数据控制者与数据处理者的责任

本页为葡萄牙语原文的译文，仅供参考，内容涉及巴西法律。如有出入，以葡萄牙语版本为准。 阅读葡萄牙语原文

巴西《通用数据保护法》(LGPD)为控制者和处理者设定了不同的角色，弄清这两类主体各自的责任，对于避免高额处罚、保护数据主体的权利至关重要。

LGPD中的数据控制者与数据处理者是什么

仔细研读《通用数据保护法》(第13.709/2018号法律)的结构不难发现，该法在两类处理主体之间划出了清晰的界线：控制者（controlador）与处理者（operador）。这一区分并非纯粹的理论问题。它决定了由谁来决定个人数据的处理方式、由谁来执行这些决定，并直接影响双方各自需要承担的民事责任和行政责任。

根据LGPD第5条第VI项，控制者是指有权就个人数据处理作出决定的自然人或法人，无论其属于公法还是私法主体。从实务角度看，控制者就是确定处理目的和处理手段的一方。例如，一家企业为开展营销而收集客户数据，它就是控制者，因为这些数据为何使用、如何使用，都由它来决定。

处理者则是同一条第VII项所界定的主体，即代表控制者处理个人数据的自然人或法人。设想一家科技公司受托为另一家机构处理工资单：它虽然处理员工的个人数据，但依据的是委托方的指示。在这种情形下，科技公司是处理者，委托方是控制者。

这种关系并不总是容易划分。在企业日常运营的许多场景中，同一个机构可能对某些数据是控制者，同时对另一些数据又是处理者。准确识别这些角色，是任何数据保护尽职调查（due diligence）的第一步，因为法律责任直接取决于这一定性。

控制者的具体责任

在LGPD的体系中，控制者承担着最重的责任。从数据的收集到删除，个人数据整个生命周期是否符合法律规定，都由控制者负责保证。可以看到，法律赋予控制者的一系列义务，是不能转嫁给处理者的。

准确识别控制者与处理者的角色，是任何数据保护合规方案的基石，因为二者承担的法律义务各不相同，且不可相互转移。

控制者的主要义务之一，是为每一项处理活动确定适当的法律依据。LGPD第7条列出了十种允许处理个人数据的情形，具体到每个个案适用哪一种，须由控制者来判断。若选错法律依据，整个处理行为都可能失去效力，并引发相应的责任。

此外，当巴西国家数据保护局(ANPD)提出要求时，控制者还应编制《个人数据保护影响报告》(RIPD)。该文件需说明可能对数据主体的公民自由和基本权利带来风险的处理流程，并列明为降低这些风险而采取的措施和保障手段。

透明义务与对数据主体请求的回应

透明义务是控制者履职的支柱之一。控制者应当以清晰、易懂的方式告知数据主体：收集了哪些数据、用于什么目的、将保存多长时间，以及会与哪些对象共享。这些信息通常体现在机构的隐私政策中，而隐私政策必须使用通俗的语言撰写，并且便于查阅。

此外，对于LGPD第18条规定的数据主体请求，控制者是直接的责任人。这些请求包括查阅、更正、匿名化、可携带以及删除数据。根据ANPD的规定，答复期限为15天，未履行可能招致行政处罚。

任命数据保护专员

控制者独有的另一项义务，是任命个人数据处理专员（英文简称DPO）。该专员是控制者、数据主体与ANPD之间的沟通渠道。其身份和联系方式应当公开披露，最好发布在机构的官方网站上。针对小型处理主体，ANPD已经对免除这一义务的情形作出了规定。

处理者的具体责任

处理者虽然扮演的是执行角色，但这并不意味着其责任更轻，也不意味着其可以免除法定义务。LGPD要求处理者严格按照控制者的合法指示处理个人数据，未经明确授权，不得将数据用于自身目的。

处理者应当采取技术和管理方面的安全措施，保护个人数据免遭未经授权的访问，以及意外或非法的毁损、丢失、篡改、披露或扩散。这些措施应当与所涉风险及现有技术水平相适应。在实践中，这涉及落实加密、访问管理、事件监测和备份政策等控制手段。

有一点十分关键：处理者如果不遵守控制者的指示，或者其行为违反LGPD，在追责时可能被等同于控制者。也就是说，如果处理者擅自决定将数据用于与控制者所定目的不同的用途，它就要像控制者一样承担责任，承受相应的全部义务和处罚。

在尽职调查中，对所聘用的处理者进行评估是至关重要的一环。在与处理者共享个人数据之前，控制者应当评估该合作方是否具备足够的技术和组织条件来保障数据安全。服务合同应当包含有关数据保护的专门条款，包括保密义务、安全措施、事件通报程序以及转委托的条件。

民事责任与行政责任制度

LGPD中有关处理主体责任的制度规定在第42条至第45条。法律规定，控制者或处理者因从事个人数据处理活动，违反数据保护法律，造成财产损害、精神损害、个人损害或集体损害的，有义务予以赔偿。

可以看到，LGPD原则上对处理主体适用主观责任（以过错为基础）。但是，当数据处理构成消费关系时，则适用《消费者保护法》，该法规定的是客观责任（无须证明过错）。这一区别意义重大，因为企业与终端消费者之间的大多数关系都会涉及个人数据处理。

控制者与处理者之间的连带责任

LGPD规定了控制者与处理者承担连带责任的若干情形。当处理者违反法律规定的义务或者控制者的合法指示时，即属此类情形，此时双方均须对数据主体所受的损害负责。此外，当多个控制者直接参与了造成损害的数据处理时，同样存在连带责任。

在实践中，这意味着受损害的数据主体可以向法院起诉控制者或处理者，也可以同时起诉二者，以获得损害赔偿。向数据主体赔偿了损害的一方，有权按照各责任人在损害事件中的参与程度，向其他责任人追偿。这种追偿的可能性，进一步凸显了控制者与处理者之间订立完善合同的重要性，合同中应明确约定责任的分配。

可适用的行政处罚

除民事责任外，ANPD还可以对违反LGPD的处理主体施以行政处罚。第52条规定的处罚包括警告、最高为法人营业额2%的单次罚款（每项违法行为以R$ 50 milhões为限）、按日罚款、公布违法行为、封存和删除个人数据、部分暂停数据库运行，以及部分或全部禁止从事与数据处理相关的活动。

ANPD已经公布了《行政处罚量定与适用规则》，其中规定了计算和适用处罚的标准。考量因素包括违法行为的严重程度、违法者的善意、已获得或意图获得的利益、违法者的经济状况、损害程度、违法者的配合情况，以及是否采取了能够将损害降至最低的内部机制和程序。

数据保护尽职调查：如何搭建评估体系

数据保护尽职调查，是机构系统评估个人数据处理相关风险的过程，既包括内部风险，也包括与其共享数据的第三方带来的风险。我们认为，对于任何稳健的合规方案而言，这都是不可或缺的做法。

第一步是对数据流进行完整梳理（data mapping）。这需要弄清：收集了哪些个人数据、来自谁、用于什么目的、存放在哪里、哪些人可以访问、与谁共享，以及保存多长时间。LGPD第37条要求控制者和处理者保存处理操作的记录。

接下来，要分析每项处理活动所采用的法律依据是否恰当。每一项处理目的，都必须有第7条（针对一般个人数据）或第11条（针对敏感个人数据）所规定的情形作为依据。采用不当的法律依据，可能使整个处理链条受到影响。

对第三方（处理者以及与之共享数据的其他控制者）的评估，同样是关键环节。可以看到，数据保护方面较为成熟的机构，会采用标准化问卷、现场或远程审计以及公认的认证，作为筛选合作方的标准。若聘用处理者时未尽应有的审慎，一旦发生事件，控制者可能要承担连带责任。

最后，尽职调查还应涵盖对事件应对机制的分析。LGPD要求，发生可能造成相关风险或损害的安全事件时，控制者须向ANPD和数据主体通报。拥有经过测试并持续更新的事件应对预案，对于在规定期限内履行这一义务、并将可能发生的数据泄露的影响降到最低，至关重要。

这一主题与LGPD与责任密切相关，我们已有专文论述。

这一主题与数据处理中的民事责任密切相关，我们已有专文论述。

As informações deste artigo são de caráter informativo e não substituem consulta jurídica individualizada. Cada caso possui particularidades que exigem análise específica.