交通出行类应用中的地理位置数据

本页为葡萄牙语原文的译文，仅供参考，内容涉及巴西法律。如有出入，以葡萄牙语版本为准。 阅读葡萄牙语原文

交通出行类应用收集的地理位置数据，折射出数百万巴西人的生活习惯、日常作息与出行轨迹，因此必须通过严格的尽职调查（due diligence），确保符合LGPD（巴西《通用数据保护法》）的要求。

地理位置数据在交通出行领域的战略价值

网约车平台、城市出行平台以及配送服务等交通出行类应用，每天要处理数以十亿计的地理位置数据点。每一次叫车、每一段行程、每一次停靠，都会拼出用户日常生活的一幅细致图景。从个人数据保护的角度来看，这类信息是企业所能处理的最敏感的信息类别之一。

虽然《通用数据保护法》（第13.709/2018号法律）第5条第II项并未明确将地理位置列为敏感个人数据，但它具有非同寻常的推断潜力。根据长期反复出现的地理坐标，可以推断出一个人的住所、工作地点、常去的医疗机构、宗教倾向，甚至情感关系。这种能够揭示数据主体私密生活的特性，使位置数据在任何一项尽职调查（due diligence）中都处于高风险区域。

可以看到，出行领域的企业积累了海量的此类信息，保存期限往往超出了提供服务这一原始目的所需的时间。在并购或投资交易中，这些数据库既可能是宝贵的资产，也可能是重大的合规负债，这取决于它们是如何建立和维护的。

位置数据处理的法律依据与界限

LGPD规定，所有个人数据的处理都必须以其第7条所列的法律依据之一为基础。在交通出行类应用中，处理地理位置数据最常援引的法律依据是合同履行（第7条第V项），原因在于运输服务的提供本质上依赖于掌握用户的位置，才能将乘客与司机连接起来。

交通出行类应用中的地理位置信息并不只是一项技术运营数据，而是数据主体私人生活的详细写照，对其进行治理，应当与公认的敏感数据适用同等严格的标准。

然而，一旦涉及这些数据的二次使用（例如建立用于定向广告的行为画像、出售用于城市规划的汇总数据，或基于出行模式开发新产品），合同依据就不够用了。在这些情形下，需要取得数据主体具体、自由、知情且明确的同意，而尽职调查必须核实该同意是否确已以有效方式取得。

在数据审计中经常发现的一个关键问题，是匿名化数据与假名化数据被混为一谈。许多出行平台声称使用的是“匿名”的地理位置数据，实际上采用的却是假名化技术，只要与其他数据库交叉比对，就可以重新识别出数据主体。学术研究已经表明，即使删除了姓名和其他直接标识符，只需随时间积累的少数几个位置点，就足以高精度地识别出某一个人。

最小化原则（LGPD第6条第III项）要求，仅收集和保留为所声明目的严格必需的数据。实践中可以看到，不少平台每隔几秒钟就采集一次位置数据，而实际上更长的间隔就足以提供服务。这种过度细化的做法构成监管风险，必须在尽职调查中予以梳理。

地理位置数据尽职调查清单

在针对交通出行类应用的地理位置数据开展尽职调查时，我们将分析分为若干不同的层面，涵盖法律、技术和组织三个方面。第一层是对数据流转的完整梳理：从用户设备上的采集环节开始，直到最终存储，其间涉及与第三方、次级处理者及商业合作伙伴的所有共享。

第二层是审查监管文件。这包括平台的隐私政策、使用条款、处理活动记录（LGPD第37条）、个人数据保护影响报告（RIPD），以及数据保护官（DPO）可能出具的意见。需要核查隐私政策是否以清晰易懂的方式说明了：收集哪些位置数据、保存多长时间、与谁共享，以及数据主体可以行使哪些权利。

第三层是技术层面。需要评估为保护地理位置数据而采取的安全措施，包括传输中和静态存储中的加密、基于角色的访问控制、审计日志、自动化保留策略，以及匿名化或假名化机制。同时还要分析存储架构，以核实位置数据是否与其他个人数据相隔离，以及是否设有有效的控制措施防止未经授权的访问。

国际传输中的注意事项

许多交通出行类应用在全球范围内运营，并将数据存储在位于巴西境外的服务器上。LGPD第33条至第36条对个人数据的国际传输规定了具体条件。在尽职调查过程中，需要核实这些传输是否基于法律规定的某一机制，例如特定合同条款、全球企业规则，或巴西国家数据保护局（ANPD）作出的充分性认定。

事件与投诉的历史记录

尽职调查的另一项基本内容，是梳理涉及地理位置数据的安全事件历史，以及数据主体向ANPD、Procon（巴西消费者保护机构）或司法机关提出的投诉。过往发生的事件可能表明目标公司在数据治理方面存在系统性缺陷，并产生直接影响交易估值的负债。

监管风险与适用的处罚

ANPD已通过其法规和指导手册表明，对地理位置数据的不当处理可能招致LGPD第52条规定的行政处罚。这些处罚包括警告、最高可达营业额2%的单项罚款（每项违法行为以R$ 50 milhões为上限）、按日罚款、公开违法行为，以及封锁和删除个人数据。

除行政处罚外，还存在其他层面的风险。联邦和州检察机关在个人数据的集体保护方面日益活跃，可以提起公益民事诉讼，其结果可能是判令履行特定作为义务以及承担集体精神损害赔偿。各州和各市的Procon也有权对涉及个人数据处理的、违反《消费者保护法典》的行为进行监督和处罚。

在尽职调查中，这些风险需要被量化，并纳入交易的财务评估。一个在缺乏适当法律依据、未向数据主体透明告知、或安全措施不相称的情况下建立起来的地理位置数据库，并不是资产，而是一项负债，可能转化为罚款、赔偿以及难以衡量的声誉损失。

对合作伙伴关系及行业监管机构的影响

交通出行类应用处在多层次的监管环境之中。除LGPD外，它们还受市级交通法规、《互联网民事框架法》（第12.965/2014号法律）的规范，在某些情况下还受特定行业法规的约束。尽职调查需要梳理所有这些监管层面，以找出与地理位置数据相关的重叠或相互冲突的义务。

与地图服务公司、保险公司、公共部门和广告主之间的合作，往往涉及位置数据的共享。每一次共享都必须有合同作为支撑，明确各方的责任、获准的使用目的、所要求的安全措施，以及发生事件时的处理程序。对这些合同是否存在及其质量进行评估，是尽职调查过程中必不可少的一环。

合规的良好实践与建议

基于办理涉及地理位置数据的尽职调查的经验，我们归纳出一套对交通出行类应用企业而言至关重要的建议。其中第一项也是最根本的一项，是在位置数据的采集和处理架构中落实隐私设计（privacy by design）原则。这意味着对隐私的保护应当从系统设计之初就融入其中，而不是事后作为一层表面的合规外衣附加上去。

建议采用降低精度的技术（例如对地理坐标进行取整），实施精细化的保留策略，将提供服务所必需的数据与用于二次目的的数据区分开来，并建立有效机制，使数据主体能够行使其对位置数据的访问权、更正权、可携带权和删除权。

针对地理位置数据的处理，定期编制专门的个人数据保护影响报告（RIPD），是另一项我们认为不可或缺的做法。每当位置数据的处理规模、目的或处理机制发生重大变化时，这些报告都应当随之更新。

最后，需要强调的是：为接触地理位置数据的员工开展持续培训，落实对这些数据的所有访问进行记录和审计的技术控制，并与ANPD保持有效的沟通渠道，以便及时通报涉及位置数据的安全事件。

这一主题与移动应用中的数据保护直接相关，我们另有专文探讨。

这一主题与未成年人在网络游戏中的数据直接相关，我们另有专文探讨。

As informações deste artigo são de caráter informativo e não substituem consulta jurídica individualizada. Cada caso possui particularidades que exigem análise específica.