LGPD：什么是个人数据，数据主体享有哪些权利

本页为葡萄牙语原文的译文，仅供参考，内容涉及巴西法律。如有出入，以葡萄牙语版本为准。 阅读葡萄牙语原文

第13.709/2018号法律（LGPD，即巴西《通用数据保护法》）构建了一套保护体系：它先对个人数据作出宽泛的界定，再据此赋予数据主体一系列可以向控制者和处理者主张的权利。了解这一概念的范围以及这些权利的具体内容，对于理解企业、公共机构和专业人士在处理他人信息时所负的义务，不可或缺。

LGPD 将哪些信息归为个人数据

第13.709/2018号法律第5条第I项将个人数据定义为“与已识别或可识别的自然人相关的信息”。这一定义有意采取宽泛的写法：它不仅包括姓名、CPF（巴西自然人纳税人登记号）或家庭住址，还包括任何单独或与其他信息结合后，能够指向某个特定或可特定化个人的要素。

IP地址、员工工号、移动设备标识符、地理位置以及浏览记录，都属于这一范围。判断的核心标准不在于信息的形式，也不在于其记录的载体是数字的还是纸质的，而在于它能否识别出某个人。

该法还区分出所谓的敏感个人数据，列于同一条第II项：种族或民族出身、宗教信仰、政治观点、工会会员身份、健康、性生活、基因数据或生物识别数据。这类数据适用更严格的处理规则，需要具备特定的法律依据，原则上还须取得数据主体的特别同意。

数据处理、控制者与处理者

LGPD 中的处理概念有意定得十分宽泛。第5条第X项涵盖对个人数据进行的一切操作：收集、生成、接收、分类、使用、访问、复制、传输、分发、加工、归档、存储、删除、评估、控制、修改、通报、转移、传播或提取。这一列举之广表明，几乎所有涉及个人信息的活动都要受该法约束。

该法确定了这一链条中的两个核心主体。控制者（controlador）是对数据处理作出决定、确定处理目的和方式的自然人或法人。处理者（operador）是按照控制者的指示、代表控制者进行数据处理的人。两者都须对遵守相关规范负责，只是在民事责任和行政责任上的程度有所不同。

监管工作由国家数据保护局（ANPD）负责，这是一个联邦机构，负责制定规章、调查违法行为并实施制裁。制裁从警告到罚款不等，罚款最高为法人上一会计年度营业额的2%，且每次违法行为以五千万雷亚尔为限，依据该法第52条。

个人数据并不属于收集它的人，而属于数据主体；法律为此提供了相应的手段，使这一权利能够在任何控制者面前得到切实行使。

数据主体的权利及其行使方式

第13.709/2018号法律第18条列举了个人数据主体的各项权利：确认是否存在数据处理；访问数据；更正不完整、不准确或已过时的数据；对不必要的数据或违反法律处理的数据进行匿名化、封存或删除；将数据携带至其他服务提供者；删除基于同意而处理的数据；获知数据共享情况；获知可以不提供同意的相关信息；以及随时撤回同意。

数据主体可以直接向控制者提出请求来行使这些权利，控制者应在合理期限内免费作出答复。原则上，法律禁止就此类请求收取费用。如果请求过多或出于恶意，控制者可以收取费用，但必须说明理由。

不过，删除数据的权利并非绝对。当数据处理所依据的法律基础不是同意，例如履行法定义务、在司法程序中正当行使权利，或保护信用时，即使数据主体提出删除请求，控制者仍可保留这些数据，但须依照第18条第3款，向数据主体作出适当说明。

常见问题

LGPD 是否把关于一个人的任何信息都视为个人数据？

是的，只要该信息能够识别自然人或使其变得可识别。有些信息单独来看无法确定任何个人，但与其他数据结合后能够实现识别，这类信息同样属于第5条第I项规定的概念范围。标准在于识别能力，而非信息本身的性质。

LGPD 是否只适用于科技公司或大型企业？

不是。无论属于哪个行业、规模大小，也无论使用何种载体，只要是在巴西境内处理个人数据的公法或私法上的自然人或法人，都在该法适用范围之内。小型企业、自由职业者和公共机构适用相同的一般规则，只是ANPD针对微型企业和小型企业的规章作了一些调整。

数据主体可以随时要求删除其数据吗？

删除权是存在的，但法律明文规定了例外。当数据处理基于法定或监管义务、基于在司法、行政或仲裁程序中正当行使权利，或基于控制者的合法利益时，即便数据主体提出了删除请求，这些数据也可以继续保存。在这些情形下，控制者应当依照第13.709/2018号法律第18条第3款，向数据主体告知支持继续保存的法律依据。

As informações deste artigo são de caráter informativo e não substituem consulta jurídica individualizada. Cada caso possui particularidades que exigem análise específica.