未经同意共享个人数据引发的不当营销与收费问题

本页为葡萄牙语原文的译文，仅供参考，内容涉及巴西法律。如有出入，以葡萄牙语版本为准。 阅读葡萄牙语原文

收到自己从未申请过的信贷、保险和各类套餐推销，如今已是家常便饭，而这类推销的背后，往往是在没有有效授权的情况下处理了个人数据。《通用数据保护法》(Lei Geral de Proteção de Dados)对企业何时可以将姓名、电话、收入和金融记录用于商业目的作出了严格界定，一旦越界，就要承担相应责任。

将数据用于商业推销在何种情况下构成违法

LGPD (巴西《通用数据保护法》，即第13.709/2018号法律)的出发点很简单：任何个人数据的处理，都必须有能够证明其正当性的法律依据。根据数据主体的信息向其推销信贷、保险或服务，本身就是数据处理行为，因此需要有法律规定的依据。如果企业在没有任何有效依据的情况下接触消费者，这种做法就不再只是商业上的打扰，而是构成违法行为，企业因此负有赔偿的义务。

违法情形常见的有几种。最普遍的是：数据原本是为某一目的而收集的（例如办理某项产品），事后却被挪作他用，而这一用途并未告知当事人，比如用来推销工资扣款贷款（empréstimo consignado）。这种偏离违背了LGPD第6条规定的目的原则，该原则要求数据处理目的正当、具体，并且在收集前就已告知数据主体。

另一种常见情形是收集过程不透明。如果消费者既未被告知其数据将用于商业推销，也无法清楚了解谁获得了这些数据，就违反了透明原则和免费查询原则。数据主体有权知道自己的信息被共享给了谁，缺乏这种清晰度，更说明针对其发出的推销是不合规的。

哪些法律依据可以授权，哪些不可以

LGPD在第7条中列出了十项法律依据。对于未经请求的商业推销，通常被援引的有两项：数据主体的同意，以及控制者的正当利益。弄清二者的区别，对于判断这次推销是否合法、是否已经越过违法的界线至关重要。

同意必须是自愿的、知情的、明确的，并且针对特定目的作出。笼统的授权，比如藏在冗长合同里的条款，或是通过预先勾选的选框取得的授权，都达不到法律要求的标准。同意接收某一产品的信息，并不等于授权把数据转交给合作方，让对方在其他渠道、其他时间推销其他产品。

正当利益是其中最为敏感的依据。当控制者存在真实的利益，且数据主体具有正当的合理预期时，法律允许据此处理数据，前提是不得凌驾于数据主体的基本权利之上。法律要求事先进行评估，直接营销固然可以依托这一依据，但绝不能用于敏感数据，也绝不能违背当事人出于其他目的提供信息时的合理预期。

如果企业在没有任何有效依据的情况下接触消费者，这种做法就不再只是商业上的打扰，而是构成违法行为，企业因此负有赔偿的义务。

企业之间的数据共享与名单买卖

最严重的问题，往往出在企业之间共享数据库上。载有姓名、电话、预估收入和消费画像的名单，在金融机构、银行代理机构、保险公司和电话营销公司之间流转。如果这种转让既没有法律依据，也未告知数据主体，那么链条上的每一家企业都要为不合规的处理行为负责，而不仅仅是最初收集数据的那一家。

数据处理链条中的责任，原则上是连带责任。这意味着数据主体可以向任何一家相关企业提起主张，无论是收集数据的一方，还是最终用于推销的一方，而无需事先查明每个环节的具体责任人。这一规则保护的是消费者，因为消费者几乎不可能还原自己的信息流经的全部路径；同时，它把证明每一次数据转让均属合规的举证负担转移到了企业一方。

联系人名单的买卖尤其值得关注。名单买卖这种做法至今仍相当普遍，但如果数据主体从未同意过转让，甚至根本不知道自己的数据被拿去交易，这种做法很难在LGPD中找到依据。购买名单并加以使用的供应商，也不能以“只是从第三方购得这些信息”为由免除责任。

金融数据需要格外谨慎。收入、信用评分（score de crédito）和还款记录等信息，即便严格意义上不属于敏感数据，也反映了数据主体经济生活中的私密层面。如果利用这些信息，向处于经济弱势的人群定向推送信贷产品，就会加大这种行为的损害可能性，也提高了数据处理者应尽的注意义务。

数据主体可以寻求的救济

个人数据被不当使用的数据主体，可以采取一系列范围广泛的措施，从行政途径到司法途径都有。选择哪种方式，取决于具体目标：是制止这种做法，是获取有关数据处理的信息，是获得赔偿，还是把这些目标合并为一套统一的应对策略。

在行政层面，可以向国家数据保护局（Autoridade Nacional de Proteção de Dados）提出投诉，该机构可以责令整改，并对违法者施以处罚。数据主体还可以直接行使LGPD第18条规定的权利，要求控制者确认是否处理数据、提供数据查阅、说明已进行的数据共享，并删除未经同意而处理的信息。

在司法层面，可以请求法院判令作为义务（obrigação de fazer），即停止处理并删除数据，同时合并提出赔偿请求。法院已经认可，不当的数据处理会造成精神损害（dano moral），尤其是在数据被暴露、被以滥用方式反复联系，或者使用了敏感金融数据的情况下。LGPD项下的责任原则上不以证明存在过错为前提，这对数据主体较为有利。

集体维权同样值得考虑。当这种做法波及大量消费者时，协会和检察院（Ministério Público）可以提起公益民事诉讼（ação civil pública），要求制止不当处理，并寻求弥散性损害的赔偿。这条途径扩大了法律救济的覆盖面，通常也会促使企业检讨内部流程，使所有受影响的数据主体受益，而不仅仅是主动提出投诉的那一位。

赔偿并不限于精神损害。如果存在财产损失，比如因基于不当数据的推销而被诱导订立合同，或为遏制数据被滥用而支出费用，这些损失同样可以获得赔偿。证据的收集至关重要：推销记录、收到的信息、通话录音以及投诉编号，共同构成了向法院提出请求的依据。

常见问题

收到我从未申请过的信贷推销，本身就违法吗？

并不必然。是否违法，取决于使用数据是否缺乏有效的法律依据。如果企业在未取得适当同意的情况下处理了您的信息，或者超出了收集时告知的目的，又或者没有经过妥善评估的正当利益作为依据，那么这次推销就属于不合规，您可能因此有权获得赔偿。答案取决于数据收集时的具体情境。

如何查明是谁转让了我的数据？

LGPD保障数据主体对数据共享情况的查阅权和知情权。您可以书面要求控制者确认是否处理了您的数据，并提供与之共享数据的机构清单。对方拒绝答复或含糊其辞，会进一步印证其行为不合规，也可以作为向主管机关投诉以及提起相应诉讼的依据。

即使没有经济损失，我也有权获得赔偿吗？

是的，有可能。因不当使用个人数据而产生的精神损害，并不要求存在经济损失，只要侵犯了数据保护权和隐私权即可，在数据被暴露、被以滥用方式反复联系或金融信息被处理的情况下尤其如此。赔偿金额根据行为的严重程度、不当使用的范围以及个案的其他情节确定。

As informações deste artigo são de caráter informativo e não substituem consulta jurídica individualizada. Cada caso possui particularidades que exigem análise específica.