公共机构之间的数据共享

本页为葡萄牙语原文的译文，仅供参考，内容涉及巴西法律。如有出入，以葡萄牙语版本为准。 阅读葡萄牙语原文

公共机构之间共享数据，必须严格遵守《通用个人数据保护法》(LGPD)，并需要建立系统化的尽职调查（due diligence）流程，以避免违规和被追责。

公共部门数据共享的现状

我们正处在一个公共行政日益依赖各机关、各实体之间信息流转的时代。审视巴西公共政策的运作方式不难发现，医疗、社会救助、社会保障和税务监管等项目，都离不开对不同联邦层级机构所掌握数据库的交叉调取。这种信息交换固然是提高行政效率所必需的，但如果不在清晰的法律框架内进行，就会带来相当大的风险。

《通用个人数据保护法》（第13.709/2018号法律）确立了一套监管框架，直接影响联邦、州和市之间共享数据的方式。在LGPD出台之前，公共机构之间的数据共享往往以非正式的方式进行，通常借助笼统的协议或简单的行政申请。随着该法全面生效，这种做法不得不彻底重塑，如今要求有具体的法律依据、明确的目的以及适当的保护机制。

适用于数据的尽职调查概念，在私营领域早已成熟，如今在公共领域也变得愈发重要。它是一套系统化的核查与评估流程，旨在确保公共机构之间共享个人数据的行为，符合现行法律所要求的各项法律、技术和操作条件。在对公共部门开展数据尽职调查时，评估的不仅是法律合规性，还包括信息安全、数据质量以及相关各方的机构能力。

这一主题与数据保护审计密切相关，我们在专门的文章中对此作了论述。

这一主题与开放数据与数据保护密切相关，我们在专门的文章中对此作了论述。

公共机构之间数据共享的法律依据与要求

梳理规范公共机构之间数据共享的法律框架可以看出，LGPD在第23条至第30条中作出了专门规定。其中第26条尤为重要：它规定公权力机关共享使用个人数据，必须服务于执行公共政策的特定目的，并符合各公共机关和实体的法定职责。该条明确禁止向私营实体共享，但法律明文规定的例外情形除外。

公共部门的数据尽职调查并非单纯的官僚形式，而是确保公共机构之间的信息共享尊重公民基本权利的重要机制。

在实践中，合法的公共机构间数据共享需要同时满足多项要求。第一，必须有明确界定的公共目的，且与请求机关的法定职权相关联。第二，数据处理应限于实现该目的所必需的最低限度，遵循数据最小化原则。第三，共享数据的机关必须依照LGPD第37条的要求，保存数据处理操作的记录。

除LGPD之外，其他规范性文件也对这类共享产生影响。第10.046/2019号法令规定了联邦公共行政体系内数据共享的治理，设立了公民基础数据库（Cadastro Base do Cidadão）和中央数据治理委员会。该法令根据所涉数据的敏感程度，设立了共享类别（广泛共享、受限共享和特定共享）。开展尽职调查时，需要将数据正确归入上述各个类别，以确定适当的程序。

公共机构中数据保护负责人（DPO）的作用

依据LGPD第23条第III项，每一个参与数据共享操作的公共机关，都应指定其个人数据处理负责人。该人员在尽职调查中发挥核心作用：负责评估共享操作的合规性，指导公务人员采取适当的做法，并作为与国家数据保护局（ANPD）沟通的渠道。可以看到，许多公共机构尚未妥善建立这一职能，这在数据共享操作中构成相当大的风险。

协议与技术合作协议

在尽职调查中，为公共机构之间数据共享提供形式依据的法律文书值得特别关注。经分析，合作协议、技术合作协议和使用条款是最常见的载体。这些文书应当包含关于共享目的、涉及的数据类型、所采取的安全措施、保存期限、各方责任以及发生安全事件时的处理程序等具体条款。缺少其中任何一项，都可能影响数据共享的法律效力。

公共数据共享的尽职调查方法

在搭建针对公共机构之间数据共享的尽职调查流程时，我们遵循若干方法步骤，以确保对风险和合规性作出全面评估。第一步是梳理数据流，确定将共享哪些个人信息、其来源和去向、涉及的系统，以及操作两端各自的责任人。这一梳理至关重要，因为它能让人看清数据的完整生命周期，并发现薄弱环节。

第二步是分析适用的法律依据。需要核查拟进行的共享是否符合LGPD规定的某一情形，尤其是第7条（针对一般个人数据）和第11条（针对敏感个人数据）。就公共机构而言，最常适用的法律依据是执行公共政策（第7条第III项）、履行法律或监管义务（第7条第II项）以及保护健康（第7条第VIII项）。每一项法律依据都有其具体要求，必须完全满足。

第三步涉及个人数据保护影响评估，简称RIPD（数据保护影响报告，Relatório de Impacto à Proteção de Dados）。尽管ANPD尚未就所有公共机构间共享操作是否必须出具RIPD作出最终规定，但只要涉及敏感数据处理、大规模处理，或共享涉及弱势群体的数据（例如社会项目受益人或INSS (巴西国家社会保障局)的被保险人），编制RIPD仍被视为一种良好实践。

信息安全评估

尽职调查的一个关键组成部分，是评估参与共享的各机构所采取的信息安全措施。需要核查是否有正式的安全政策、适当的访问控制、传输和存储中的加密、审计日志、事件响应程序以及业务连续性计划。不同公共机关在信息安全成熟度上的差距，是实践中经常发现的难题。一个控制措施完善的机构，在把数据共享给保护水平不同的另一机构后，其数据仍可能受到损害。

治理与持续监测

尽职调查并不随着共享的正式确立而结束。应当落实持续监测机制，以便核实最初评估的条件在日后是否仍然成立。这包括定期审计、复核已授予的访问权限、必要时更新法律文书，以及跟进可能影响数据共享的立法或监管变化。ANPD发布的指引和指南，应纳入这种持续监测之中。

不当共享的风险与责任

分析公共机构之间未经适当尽职调查而共享数据所涉及的风险，可以发现其后果体现在多个层面。在行政层面，LGPD规定的制裁措施，从警告到公布违法行为，再到封存和删除相关个人数据不等。尽管对直接管理的公共行政部门适用罚款有其特殊性，但ANPD已表现出追究公共机构在数据处理方面违规责任的意愿。

在司法层面，不当的数据共享可能引发国家的民事责任，即有义务赔偿受到损害的数据主体。LGPD第42条规定，控制者或处理者因从事数据处理活动而造成财产损害、精神损害、个人损害或集体损害的，有义务予以赔偿。可以看到，检察院和民间社会组织提起的集体诉讼，在这一领域越来越频繁。

此外还存在声誉风险。它虽然不那么直观，却可能严重削弱公民对数字化公共服务的信任。当因不当共享引发的安全事件被公之于众时，对机构公信力的影响可能长期存在。已有案例表明，社会项目受益人的数据泄露，导致健康状况、社会经济状况等敏感信息被不当曝光，造成了难堪和歧视。

就相关公务人员而言，不当共享数据可能构成违纪行为，情节更严重的还可能构成刑事犯罪。《信息获取法》（第12.527/2011号法律）早已对不当获取或披露保密信息规定了制裁，而LGPD进一步强化了这一个人责任体系。

合规的良好实践与建议

基于本领域分析公共机构间数据共享操作的经验，我们总结出一套对合规大有助益的良好实践。第一项建议是建立一份集中的清单，涵盖该机关参与的所有数据共享，无论其是提供方还是接收方。这份清单应保持更新，并包含所采用的法律依据、涉及的数据、期限和责任人等信息。

同样建议对用于确立共享关系的法律文书实行标准化。已经纳入LGPD各项要求的协议和技术合作协议范本，能够方便法律审查，并降低出现重大遗漏的风险。这些范本应定期修订，以纳入ANPD的新指引和可能出现的立法变化。

对操作系统并能接触共享数据的公务人员进行培训，是另一根关键支柱。许多安全事件源于人为失误，例如通过不安全的渠道传送数据、授予过多的访问权限，或缺乏安全销毁数据的程序。定期的培训计划，加上以数据保护为核心的组织文化，是能在降低风险方面带来显著回报的投入。

最后，需要强调在参与共享的各机构数据负责人之间建立高效沟通渠道的重要性。这种沟通有助于事件管理、程序更新和操作疑问的解决。在公共服务日益数字化的背景下，数据保护专业人员之间的协作，对于确保公共机构间的信息共享既实现其目的、又不损害公民权利，正变得越来越重要。

As informações deste artigo são de caráter informativo e não substituem consulta jurídica individualizada. Cada caso possui particularidades que exigem análise específica.