数据保护负责人：谁可以担任，承担什么责任

本页为葡萄牙语原文的译文，仅供参考，内容涉及巴西法律。如有出入，以葡萄牙语版本为准。 阅读葡萄牙语原文

LGPD（巴西《通用数据保护法》）要求控制者指定一名个人数据处理负责人，但并不要求此人必须是律师或企业内部员工。法律允许自然人或法人担任，并要求公开披露任职者的身份和联系方式。

当一家企业发现自己需要指定个人数据处理负责人时，首先产生的疑问很少是“这个职位做什么”，而是“谁可以担任”。合伙人？技术部门的员工？外聘的事务所？一家专业公司？答案就在第13.709/2018号法律为这一职位所作的设计之中，而这一设计比多数人想象的要开放得多。

出发点是法律定义。LGPD将负责人描述为由控制者和处理者指定、在控制者、数据主体与ANPD（巴西国家数据保护局）之间充当沟通渠道的人员。仅此而已。法律没有要求学历、职业注册、劳动关系或专职任职。

法律允许哪些人担任负责人

法律定义只说“被指定的人”，没有附加任何限制性修饰语。这一简洁的表述直接带来一项实际后果：该职位并非仅限自然人担任。律师事务所、治理咨询机构或信息安全公司都可以被指定，只要服务是真实、可识别的。法律要求的是渠道切实运转，而不是合同采取何种形式。

由此产生三种可能的安排，各有各的代价。第一种是内部负责人，即一名已融入企业日常运作的员工。他熟悉数据的真实流转，知道客户档案在哪里被复制、谁有权访问逾期客户的表格。但另一方面，他要兼顾其他职责，很难有时间在短期限内回应各类请求。

第二种安排是外包负责人，按服务方式聘用。这种方式带来服务多家客户积累的实践经验，并能分摊成本，因此对中小企业而言切实可行。风险在于距离：不了解内部流程的人只能笼统地答复数据主体，而笼统的答复解决不了投诉。

第三种是混合安排，如今在中等规模企业中最为常见。一名内部负责人集中负责对外联络并掌握流程信息，由外部顾问在技术和法律问题上提供支持。向公众公布的名字仍然只有一个，因为数据主体需要知道该找谁。

法律规定的职责与合同增加的职责

法律以四项列出了负责人的工作内容，这份清单是该职位的最低要求。第一项是接受数据主体的投诉和来函，作出说明并采取措施。第二项是接收国家监管机构的来函并采取措施。第三项是就数据保护实践为该实体的员工和承包方提供指导。

第四项则往往在签约时被忽视：执行控制者确定的或补充规范规定的其他职责。也就是说，法律设定了下限，其余交由合同和监管规定来确定。聘用负责人时如果不明确界定职责范围，最终得到的只是一个接收信息的渠道，而不是一套合规架构。

起草文书时，有必要区分这两个层面。法定层面不可协商、不可削减：负责人必须回应数据主体和监管机构，并且必须指导企业内部处理数据的人员。合同层面则用于约定答复期限、内部控制的周期、合规文件的编制、参与安全事件的应对，以及可能承担的团队培训工作。

披露身份和联系方式的义务

指定了负责人却不告知任何人，等同于没有指定。LGPD规定，负责人的身份和联系信息必须以清晰、客观的方式公开披露，最好发布在控制者的网站上。这项义务包含两个不同的对象：身份和联系方式。只公布一个通用的电子邮箱地址，仅满足了一半的要求。

在实践中，可接受的最低限度披露包括任职者的姓名（或被指定法人的企业名称），以及一个切实可用且有人监控的联系方式。如果隐私政策页面的末尾只有一个匿名表格，数据主体就无从知道谁会阅读自己的信息，而法律原文要求的恰恰相反。

匿名渠道不符合法律要求：LGPD要求披露负责人的身份，而不是仅仅提供一个表格。

位置同样重要。法律将网站列为首选渠道，这意味着把信息藏在难以找到的文件里，有违清晰性标准。提供线下服务的企业通常会在营业场所同步公示这些信息，这种做法简单，也符合规范的目的。

在公共部门，这项义务同样有明文规定。LGPD规定，公法法人在开展数据处理活动时，必须指定负责人，这是其处理数据的前提条件；此外还要求就处理的情形、目的和所采用的做法提供清晰、及时更新的信息，最好发布在其网站上。

小型数据处理主体的豁免

LGPD本身就预见到这项义务不可能对所有主体一视同仁。法律授权国家监管机构就负责人的定义和职责制定补充规范，包括根据实体的性质和规模或数据处理操作的数量，规定免除指定负责人的情形。

正是基于这一授权，ANPD针对小型数据处理主体出台了专门规定，免除其正式指定负责人的义务。但豁免并不取消沟通渠道：符合这一条件的主体仍然有义务提供与数据主体沟通的途径，并以便于获取的方式公布。

在这一点上经常出现两种误解。第一种以为豁免覆盖整部LGPD，事实并非如此：法律依据、数据主体权利、信息安全以及安全事件通报义务仍然全部有效。第二种以为按营业额即可自动归类，而实际上监管规定采用自己的标准，包括所处理数据的类型和所涉风险。

还有一个实际影响值得谨慎对待。获得豁免的企业一旦规模扩大、业务转变或开始大规模处理敏感数据，就会脱离豁免范围，而不会收到任何人的提醒。定期核查自身归类的企业，可以避免在一份已经提交的投诉中才发现情况已经改变。

独立性、利益冲突以及由谁承担责任

在聘用会议上最常出现的问题是：负责人是否对数据处理中的过失承担个人责任。答案来自法律本身的结构。LGPD将数据处理主体定义为控制者和处理者，国家监管机构可实施的行政处罚也正是针对这些主体，处罚从警告到最高相当于营业额百分之二的罚款，每项违法行为以R$ 50.000.000,00为上限。

负责人不在这一定义之中。在损害赔偿层面，逻辑相同：因违反数据保护法律而造成的财产、精神、个人或集体损害，其赔偿义务由控制者或处理者承担。因此，任职者所面临的责任属于合同和职务层面，以劳动关系或服务合同的范围为限。

这并不意味着该职位只是一道形式。企业如果指定一个既无自主权、又无法参与数据处理决策、还没有行动预算的人，买到的只是网站上的一个名字，别无其他。当监管机构提出质询时，审查的是渠道是否切实有效、是否采取了措施，而不是组织架构图中是否存在这个职位。

由此引出独立性问题。决定数据处理目的的人，与接收针对该决定投诉的人，不应是同一个人。制定营销政策的合伙人同时兼任负责人，就会处于审查自己行为的位置，这恰恰削弱了渠道本应发挥作用的环节。解决办法无需昂贵的架构：只需将职能分开，并以书面形式记录这种分离。

那些把指定负责人当作治理决策、而不是表格上一个待勾选项的企业，通常会得出三项简单的确定事项。谁来担任，姓名公开。此人向谁汇报，最好在处理数据的部门之外。以及答复数据主体的内部期限是多少，这个期限必须短于法定期限，因为答复取决于企业内部其他部门提供的信息。

常见问题

负责人必须是律师或持有认证吗？

不必。LGPD以负责人所履行的职能来定义这一角色，即作为控制者、数据主体与ANPD之间的沟通渠道，并不要求学历、职业注册或认证。鉴于工作性质，具备法律和技术知识固然可取，但缺少特定学历并不导致指定无效。

企业可以从编制外聘用负责人吗？

可以。法律定义只说“被指定的人”，不要求存在劳动关系，并允许法人担任。外包合法有效，在中小企业中也很常见。外包并不改变的，是公开披露身份和联系方式的义务，以及在适当期限内回应数据主体和监管机构的要求。

如果发生数据泄露，罚款由负责人承担吗？

按照法律的设计，不是。LGPD的行政处罚针对数据处理主体，即法律本身所定义的控制者和处理者，损害赔偿义务也遵循同一方向。负责人在合同或职务层面对指定其任职的一方承担责任，具体以双方关系的约定为准。

As informações deste artigo são de caráter informativo e não substituem consulta jurídica individualizada. Cada caso possui particularidades que exigem análise específica.