如何制定一份既保护企业、又尊重客户的隐私政策

本页为葡萄牙语原文的译文，仅供参考，内容涉及巴西法律。如有出入，以葡萄牙语版本为准。 阅读葡萄牙语原文

隐私政策只有清楚说明企业对所收集的个人数据做了什么，才能真正发挥作用。照搬现成模板、充斥模糊措辞的通用文件，既保护不了企业，也无法让数据主体知情；一旦遇到监管检查或诉讼，它反而会成为对企业自身不利的证据。

为什么隐私政策是合规工作的核心文件

《通用数据保护法》（第13.709/2018号法律）要求控制者承担透明义务，也就是以易于理解的方式告知数据主体：处理了哪些数据、出于什么目的、保存多长时间。隐私政策正是向客户、用户和主管机关落实这项义务的载体。

一份撰写得当的隐私政策，就像一面盾牌：它表明企业对每一项数据处理活动都做过认真思考，确定了法律依据，划定了边界。而一份草率之作则适得其反，暴露出临时拼凑、前后矛盾，以及企业对自身数据收集做法缺乏了解。

国家数据保护局（Autoridade Nacional de Proteção de Dados）审查的，恰恰是文件所承诺的内容与企业实际做法之间是否一致。与实际运营脱节的政策，既骗不了数据主体，也瞒不过监管者，只会加大企业的风险敞口。

不可或缺的核心要素

一份扎实的文件，应当写明控制者的名称、身份信息，以及数据处理事务负责人（encarregado）的联系方式。缺少这些信息，数据主体就不知道该向谁投诉或提出请求，企业也就违反了法律的明确要求。

其次，政策应列明所收集的数据类别：注册信息、浏览数据、位置数据、财务数据或敏感数据。每一类数据都要对应明确的处理目的和法律依据，例如同意、合同履行或正当利益。

另一项必不可少的内容，是对数据主体权利的说明。法律赋予数据主体查阅、更正、匿名化、可携带和删除数据等权利。文件应当以切实可行的方式说明如何行使这些权利，而不能只是照抄法律条文清单、不作任何指引。

清晰与完整同样重要。内容正确，但行文晦涩难懂，就达不到告知的目的。文字应让使用服务的公众读得明白，避免不必要的专业术语。

《通用数据保护法》（第13.709/2018号法律）要求控制者承担透明义务。

让文件形同虚设的常见错误

第一个错误，是不加修改地套用通用模板。不少企业照抄他人的文本，保留了自己并不实施的处理目的，又遗漏了实际在进行的处理活动。结果是文件描述的是一家虚构的企业，经不起任何核查。

第二个错误，是故意含糊其辞。“我们可能与合作伙伴共享您的数据”“我们处理数据是为了改善您的体验”之类的表述，什么信息也没有提供。数据主体无从得知数据与谁共享、出于何种具体目的，这种模糊不清有悖于目的原则。

第三个错误，是没有写明保存期限。许多政策对数据保存多久只字不提，让人觉得会无限期保存。法律规定，处理目的实现后，数据处理即应终止，法律规定可以继续保存的情形除外。不写明期限，就违背了这一规定。

还有一个错误，是把同意当作万能的法律依据。并非所有数据处理都以同意为前提，在不适用的场合援引同意，只会带来不确定性。企业若就本可基于法定义务或合同而进行的处理去征求授权，既会让数据主体感到困惑，也会造成其可以撤回同意的预期，而这种预期站不住脚。

如何描述处理目的、数据共享和保存期限

处理目的应当具体且可核实。与其写“用于商业目的”，不如写明“用于处理购物付款”“用于发送订单相关通知”或“用于履行税务义务”。每一项目的都应对应一项真实的处理活动和相应的法律依据。

比较理想的做法，是以直观的方式把数据、目的和法律依据对应起来加以呈现。这样的结构既便于数据主体阅读，也相当于企业内部的一张地图，使企业能清楚看到自己的全部数据处理活动。

在数据共享方面，透明意味着要说明接收方的类别：受托处理者（operador）、商业合作伙伴、公共机关或同一经济集团内的企业。不必逐一列出每家供应商的名称，但必须说明每种关系的性质以及共享的理由。

如果存在国际数据传输，文件应载明涉及的国家以及所采取的保障措施。法律要求此类数据流动必须具备特定保障，若对此避而不谈，就等于向数据主体隐瞒了与其数据所在地相关的重大风险。

保存期限需要有客观的标准。只要可能，就应写明确切的保存期间。如果期限取决于未来的事件，则应说明判断标准，例如“合同关系存续期间”或“税法规定的期限”。数据主体需要知道自己的数据何时会被处理掉。

期限届满后，政策还应说明数据的去向：安全删除或匿名化。这样为数据生命周期画上句号，表明企业没有超出必要限度地积累信息，符合贯穿整个数据保护体系的必要性原则。

定期修订是这项工作的最后一环。业务会变化，新工具会投入使用，新的处理目的也会出现。一份“活的”政策，在企业做法发生变化时随之更新，才能使文本与现实保持一致，而这正是监管检查所要核对的。

常见问题

每家企业都需要隐私政策吗？

只要收集个人数据，哪怕只是一份简单的客户登记，就构成数据处理，也要受该法律约束。无论企业规模大小，隐私政策都是履行法律所要求的透明义务的工具。

内容的详细程度因业务的复杂程度而异，但告知义务人人都有。小微企业同样不能免除，只是可以采用与自身实际情况相适应的文件。

直接使用现成的政策模板就够了吗？

模板只能作为结构上的起点。不加修改地套用，会使文本与企业的实际做法出现落差，带来的是风险而非保护。一份描述了并不存在的处理活动、又遗漏了真实处理活动的文件，弊大于利。

恰当的做法，是先梳理企业实际开展的数据处理活动，再逐条量身撰写各项条款。没有这一诊断过程，模板就依然与企业脱节。

如果政策与企业的实际做法不符，会怎么样？

文件与实际行为之间的偏差，构成对透明义务的违反，可能成为行政处罚的依据，还可能在数据主体提起的诉讼中成为对企业不利的证据。

承诺的与实际做的是否一致，是评判的核心标准。因此，使政策始终与真实的处理活动保持一致，并在情况变化时及时修订，是合规中不可缺少的一部分。

As informações deste artigo são de caráter informativo e não substituem consulta jurídica individualizada. Cada caso possui particularidades que exigem análise específica.