LGPD实务：企业可以收集哪些数据，又能保存多久

本页为葡萄牙语原文的译文，仅供参考，内容涉及巴西法律。如有出入，以葡萄牙语版本为准。 阅读葡萄牙语原文

凡收集客户、员工或供应商数据的企业，都必须为每一项处理操作指明《通用数据保护法》所规定的一项法律依据。缺少这一依据，数据处理从一开始就是违规的，事后任何补救措施都无法弥补这一缺陷。在”同意”与”合法利益”之间作出的选择，再加上明确的目的边界和删除期限，决定了企业究竟是在合法经营，还是在悄然累积风险。

处理任何数据之前，法律要求什么

第13.709/2018号法律围绕一个简单的理念构建数据保护制度：未经有效的法律正当理由，任何个人数据都不得被处理。这一正当理由被称为”法律依据”。该法第7条列举了适用于普通数据的十种情形，而第11条则对敏感数据（如健康、生物特征和宗教信仰）规定了更为严格的规则。

企业最常犯的错误是把顺序颠倒了。它们先收集数据、制作表格、整合系统，然后才去问这样做是否被允许。正确的逻辑恰恰相反：在任何收集行为之前，组织先确定目的，选择与该目的相匹配的法律依据，然后才开始处理。

每一项操作都需要有自己的依据。同一份客户资料既可以用于履行合同，也可以用于履行税务方面的法定义务，还可以用于市场营销活动，而这三种用途各自需要不同的法律依据。把所有用途当作一个整体来处理，无异于主动招致处罚。

同意与合法利益：最容易引起困惑的区分

在十种法律依据中，有两种引发了绝大多数实务争论：同意与合法利益。二者不能互换，选错了会危及整个处理活动。

同意，是指当事人以自由、知情且明确的方式表示，同意其数据为特定目的而被处理。”自由”意味着没有强迫，且当事人拒绝时不会因此受到不利对待。”知情”意味着当事人确切知道其数据将被如何使用。”明确”意味着对其同意不存在任何疑问，这就排除了预先勾选的选项框，也排除了将沉默视为接受的做法。

同意还有一个常被企业低估的特点：它可以随时撤回，撤回和给予一样容易。一旦发生撤回，基于该授权的处理就必须停止。把整个业务流程建立在可撤回的同意之上，等于削弱了自身经营的根基。

合法利益则允许在企业或第三方存在具体且合法的利益时进行数据处理，前提是该利益不得凌驾于数据主体的权利和自由之上。这是一种更为稳定的依据，因为它不依赖个人授权，但它要求进行一项有书面记录的权衡分析。

这项权衡分析体现为所谓的”合法利益评估报告”。该文件记录拟实现的目的、处理的实际必要性，以及企业利益与数据主体合理期待之间的平衡。没有这份记录，企业虽然声称其行为基于合法利益，却无法在监管机构面前加以证明。

第13.709/2018号法律围绕一个简单的理念构建数据保护制度：未经有效的法律正当理由，任何个人数据都不得被处理。

如何在两种依据之间作出选择

实务中的问题很直接：当事人会预期到这样的处理吗？如果客户为了收到所购商品而提供地址，他自然预期企业会用这一数据来送货。在这里，履行合同本身就足够了，既不需要同意，也不需要合法利益，因为合同关系有其专属的法律依据。

而当企业想用同一个地址寄送其他产品的推广信息时，情形就变了。拓展新业务通常依托于合法利益，但须配以保障措施：数据主体必须能够以简便的方式表示反对，而且所发送的信息应与原有关系所产生的预期保持关联。

至于敏感数据的处理，或者将信息用于当事人很难预料到的目的，则往往需要取得具体、单独突出的同意。在这些情形下，个人授权不再是形式手续，而成为唯一在法律上安全的依据。

有一个警示信号值得留意。当企业在同意与合法利益之间犹豫不决时，真正的问题往往在于缺乏明确的目的。目的一旦被精确界定，法律依据几乎总会自然浮现。依据不明，通常暴露的是目的不明。

目的与留存：大多数人忽视的边界

选对了法律依据，企业的义务并未就此结束。法律还规定了两项如同防护墙般的原则：目的特定原则与处理的时间限制原则。

根据目的原则，数据只能用于收集时所告知的目的。为开具发票而获取的数据不能随意转用于市场营销活动，招聘流程中的信息也不能在没有新的法律依据的情况下用于日后的评估。每一次目的偏离，实际上都是一项新的处理，需要新的法律依据。

时间限制是最被忽视的一点。法律规定，当目的已经实现或数据主体提出请求时，数据应予删除，法律规定的强制保存期限情形除外。这意味着，出于方便或习惯而无限期地保留数据，是违反法律的。

毫无目的的数据堆积是一项负债，而不是资产。膨胀的数据库会扩大安全事件中的暴露面，提高响应数据主体请求的成本，并使任何一次泄露都演变成更大规模的问题。把一切都永久保存下来，恰恰是安全的反面。

实务中如何确定删除期限

确定留存期限需要交叉考量两个维度：数据的用途，以及法定保存义务。税务和劳动类文件在其他法律中有各自的保存期限，而在这些期限内，处理的法律依据是履行法定义务，不再是合同或同意。

一种切实可行的方法，是从梳理组织内全部数据流开始。针对每一类信息，企业记录数据来自何处、用于何种目的、法律依据是什么、谁有权访问，以及需要保存多长时间。这份清单是任何站得住脚的留存政策的主心骨。

有了这张图谱，再为每一类数据设定期限。非活跃客户的联系信息，其留存期限可以与可能发生的催收债权的时效挂钩。未被录用的应聘者简历通常只能证明短期保存的合理性，除非已取得其纳入人才库的明示同意。会计记录则遵循适用的税务保存期限。

期限届满后，删除必须是真实而安全的。以匿名化或彻底删除的方式处理，包括备份和外围系统中的副本，才构成切实履行义务。仅将记录标记为”非活跃”而数据仍可访问，并不符合法律要求。只有逻辑删除而无物理删除，不过是变相的留存。

将这一周期——基于明确法律依据的收集、严格限于目的的使用、到期删除——制度化的企业，不仅能大幅降低受处罚的风险，还能提升运营效率，因为它们不再需要管理那些本不应继续存在的数据。

常见问题

所有数据处理都必须征得同意吗？

不是。同意只是针对普通数据所规定的十种法律依据之一。许多处理操作依托于其他情形，例如履行合同、履行法定义务或合法利益。在同意并非恰当依据的场合却使用同意，会带来脆弱性，因为当事人可以撤回同意，从而中断一项原本有其专属且更为稳定依据的处理活动。

依据合法利益就可以免除一切书面记录吗？

恰恰相反。合法利益虽不依赖个人授权，但要求有一份评估报告，记录处理目的、处理的必要性，以及企业利益与数据主体权利之间的平衡。没有这份文件，组织虽然可以援引该依据，却无法在监管机构面前加以证明，这在实务中等同于没有依据。

企业可以把个人数据保存多久？

仅限于实现收集目的所必需的时间，或者在存在法定保存期限时，以该期限为准。目的实现、强制保存期限届满后，数据必须被彻底删除或匿名化，包括备份在内。在没有现实目的的情况下无限期保留信息，违反时间限制原则，并会在发生安全事件时加大风险。

As informações deste artigo são de caráter informativo e não substituem consulta jurídica individualizada. Cada caso possui particularidades que exigem análise específica.