LGPD实务指南：贵公司需要了解的事项

本页为葡萄牙语原文的译文，仅供参考，内容涉及巴西法律。如有出入，以葡萄牙语版本为准。 阅读葡萄牙语原文

巴西《通用数据保护法》（LGPD）重塑了企业与个人信息之间的关系，要求企业在日常流程、合同和技术层面作出切实调整，以避免行政处罚和民事责任。

该法的适用范围及适用对象

巴西的个人数据保护立法，几乎涵盖所有涉及收集、存储或共享自然人信息的经济活动。个体微型创业者、事务所、学校、诊所、电商平台和各类服务提供者，无论规模大小，也无论总部是否设在国外，都必须遵守其规定。

在境外进行的数据处理同样适用该法，只要数据是在巴西境内收集的，或者商品与服务的提供对象是巴西人。其实际后果十分明确：只要业务涉及姓名、CPF (巴西自然人纳税登记号)、地址、电子邮箱、财务数据或行为画像，就都无法回避合规义务。

负责合规工作的团队需要梳理数据流转情况，弄清楚由谁收集、由谁存储、由谁共享，以及每项信息要保存多长时间。这份数据清单是后续各项工作的基础，往往还会暴露出一些经不起专业分析的陈旧流程。

指导数据处理的原则与法律依据

现行立法确立了若干原则，它们是所有数据处理活动都必须通过的“过滤器”。目的原则要求处理目的正当、明确，并事先告知数据主体。适当性原则要求数据的使用与所声明的目的相符。必要性原则将收集范围限定在不可或缺的最低限度。透明原则则要求数据主体能够方便地获取有关其数据使用情况的信息。

法律规定了多种可以授权处理数据的依据，能否在其中作出正确选择，对于业务的合法性至关重要。同意只是其中之一，却常常被误认为是唯一的选择。在许多情形下，合同履行、正当利益、履行法定义务或保护生命等依据，能够提供更为牢固、更为稳定的基础。

法律依据选错，会牵连整个处理链条。例如，一家公司如果以同意作为某项数据处理的依据，就等于把自己置于数据主体可随时撤回同意的境地，哪怕该项活动本可以建立在其他依据之上。隐私已不再是无关紧要的繁琐手续，而是成为任何处理自然人信息的组织战略的一部分。

隐私已不再是无关紧要的繁琐手续，而是成为任何处理自然人信息的组织战略的一部分。

事前的法律分析可以避免返工并降低风险，尤其是在业务涉及大量敏感数据，或需要与外部合作伙伴共享数据时。

数据主体的权利及应对方式

数据主体可以要求确认是否存在数据处理、查阅数据内容、更正不完整或过时的信息、进行匿名化、将数据转移至其他服务提供者（可携带权），并且在数据处理基于其同意的情况下，要求删除数据。在特定的法定情形下，数据主体还享有反对权，以及对自动化决策要求复核的权利。

对于提出的每一项请求，都应在合理期限内，以清晰的语言并通过便捷的渠道作出答复。不予理会或敷衍作答，往往会引发向国家数据保护机构的投诉和司法诉讼。较好的做法是设立专门的受理渠道，与商务客服相区分，用于登记和处理与个人数据相关的诉求。

希望加强自身数字业务的企业，可以查看我们的业务领域，了解我们在合同合规和内部政策审查方面可提供的法律解决方案。

合规与治理的实用措施

合规不是一份孤立的文件，而是由技术、管理和法律措施组成的持续体系。较为常见的结构性措施包括：指定数据保护负责人、制定清晰的隐私政策、审查与供应商之间的合同，以及建立安全事件应对程序。

在技术层面，按角色划分的访问控制、加密、日志记录、环境隔离和可验证的备份，是任何架构都应具备的基本要求。在管理层面，定期开展员工培训、审查劳动合同中的相关条款并明确划分责任，可以降低因人为失误造成数据泄露的风险。

成熟的治理体系还包括数据保护影响评估报告：当相关活动会对数据主体的权利带来较高风险时，例如处理敏感数据、自动化决策以及大规模系统性监控，就需要出具该报告。这份文件只在特定情形下才要求提供，并且在监管机构面前可作为已尽勤勉义务的证明。

常见问题

贵公司中有谁需要遵守LGPD？

任何在巴西处理个人数据的组织都负有这一义务，从个体微型创业者到大型企业概莫能外。企业规模并不是排除适用的标准，不过国家数据保护机构对小型处理主体承认有简化的制度。即便没有CNPJ (巴西企业纳税登记号)，保存客户档案的自由职业者也需要遵守该法。

数据保护负责人的作用是什么？

数据保护负责人是企业、数据主体与国家数据保护机构之间沟通的联络人。其职责包括接收投诉、就良好实践向员工提供指导、执行内部规范规定的各项职责，并在合理期限内答复信息请求。这一职能既可以由内部人员担任，也可以由具备资质的外部服务机构承担。

发生涉及数据的安全事件时应如何应对？

发生安全事件后，应在合理期限内通知国家数据保护机构和受影响的数据主体，并说明事件经过、涉及的数据、已采取的缓解措施以及可能存在的风险。迟延通报会使情况恶化，在可能发生的行政程序中还可能被认定为从重情节。事先备好经批准的应对预案，是最好的保护。

As informações deste artigo são de caráter informativo e não substituem consulta jurídica individualizada. Cada caso possui particularidades que exigem análise específica.