个人数据治理方案。数据方面的尽职调查（due diligence）早已不是一种竞争优势，而是一项法律义务，违反这一义务可能带来严重的财务、声誉和法律后果。

As informações deste artigo são de caráter informativo e não substituem consulta jurídica individualizada. Cada caso possui particularidades que exigem análise específica.