数据泄露通报（Data Breach Notification）：巴西的期限与程序

本页为葡萄牙语原文的译文，仅供参考，内容涉及巴西法律。如有出入，以葡萄牙语版本为准。 阅读葡萄牙语原文

涉及个人数据的安全事件，需要及时向ANPD（巴西国家数据保护局）和数据主体通报，否则每起违法行为最高可被处以R$ 50 milhões的罚款。

什么情形构成个人数据安全事件

审视巴西当前的数据保护环境，我们会发现，安全事件的概念远不止简单的黑客攻击。《通用数据保护法》（LGPD，第13.709/2018号法律）规定，凡是经确认的、与个人数据安全遭到破坏有关的不利事件（例如未经授权的访问、销毁、丢失、篡改或泄露），都属于国际上所说的data breach（数据泄露）。这一定义涵盖的情形十分多样：可能是把含有客户数据的表格误发给了错误的收件人，可能是丢失了一台未加密的公司设备，也可能是因系统配置不当而导致信息暴露。

ANPD通过第CD/ANPD 15/2024号决议确认了这一定义，该决议批准了《安全事件通报规章》。这部规章提供了更为客观的标准，用以判断某一事件是否需要通报，从而消除了LGPD施行最初几年中存在的一部分法律不确定性。我们认为，各组织必须明白：并非所有信息安全事件都涉及个人数据，但凡是涉及个人数据的事件，都必须评估是否需要通报。

我们在实践中观察到，巴西最常见的事件包括：勒索软件（ransomware）攻击、数据库因服务器缺乏保护而暴露、针对可访问内部系统的员工的钓鱼攻击（phishing），以及平台之间集成环节的漏洞。无论哪种情形，组织都必须迅速行动，控制事件，评估其影响范围，并判断是否必须向ANPD和数据主体通报。

通报的法定期限

第CD/ANPD 15/2024号决议中最值得关注的一点，是为事件通报规定了明确的期限。当安全事件可能给数据主体带来相关风险或损害时，控制者应当向ANPD和数据主体通报。该通报应当自控制者获知事件影响了个人数据之时起3（三）个工作日内作出。

这一三个工作日的期限，相较于此前的做法是一个重大变化：此前适用的是LGPD第48条所规定的含糊概念——“合理期限”。我们认为，这一规定提升了组织对结果的可预见性，不过与其他国家的立法相比，该期限仍被认为较短（例如，欧盟的GDPR规定为72小时）。实际上，若遇节假日，三个工作日可能变成五个或更多自然日，在运营上多少能缓解一些压力。

需要强调的是，期限自控制者获知之时起算，而非自事件本身发生之时起算。这一区分很重要，因为许多事件是在发生数日、数周甚至数月之后才被发现的。不过，如果事件发生与被发现之间的间隔过长，尤其是组织并未配备适当的检测和监控机制，ANPD可以对控制者是否尽到勤勉义务提出质疑。

及时通报安全事件，不仅是一项法律义务，更是对数据主体的尊重，也是维系组织与客户之间信任关系的重要因素。

除初次通报外，该规章还允许作补充通报。如果控制者在初次通报时尚未掌握全部必要信息，可以自初次通报之日起20（二十）个工作日内补充相关信息。这一规定相当务实，因为它承认数字取证调查需要时间，而要求在三天内提供完整信息，在大多数情况下并不现实。

通报的实务程序

审视ANPD所要求的程序，我们发现，事件通报必须包含具体而详细的信息。控制者需要说明：受影响个人数据的性质；涉及的数据主体人数（即使是大致数字）；用于保护数据的技术和安全措施；与事件相关的风险；已经或将要采取的、用以逆转或减轻事件影响的措施；以及延误的原因（如果未在三个工作日内完成通报）。

向ANPD的通报是通过该机构电子申请系统（SUPER.BR）中的电子表格进行的。建议各组织事先在该系统中完成注册，因为在危机之中再去创建账户，可能会耗费宝贵的时间。组织的数据保护官（DPO）负责作出这一通报，其联系方式须在ANPD处保持最新。

至于向数据主体的通报，应尽可能以直接、个别的方式进行。ANPD接受电子邮件、纸质信函、电话或电子消息等方式。当个别通报不可行时（例如不清楚所有受影响数据主体的身份），组织可以采用面向公众的通报方式，如在其官方网站、社交媒体或新闻媒体上发布。所用语言应当清晰易懂，并使用葡萄牙语。

事件响应计划的核心要素

我们认为，凡处理个人数据的组织，都必须保有一份最新的事件响应计划（PRI），并定期进行演练。该计划应当明确响应团队的角色与职责、事件严重程度的分级标准、内外部沟通流程、事件控制与证据保全程序，以及向ANPD和数据主体通报的模板。一份结构完善的PRI，可能就是协调高效的响应与机构陷入混乱、进而加重事件后果之间的分水岭。

登记与文件留存

我们要强调，LGPD第48条和ANPD的规章都要求控制者对所有安全事件进行登记，包括那些因不符合相关风险或损害标准而未向ANPD通报的事件。该登记应当载明获知事件的日期、情况的概述、受影响数据的性质、涉及的数据主体人数、已开展的风险评估以及所采取的措施。保存这一登记，对于在可能的监管检查中证明合规至关重要。

相关风险或损害的判断标准

并非所有涉及个人数据的安全事件都需要向ANPD和数据主体通报。只有当事件可能给数据主体带来“相关风险或损害”时，才产生通报义务。第CD/ANPD 15/2024号决议为这一评估确立了更清晰的标准，考虑的因素包括：受影响数据的性质和数量；根据被暴露的数据识别数据主体的难易程度；对数据主体造成后果的严重性和可逆性；以及数据是否受到了使其无法被识别的措施（如加密）的保护。

敏感个人数据（有关健康、种族或民族出身、宗教信仰、政治观点、工会会员身份的信息，以及基因数据、生物识别数据等）、儿童和青少年的数据，以及可能引发歧视性推断的数据，会显著提高事件的风险等级。同样，涉及财务数据、访问凭证（密码）或身份证明文件的事件，鉴于其可能引发欺诈和财产损失，往往会被归入相关风险一类。

我们注意到，即便在收到控制者的通报之后，如果ANPD认为有必要保护数据主体，仍可以要求将该事件通过媒体广泛公布。这一可能性凸显了主动、透明通报的重要性，因为试图淡化严重事件，可能导致更大范围的曝光以及额外的处罚。

违规的处罚及后果

未依法通报安全事件的后果十分严重。LGPD规定的行政处罚包括：从警告，到最高为法人营业额2%的罚款（每起违法行为以R$ 50 milhões为限），再到公布违法行为、封存或删除个人数据，以及部分或全部暂停与数据处理相关的活动。ANPD已经表现出适用这些处罚的意愿，而且可以看到，随着该机构在制度上日趋成熟，监管力度有加强的趋势。

除行政处罚外，违规还可能引发民事责任，即有义务对数据主体的财产损害和精神损害予以赔偿。检察机关或消费者保护协会提起的集体诉讼，同样构成重大风险。可以看到，处置不当的事件所造成的声誉成本，往往超过罚款金额，在客户信任属于战略资产的行业尤其如此。

建议各组织把预防作为优先策略，同时也要做好准备，在事件发生时迅速、透明地作出响应。将强有力的技术措施（加密、访问控制、持续监控）、有效的数据治理（政策、培训、审计）与结构完善的事件响应计划相结合，是降低安全事件发生概率和影响的最适当途径。

这一主题与数据保护官密切相关，我们已在专门的文章中探讨过。

这一主题与巴西的深度伪造与人工智能密切相关，我们已在专门的文章中探讨过。

As informações deste artigo são de caráter informativo e não substituem consulta jurídica individualizada. Cada caso possui particularidades que exigem análise específica.