LGPD项下数据主体的权利

本页为葡萄牙语原文的译文，仅供参考，内容涉及巴西法律。如有出入，以葡萄牙语版本为准。 阅读葡萄牙语原文

《通用数据保护法》赋予巴西公民一整套有力的个人信息权利，了解这些权利，是有效行使这些权利的第一步。

什么是LGPD，它为何对数据主体至关重要

第13.709/2018号法律，即《通用数据保护法》（LGPD），改变了巴西企业、公共机构及各类组织处理个人信息的方式，堪称范式转变。在该法生效之前，巴西法律体系中只有一些零散的隐私和数据保护规定（例如《互联网民事框架》和《消费者保护法典》），并没有一部专门针对这一主题、统一而全面的立法。有了LGPD，我们终于有了一套监管框架，把数据主体，也就是数据所指向的自然人，置于数据处理关系的中心。

数据主体权利能否真正得到行使，不仅取决于法律上有没有规定，更取决于是否具备完善的内部流程，以及组织内部是否形成了重视个人数据保护的文化。

放到数据尽职调查（due diligence）的语境下，数据主体的这种核心地位就更为突出。开展并购交易的企业、评估初创公司的投资人、聘用技术供应商的组织，都需要核查数据主体的权利是否得到了尊重。系统性地侵害这些权利，可能带来重大的法律负债、高达营业额2%的行政罚款（每次违法行为以R$ 50 milhões为上限，即R$ 50百万），以及难以估量的声誉损失。

在这样的背景下，我们认为，掌握LGPD第17条至第22条规定的各项权利，不仅关乎合规，更是一项战略要素：无论是希望保护自己个人信息的个人，还是希望在数字环境中合乎伦理、可持续运营的企业，都是如此。

LGPD规定的数据主体权利

LGPD第18条列举了一系列权利，数据主体可以随时向数据控制者提出请求行使。下面我们逐项加以分析，以便您既了解每项权利的适用范围，也了解其在实践中的局限。

确认是否存在数据处理

数据主体有权向控制者确认其个人数据是否确实正在被处理。控制者应以简化方式立即作出确认，或者通过清晰完整的声明在最长15天内作出，这是LGPD第19条的规定。这项权利是行使其他各项权利的入口：如果不知道自己的数据正在被处理，数据主体就无从对这些数据行使任何控制。

访问数据

一旦确认存在数据处理，数据主体即可请求访问正在被处理的数据。控制者应当以清晰、适当且显著的方式提供这些信息，同时尊重商业秘密和工业秘密。在尽职调查实践中，我们会核查被评估的企业是否具备高效机制，能够在法定期限内answer这类请求，因为无法妥善答复，往往说明数据治理存在严重缺陷。

更正不完整、不准确或已过时的数据

我们认为，这是实践中行使最多的权利之一。数据主体可以要求更正控制者数据库中任何不正确、已过时或不完整的信息。这项权利与LGPD第6条第V项规定的数据质量原则直接相关，该原则要求数据准确、清晰、相关，并根据处理目的的需要及为实现该目的而保持更新。

匿名化、封存或删除数据

对于不必要、过度或违反LGPD处理的数据，数据主体可以要求予以匿名化、封存或删除。所谓匿名化，是指借助处理时合理可得的技术手段，使数据失去与个人（直接或间接）关联的可能。封存是暂时中止处理操作，而删除则是将数据彻底清除。这几种措施在技术和法律上的后果各不相同，选择哪一种要视具体案件而定。

数据可携带权

经明确请求，数据主体可以要求将其数据转移给其他服务或产品的提供者。这项权利由国家数据保护局（ANPD）制定细则，目的是确保数据主体不会被单一控制者“绑定”。对于接受尽职调查的企业而言，是否建立了结构化的数据可携带流程，体现了其数据管理的成熟度，也体现了对数据主体信息自决权的尊重。

删除基于同意处理的数据

当数据处理以数据主体的同意为基础时，数据主体可以随时要求删除数据。需要强调的是，这里的删除仅指以同意为依据处理的数据，不包括具有其他法律依据的数据（例如法律或监管义务、合同履行，以及LGPD第7条规定的其他情形）。

获知数据共享情况

数据主体有权知道控制者与哪些实体（公共和私营）共享了其数据。这项权利在尽职调查中尤为重要，因为它有助于梳理数据流向，发现可能引发连带责任的不当或未经授权的共享。

撤回同意

数据主体可以随时通过明确表示撤回同意，程序应当免费且便捷。根据LGPD第8条第5款，撤回同意不影响此前已进行的处理的合法性。我们在咨询实践中发现，许多企业仍然没有为数据主体提供简单易用的方式来行使这项权利，这在合规审计中是一个相当明显的薄弱环节。

数据尽职调查与数据主体权利的核查

在以数据保护为重点的尽职调查中，我们会从多个角度评估一个组织对LGPD的合规情况。就数据主体权利而言，评估内容包括：企业是否设有高效且便于使用的数据主体服务渠道；是否记录了收到的请求及作出的答复；是否遵守法定期限；以及是否已正式任命数据保护负责人（DPO）并使其切实履职。

我们注意到，一个组织在数据主体权利方面的成熟度，可以用客观指标来衡量：请求的平均响应时间、在法定期限内处理的请求所占比例、针对每类权利是否有成文的程序，以及相关团队是否定期接受培训。如果企业在尽职调查中暴露出这些指标上的不足，其业务价值可能受到明显影响，原因或是需要投入资金进行整改，或是面临行政和司法制裁的风险。

我们分析的另一个关键点，是数据控制者与数据处理者之间的关系。企业将数据处理业务外包后，仍须负责确保整个处理链条都尊重数据主体的权利。合同中是否订有专门的数据保护条款，包括与满足数据主体权利有关的义务，是任何尽职调查中都必须核查的基本要素。

权利行使的例外与限制

数据主体的权利虽然范围广泛，但并非绝对。LGPD本身就规定了一些情形，即使数据主体提出请求，处理仍可继续。例如，控制者为履行法律或监管义务所必需的数据，不必应数据主体的要求而删除。同样，为在司法、行政或仲裁程序中正常行使权利所必需的数据，无论数据主体意愿如何，均可保留。

在数据尽职调查的语境下，LGPD第20条值得特别关注：它赋予数据主体权利，可以要求复核那些完全基于个人数据自动化处理作出、且影响其利益的决定（例如信贷决定、消费画像或其人格方面的评价）。随着各类组织越来越多地采用算法和人工智能系统来作出直接影响公民生活的决定，这一条款的重要性与日俱增。

我们还要指出，LGPD第22条规定，数据主体的利益和权利的维护，可以通过个人或集体的方式诉诸司法。这意味着，除ANPD可以施加的行政处罚外，不尊重数据主体权利的企业还可能面临个人诉讼和集体诉讼，并有可能被判处数额可观的精神损害赔偿和财产损害赔偿。

如何在实践中行使权利

数据主体若想行使自己的权利，第一步是确定数据控制者，以及其为此提供的沟通渠道。LGPD要求控制者指定一名负责人（DPO），其身份和联系方式应当公开，最好刊载在组织的官方网站上。数据主体应当清楚地提出请求，写明想要行使哪项权利，并提供足以识别其身份的信息。

如果控制者未在法定期限内处理请求，或者答复不能令人满意，数据主体可以向ANPD提交申诉。该机构将评估具体情况，并可责令控制者采取纠正措施。值得一提的是，ANPD的监督和处罚力度在逐步加大，这也说明各组织保持完善的数据主体权利受理流程十分重要。

建议数据主体记录与控制者之间的所有往来，保存服务编号、电子邮件副本和屏幕截图。如果在行政或司法程序中需要证明对方违反法律规定，这些材料可能至关重要。

As informações deste artigo são de caráter informativo e não substituem consulta jurídica individualizada. Cada caso possui particularidades que exigem análise específica.