智慧城市中的数据保护

本页为葡萄牙语原文的译文，仅供参考，内容涉及巴西法律。如有出入，以葡萄牙语版本为准。 阅读葡萄牙语原文

智慧城市承诺提升城市运行效率，但传感器、摄像头和物联网（IoT）设备对个人数据的大规模采集，需要开展严格的尽职调查，以避免违反LGPD（巴西《通用数据保护法》）以及侵害公民的基本权利。

智慧城市中的数据生态系统

智慧城市是一种城市管理模式，它借助数字技术优化公共服务，从交通管控到电力分配，无所不包。就此而言，这类城市的技术基础设施依赖于持续、大规模的数据采集，其中许多数据本身就是个人数据，或者与其他信息库交叉比对后就会变成个人数据。带有人脸识别功能的视频监控摄像头、城市交通传感器、互动式信息终端、公共Wi-Fi网络以及公共交通应用程序，只是为这一实时数据生态系统提供数据的部分设备而已。

可以看到，这一环境所产生的信息量十分惊人。一个装有智能传感器的十字路口，每天就能记录成千上万人的出行轨迹。当这些数据与电子票务信息、市政应用程序的地理定位数据以及公共建筑的出入记录结合起来时，就会形成居民详尽的行为画像，而居民往往并不完全清楚这种监控的范围有多大。《通用数据保护法》（第13.709/2018号法律）直接适用于这些处理活动，要求公共部门及其私营合作方在处理这些信息时遵守目的、必要性和透明度等原则。

我们注意到，当考虑到智慧城市项目常常涉及公私合作（PPP）时，情况会变得更加复杂。科技企业提供基础设施、开发平台，并代表公共行政部门运营系统。这样的数据处理链条会产生多个薄弱环节，因此，在每一个城市技术项目实施之前、实施期间和实施之后，都必须专门针对数据保护开展尽职调查。

数据尽职调查：概念及其在城市项目中的适用

在智慧城市语境下，数据尽职调查是一个结构化的调查与评估过程，旨在评估城市技术项目中处理个人数据所涉及的风险。就此而言，这一程序不止于简单的合法合规核查，还涵盖技术、组织和伦理层面，用以判断项目是否尊重数据主体的权利，以及是否遵守现行法律设定的界限。

尽职调查首先应当对数据流进行全面梳理。我们认为，这意味着要逐一列明所有采集点（传感器、摄像头、应用程序、信息终端）、所采集的数据类型（图像、位置、设备标识符、生物识别数据）、每项处理活动所依据的法律基础、数据处理链条中的各方主体（控制者、处理者、次级处理者），以及公共实体与私营实体之间的共享机制。缺少这种详尽的梳理，任何风险评估都将是不完整的，甚至可能产生误导。

其次，尽职调查还应评估已落实的信息安全措施。可以看到，智慧城市项目经常使用云基础设施、无线通信网络和数据传输协议，而这些都存在特定的安全漏洞。评估内容应包括传输中和存储中的加密、访问控制、留存与销毁政策、事件应急响应预案，以及对所采集数据的匿名化或假名化机制。

个人数据保护影响报告（RIPD）

我们认为，个人数据保护影响报告是智慧城市项目尽职调查中的核心工具。LGPD第38条规定，国家数据保护局（ANPD）可以要求控制者编制该报告，尤其是在处理活动以正当利益为依据的情形下。在智慧城市中，公共利益经常被援引为法律基础，此时RIPD就成为证明所开展处理活动具有相称性和必要性的关键文件。

智慧城市中的数据保护并不是城市创新的障碍，而是创新得以可持续、合乎伦理且在法律上安全的前提。

RIPD应当说明那些可能对公民自由和基本权利造成风险的处理流程，包括对人脸识别、公共空间行为监测等监控技术的评估。就此而言，编制这份文件不应被视为单纯的官僚式形式要求，而应被视为在技术项目的收益与公民权利面临的风险之间真正做出权衡的过程。

特定风险与需要重点关注的环节

我们发现，在对智慧城市项目开展尽职调查时，有若干风险值得特别关注。第一个是所谓的“功能蔓延”（function creep），即为特定目的采集的数据，在数据主体不知情或未同意的情况下，被用于完全不同的用途。一套为监测车流而安装的摄像系统，如果缺乏适当的控制，就可能被挪作行为监控，或用于识别公共集会中的个人，这直接违反了LGPD第6条第I项所规定的目的原则。

第二个重要风险涉及算法歧视。可以看到，智慧城市中用于公共资源分配、预测性警务或服务优先级排序的人工智能系统，可能会复制并放大历史数据中存在的偏见。尽职调查应当包括算法审计，评估所使用的模型是否会基于种族、性别、地理位置或社会经济状况而产生歧视性结果，以遵守LGPD第6条第IX项确立的不歧视原则。

公共实体与私营实体之间的数据共享

就此而言，智慧城市项目中最为敏感的环节之一，是公共行政部门与运营技术基础设施的私营企业之间的数据共享。LGPD第26条规定，公共部门对个人数据的共享使用，应当服务于执行公共政策和履行法定职责这些特定目的。而第27条则禁止公共部门向私营实体转移个人数据，仅在明确列举的情形下除外，例如公共活动的分散执行，或者数据属于可公开获取的数据。

尽职调查应当细致审查公共部门与科技企业之间签订的合同，核查有关所采集数据的归属、使用限制、安全义务、审计权利以及发生事件时的责任等条款。我们发现，在巴西乃至世界各地的许多智慧城市项目中，由于缺乏完善的合同条款，出现了私营企业利用在公共空间采集的信息积累起有价值的数据库，并将其用于原项目未曾设定的商业目的的情形。

数据治理与市政当局的良好实践

我们认为，建立数据治理方案，是任何有意推进智慧城市项目的市政当局不可或缺的条件。该方案应当确立清晰的组织架构，包括按照LGPD第41条的要求指定数据保护负责人（DPO）、设立数据治理委员会，以及开通便于公民行使其数据主体权利的沟通渠道。

可以看到，良好的治理实践包括在所有城市技术项目中采用“隐私设计”（privacy by design，即从设计之初就考虑隐私）原则。这意味着数据保护必须从规划和招标阶段就纳入其中，而不是在系统建成之后再额外叠加的一层。智慧城市项目的招标文件应当明确规定符合LGPD的各项要求，包括数据最小化、尽可能匿名化、就所开展的处理活动主动保持透明，以及让公民能够查询、更正并请求删除其数据的机制。

就此而言，透明度在城市环境中尤其值得强调。在私人合同关系中，数据主体可以选择不提供自己的数据；而在智慧城市中穿行的公民，往往对自己的信息被采集并没有真正的选择权。走在装有人脸识别摄像头的街道上，或使用电子票务的公共交通，都是日常活动，而这些活动几乎不可避免地会产生个人数据。因此，公共行政部门负有更高的义务，要向公众说明采集了哪些数据、用于什么目的、存储多长时间，以及与谁共享。

定期评估与持续监测

我们注意到，智慧城市中的数据尽职调查不能当作一次性事件来对待。城市技术项目具有动态性，软件会更新，传感器会增加，新功能会加入，技术合作方也会变化，因此需要持续的监测流程。建议开展定期审计（至少每年一次），重新评估数据流，核查安全措施的有效性，测试事件应急响应机制，并确认数据处理仍处于最初确定的法律基础所允许的范围之内。

这种监测还应包括对可能出现的立法和监管变化的分析。ANPD已经发布了对LGPD的补充性规定，这些规定直接影响智慧城市项目，而巴西关于数据保护的判例也正在加速形成。可以看到，持续开展数据保护合规工作的市政当局，能够更快地适应这些变化，从而降低行政处罚和诉讼的风险。

责任追究与不合规的后果

就此而言，在智慧城市项目中违反数据保护规范，可能给公共行政部门和相关私营合作方带来严重后果。LGPD在第52条至第54条中规定了行政处罚，包括警告、最高为营业额2%的单次罚款（每项违法行为以R$ 50 milhões为上限）、每日罚款、公布违法行为、封存以及删除个人数据。除行政处罚之外，根据LGPD第42条至第45条，数据处理者还可能须就给数据主体造成的损害承担民事责任。

可以看到，由于涉及的主体众多，智慧城市中的责任问题更为复杂。LGPD第42条第1款第I项规定，处理者违反法律义务或控制者的合法指示时，须对所造成的损害承担连带责任。在智慧城市项目中，数据处理链条可能涉及市政当局（控制者）、科技企业（处理者）、分包商，甚至其他公共实体，因此，在尽职调查中明确界定各方角色与责任，对于避免争议、确保受害数据主体获得有效赔偿至关重要。

我们认为，除直接的法律后果之外，智慧城市中的数据保护违规还会造成显著的声誉影响，并可能损害公民对城市现代化举措的信任。凡是不能体现对居民隐私尊重的项目，往往会遭遇社会抵触、司法质疑和实施困难，而这些本可以通过从一开始就进行适当的尽职调查来避免。

这一主题与完整指南直接相关，我们已在专门的文章中探讨过这一话题。

为方便您进一步阅读，也可参阅本所关于LGPD中的敏感数据的文章。

As informações deste artigo são de caráter informativo e não substituem consulta jurídica individualizada. Cada caso possui particularidades que exigem análise específica.