小微企业适用LGPD：实用合规义务指南

本页为葡萄牙语原文的译文，仅供参考，内容涉及巴西法律。如有出入，以葡萄牙语版本为准。 阅读葡萄牙语原文

收集客户数据的微型和小型企业同样受《通用数据保护法》（LGPD）约束，不过巴西国家数据保护局（ANPD）为它们制定了简化规则，使其在完成合规的同时不致拖累日常经营。

法律对收集数据者的要求

第13.709/2018号法律，即通常所说的LGPD，适用于任何收集、存储或使用自然人数据的经营主体，从街角的美容沙龙到电子商务平台皆然。企业规模并不能排除该法的适用，只是会影响其履行方式。姓名、电话、地址、银行卡号，乃至摄像头拍摄的影像，都属于个人数据，需要负责任地加以处理。

首先要确定一项能够授权使用相关信息的法律依据。LGPD第7条列举了数据主体同意、履行合同、履行法定义务以及正当利益等情形。如果无法将每一次数据收集归入其中某一类目的，那么即便经营者并无造成损害的意图，相关处理也属于不合规。

除法律依据之外，企业还须遵守目的性、必要性和透明性等原则。这意味着只收集不可或缺的信息，向客户说明数据的用途，并在数据不再有用时予以销毁。在零售业中，旧客户档案不断堆积是常见做法，往往也是最先出现违规问题的地方。

针对小型企业的简化规则

2022年1月27日第2号ANPD理事会决议（Resolução CD/ANPD nº 2）为所谓的小型处理主体（agentes de tratamento de pequeno porte）设立了差异化制度，涵盖微型企业、小型企业、初创企业、非营利性私法法人以及个体经营者。其目的是使相关要求与那些缺乏法务架构和成熟技术条件的主体的实际情况相适应。

在各项放宽措施中，该规定免除这些主体必须指定数据处理负责人（encarregado）的义务，这一角色负责联络数据主体与监管机构。即便如此，企业仍须提供便于联系的沟通渠道，通常是电子邮箱或表单，用于接收请求和投诉。

该决议还给予了更长的期限。例如，向监管机构和数据主体通报安全事件时，期限按一般规则的两倍计算。处理活动记录等文件可以采用简化模板保存，但须如实反映企业对数据的实际处理情况。

需要强调的是，简化制度并不是豁免。企业仍须对其持有的数据负保护责任，并尊重数据主体的权利。差别仅在于形式要求的适度程度，而不在于可以背离该法的保护宗旨。

处理活动记录等文件可以采用简化模板保存，但须如实反映企业对数据的实际处理情况。

合规的实操步骤

第一个具体动作是梳理数据。经营者需要弄清楚自己收集了哪些信息、存放在哪里、谁能接触到，以及保存多长时间。通过这份清单，可以发现不必要的客户档案、缺乏管控的共享表格，以及同样会接触数据的供应商合同。

第二步是制定一份清晰的隐私政策，发布在网站上或在营业场所展示，说明处理哪些数据及其目的。随后，建议建立面向数据主体的服务机制，因为LGPD第18条保障了查阅、更正、删除和数据可携等权利。

安全措施则构成基础流程的最后一环。使用高强度密码、访问权限控制、数据备份，以及谨慎处置纸质文件，这些做法符合第46条的规定，该条要求采取足以保护数据的技术和管理措施。对团队进行这些日常操作的培训，可以显著降低数据泄露的风险。

忽视合规的风险

违反LGPD的企业将面临第52条规定的处罚，从警告到最高相当于营业额2%的罚款，每项违法行为的罚款上限为五千万雷亚尔。小型企业虽然很难触及这一上限，但罚款本身以及违法行为被公开，都可能损害其在客户中建立起来的声誉。

除行政处罚外，还存在民事责任的风险。因个人数据被不当使用而受到损害的数据主体，可以通过司法途径请求赔偿。在这种情况下，事前合规起到降低潜在负债、增强消费者信任的作用。

常见问题

哪些主体属于小型处理主体？

根据第2/2022号ANPD理事会决议，凡从事个人数据处理的微型企业、小型企业、初创企业、非营利组织和个体经营者，均属此类。这一分类可适用简化规则，但并不免除其遵守LGPD各项原则和目的要求的义务。

小企业必须设置数据处理负责人吗？

不必。监管机构的决议免除了小型处理主体必须指定数据处理负责人的义务。但企业仍有义务保持一个便于联系的沟通渠道，使客户能够行使权利，并就其信息的处理方式提出投诉。

资源有限时，如何着手合规？

最有效的路径是：梳理企业收集了哪些数据，确定每项用途的法律依据，发布隐私政策，并采取基本的安全措施。这些初步举措已能化解相当一部分风险，并且可以根据业务的成熟程度逐步推进。

As informações deste artigo são de caráter informativo e não substituem consulta jurídica individualizada. Cada caso possui particularidades que exigem análise específica.