数据保护官（DPO）：职责范围与何时必须指定

本页为葡萄牙语原文的译文，仅供参考，内容涉及巴西法律。如有出入，以葡萄牙语版本为准。 阅读葡萄牙语原文

巴西《通用数据保护法》（LGPD）设立了数据保护官这一角色，使其成为组织、数据主体与国家数据保护局（ANPD）之间不可或缺的纽带，并赋予其兼具操作性与战略性的职责，远不止于充当代表。了解这些职责的范围，以及哪些情形下必须指定数据保护官，是组织切实遵守巴西隐私法律制度的前提。

《通用数据保护法》中的数据保护官

第13.709/2018号法律第41条规定，控制者应当指定一名负责个人数据处理事务的数据保护官（encarregado）。该官员可以是自然人，也可以是法人，其作用是在控制者、数据主体与国家数据保护局（ANPD）之间充当沟通渠道。在国际层面，这一角色对应的就是所谓的数据保护官（Data Protection Officer，DPO），欧盟《通用数据保护条例》也采用了这一制度，不过巴西的模式有其自身特点。

数据保护官可以由控制者自己的员工担任，也可以由外部专业人士通过服务合同担任。法律并未要求其具备特定的法律学历，但这一职务的工作较为复杂，需要通晓数据保护规范，有能力主导内部合规流程，并能够与监管机构开展沟通。数据保护官的身份及联系方式应当公开，最好刊载在控制者的官方网站上。

需要区分的是，控制者指定的数据保护官与部分处理者自愿设立的数据保护官并不相同：尽管法律明确规定由控制者负责指定，但大规模处理数据或处理敏感数据类别的处理者，出于连带责任以及与其合作的控制者所提出的合同要求，仍然保留了这一角色。

法定职责与工作范围

第13.709/2018号法律第41条第2款列明了数据保护官的最低限度职责：接受数据主体的投诉和来函，作出说明并采取相应措施；接收ANPD的来函并采取适当措施；就个人数据保护方面的实践，指导本机构的员工和受托人；以及履行控制者指定的或补充规范所规定的其他职责。

在实践中，这些职责具体体现为多项工作，例如开展数据映射、编制数据保护影响评估报告（RIPD）、处理安全事件并向ANPD通报、监控数据生命周期，以及对内部团队持续开展培训。因此，数据保护官是监管要求与组织日常数据处理实践之间的交汇点。

数据保护官的定位还具有战略层面的意义：通过就数据处理相关风险向高层管理者提供建议，该官员有助于按照隐私设计（privacy by design）原则，在流程与产品设计之初就融入隐私保护。这种预防性思路可以降低受到LGPD第52条所规定行政处罚的风险，处罚金额最高可达该经济集团在巴西营业额的百分之二，且每项违法行为以五千万雷亚尔为限。

数据保护官不仅是法律上的形式要求，更是把隐私政策转化为切实有效的组织文化的关键枢纽。

ANPD有权就数据保护官的界定和职责制定补充规范，包括资质要求，以及同一经济集团内的企业共用该职务的可能性。这一监管空间使得持续关注国家监管机构发布的决议变得更为重要，这些决议正逐步充实巴西的数据保护法律制度。

何时必须指定数据保护官

2022年1月27日第2号CD/ANPD决议为小型处理主体确立了差别化的制度，这一类别包括微型企业、小型企业、初创企业、个体微型创业者、年总收入不超过一百万雷亚尔的非营利法人，以及出于经济目的处理数据的自然人。只要数据处理不会给数据主体带来较高风险，这些主体就无需指定数据保护官。

对于其他控制者，指定数据保护官则是强制性的。属于这一类别的有中型和大型法人、公共行政机关和机构，以及任何大规模处理敏感数据、儿童和青少年数据、地理位置数据或从事高风险处理活动的组织。是否属于大规模处理，要依据处理数据的数量、处理的地域范围、持续时间以及所涉数据的性质等标准来评估。

在应当指定而未指定数据保护官的情况下，构成行政违法，可能受到LGPD第52条规定的处罚。除罚款外，ANPD还可以责令公布违法行为，封锁或删除违规处理的数据，并暂停相关数据库的使用，期限最长六个月，可按同等期限延长。在这一点上，合规并非良好实践的建议，而是会带来具体且直接后果的法律义务。

常见问题

处理客户健康数据的小型企业是否必须指定数据保护官？

是的。即使处理主体属于小型企业，处理与健康相关的敏感数据也可能给数据主体带来较高风险，从而不再适用第2/2022号CD/ANPD决议规定的豁免。在这种情况下，无论组织的经济规模如何，指定义务依然存在，需要依据国家监管机构确立的风险标准进行个案分析。

数据保护官可以在同一家公司内兼任其他职务吗？

LGPD并未禁止兼任，但在实践中需要谨慎。只要不产生足以损害数据保护官独立性的利益冲突，兼任是被允许的。例如信息安全负责人或技术管理负责人等职务，可能与之存在职责重叠，但不一定构成冲突；而对数据处理目的拥有直接决策权的职务，则往往会造成不相容的情形，国家监管机构可能对此提出质疑。

公共机关也必须指定数据保护官吗？

是的。依据LGPD第41条及ANPD的补充规范，公共行政机关和机构明确负有指定数据保护官的义务。为小型处理主体确立简化制度的决议并不适用于公共机关，无论其规模大小或处理的数据量多少，均适用一般制度。ANPD已对公共部门的合规给予特别关注，并针对这类控制者发布了专门的指引和指南。

As informações deste artigo são de caráter informativo e não substituem consulta jurídica individualizada. Cada caso possui particularidades que exigem análise específica.