跨境数据传输：充分性保障机制

本页为葡萄牙语原文的译文，仅供参考，内容涉及巴西法律。如有出入，以葡萄牙语版本为准。 阅读葡萄牙语原文

个人数据的国际传输需要有可靠的充分性保障机制，无视这一要求的企业将面临 ANPD (巴西国家数据保护局) 的严厉处罚以及严重的声誉风险。

国际数据传输的现状

我们身处全球化的数字经济时代，个人数据的跨境流动早已不是例外，而是常态。巴西企业使用托管在美国的云服务器，向欧洲的供应商采购软件，在印度设立技术支持部门，并通过总部分布于多个司法辖区的支付网关处理付款。在这样的背景下，本文将分析《通用数据保护法》(LGPD) 如何规范这些传输行为，以及有哪些充分性保障机制可以用来确保合法合规。

如何选择国际数据传输的充分性保障机制，不仅是一项法律决定，更是一项战略决策，直接影响组织的运营、声誉以及在全球市场中的竞争力。

LGPD 第33条至第36条规定了允许国际传输个人数据的各种情形。巴西立法者认识到，完全禁止跨境数据流动既不现实，也会损害经济；同时也明白，若放任不加限制的传输，数据主体的基本权利就会面临风险。最终采取的办法是建立一套授权体系，其基础是经核实与国际保护标准相符的各类机制。

国家数据保护局 (ANPD) 在这一体系中发挥着核心作用。它负责评估各国及国际组织的数据保护水平，批准特定的合同条款，并就相关事项制定补充规范。随着 LGPD 配套规则的逐步完善，我们看到 ANPD 正不断推出新的工具，为需要开展国际传输的组织提供更有保障的法律确定性。

LGPD 规定的充分性保障机制

LGPD 第33条列举了允许国际传输个人数据的各种情形。每种机制都有自身的特点和具体要求，下文将作详细说明，以便您从实际操作层面加以理解。

ANPD 作出的充分性认定

第一种机制，是向提供的个人数据保护水平与巴西法律规定相当的国家或国际组织传输数据。这一评估专属于 ANPD，其须综合考量目的地国家的一般性规范和行业性规范、数据的性质、是否设有独立的监督机构，以及接收国所承担的国际义务。可以看出，这一模式与欧盟《通用数据保护条例》(GDPR) 的思路一致：由欧盟委员会针对第三国作出充分性认定。

特定合同条款与标准合同条款

在没有充分性认定的情况下，组织可以借助合同工具。LGPD 既规定了针对某一特定传输订立的特定合同条款，也规定了经 ANPD 批准的标准合同条款。这些条款应当包含保证，确保遵守巴西法律所规定的各项原则、数据主体的权利以及数据保护制度。从实践来看，这是中大型企业最常使用的机制，这类企业与未获充分性认定的司法辖区内的伙伴存在商业往来。

全球公司规则 (Binding Corporate Rules)

对于跨国企业集团而言，全球公司规则是一个重要的选择。这是经 ANPD 批准的内部数据保护政策，对企业集团内的所有实体都具有约束力，无论其身处何地。该工具要求较高水平的公司治理，包括内部审计机制、员工培训以及供数据主体投诉的渠道。

数据主体的特定且突出的同意

数据主体的同意，只要是特定且突出的，同样可以授权国际传输。不过我们发现，这一机制在实践中存在明显的局限。数据主体须事先获知传输的国际性质，并特别提示其中涉及的风险。此外，同意可以随时撤回，这会给依赖持续数据流动的组织带来运营上的不确定性。

其他法定情形

LGPD 还规定了其他情形：履行法定或监管义务、履行合同或进行合同前程序、在司法程序中正当行使权利、保护数据主体或第三人的生命或人身安全，以及 ANPD 在认定存在适当保障时给予的授权。上述每一种依据都有各自的要求，应当结合拟进行传输的具体情况逐案评估。

国际数据传输中的尽职调查 (Due Diligence)

在开始任何国际传输之前，我们认为必须进行审慎的尽职调查。这一事先核查的过程涉及多个层面，需要综合评估，以确保传输符合法律要求，并将组织和数据主体面临的风险降到最低。

梳理数据流向

第一步，是准确识别将传输哪些个人数据、出于何种目的、接收方是谁、位于哪个司法辖区，以及通过何种方式传输。这一梳理不仅应涵盖直接、有意的传输，也应涵盖间接的数据流动，例如云计算服务在位于不同国家的数据中心之间复制数据时产生的流动。

评估目的地国家的保护水平

接下来，需要分析接收国的法律框架：其数据保护立法是否与 LGPD 相当，是否设有独立的监督机构，是否具备有效的执法机制，以及该国是否参与了有关隐私和数据保护的重要国际协议。如果存在允许政府大规模获取个人数据的法律（例如国家监控项目），则属于需要权衡的风险因素。

分析数据接收方

除目的地国家的法律环境外，我们还会评估数据接收方本身，包括其信息安全实践、隐私政策、安全事件的历史记录、所持认证（如 ISO 27001 或 SOC 2），以及响应数据主体请求的能力。数据治理成熟度较高的组织，能为国际传输提供更大的安全保障。

影响评估 (Transfer Impact Assessment)

借鉴欧盟法院作出“Schrems II”裁决后形成的欧洲模式，建议针对每一项重要的国际传输编制专门的影响评估。该文件将所作分析正式固定下来，记录已识别的风险以及为降低风险而采取的补充措施。这一做法虽然尚未被 ANPD 明确要求，但能够有力体现控制者的问责意识和诚信。

补充措施与良好实践

当尽职调查表明，所选的充分性保障机制本身不足以确保达到与 LGPD 相当的保护水平时，就有必要采取补充措施。这些措施可以是技术性、合同性或组织性的，具体如何选择，取决于所识别出的具体风险。

在技术层面，值得一提的措施包括：对传输中和存储中的数据加密，且密钥仅由输出方掌控；采用假名化处理，使接收方在没有附加信息的情况下无法重新识别个人；数据分段（仅传输实现目的所严格必需的数据）；以及实施精细化的访问控制。当数据被传输到法律框架存在明显缺陷的司法辖区时，这些措施尤为重要。

在合同层面，建议订立这样的条款：要求接收方在政府提出任何数据访问请求时立即通知输出方；禁止未经事先授权的再次传输；设定审计义务；并规定数据主体可以使用的争议解决机制。起草这些条款时，需要关注目的地国家的当地法律，以确保条款具有可执行性。

在组织层面，措施包括指定负责国际传输治理的人员，实施持续的培训计划，定期对数据接收方进行审计，并对所有已进行的传输保留详细记录。这样的组织架构能确保充分性保障机制不是停留在纸面上，而是在组织的日常运作中切实落地。

监管前景与实务建议

国际数据传输的监管环境在不断演变。在巴西，我们正等待 ANPD 就标准合同条款、全球公司规则以及充分性认定标准发布专门的规定。在国际层面，数据保护机构之间的合作日益增多，多边框架不断发展，力求在不损害数据主体保护的前提下，促进跨境数据流动。

对于已经或打算开展国际数据传输的组织，建议立即采取几项基本做法。第一，对现有的全部国际传输进行完整盘点，包括通过云服务和 SaaS 工具进行的传输。第二，为每一条数据流选择最合适的充分性保障机制，并将所作分析记录在案。第三，采取与已识别风险相称的补充措施。第四，建立定期复核的流程，因为目的地国家的立法变化可能影响传输的有效性。第五，保留详细记录，以证明组织符合 LGPD 的要求。

跨境场景下的个人数据保护是一项挑战，需要多学科的综合方法，把法律、技术和组织方面的知识结合起来。投入建设可靠的充分性保障机制的组织，不仅履行了法律义务，也与客户、合作伙伴和监管机构建立起信任关系，从而在日益关注隐私和个人数据安全的市场中占据竞争优势。

这一主题与数据保护官 (DPO)密切相关，我们已另文专门探讨。

这一主题与社会保障领域的大数据密切相关，我们已另文专门探讨。

As informações deste artigo são de caráter informativo e não substituem consulta jurídica individualizada. Cada caso possui particularidades que exigem análise específica.