LGPD：个人数据主体的九项权利

本页为葡萄牙语原文的译文，仅供参考，内容涉及巴西法律。如有出入，以葡萄牙语版本为准。 阅读葡萄牙语原文

《个人数据保护通用法》赋予公民一套包含九项权利的清单，可向任何处理其个人信息的企业或公共机构行使，使数据主体能够知悉、掌控自己的数据，并在特定情形下要求删除这些数据。

LGPD赋予数据主体哪些权利

第13.709/2018号法律，即通常所说的《个人数据保护通用法》（LGPD，巴西个人数据保护通用法），在第18条中列出了数据主体可以直接向控制者行使的九项权利。控制者是指对个人信息处理事项作出决定的自然人或法人。这份清单并非只是宣示性的规定，因为每一项权利都配有相应的保障机制：既可以向国家数据保护局（Autoridade Nacional de Proteção de Dados）寻求行政救济，也可以向司法机关寻求司法保护。

这九项权利涵盖的范围很广，从确认是否存在数据处理，到对影响数据主体利益的自动化决策申请复核。对该条文作体系化解读，可以看出一条循序渐进的逻辑：数据主体首先了解自己的信息正在被如何处理，然后查阅内容，接着更正、掌控、转移，并根据具体情形删除数据或提出异议。

法律要求对申请的答复必须免费、形式便利，并在合理期限内作出，具体依国家数据保护局的规定办理。控制者如果逾期不答复，或无正当理由拒绝受理，将面临行政处罚，轻则警告，重则罚款，最高可达营业额的百分之二，且每次违法行为的罚款上限为五千万雷亚尔。

九项权利逐一说明

第一项权利是获得数据处理是否存在的确认。数据主体可以询问企业是否收集、存储或共享了与自己有关的数据。答复应当明确：有处理，或者没有处理。这项权利是行使其他所有权利的入口，因为没有这一步确认，公民甚至不知道后续的申请应当向谁提出。

第二项是数据查阅权。在确认存在数据处理之后，数据主体可以要求提供所存储信息的内容，包括数据来源、处理目的、保存期限，以及控制者与哪些主体共享这些数据。第三项权利是对前一项的补充：更正不完整、不准确或已过时的数据。这一措施可以保证信息的完整性，避免基于错误记录作出决定。

第四项权利是对不必要、过度或违反LGPD处理的数据进行匿名化、封存或删除。这不同于概括性的删除权，它专门适用于超出必要范围收集或违反法律规定收集的信息。第五项权利是将数据移转给其他服务或产品提供者（数据可携权），须经明确请求，并且应当遵守商业秘密和工业秘密的规定。

第六项权利是删除基于同意而处理的数据，但法律规定的保留情形除外，例如履行法定义务、在遵守保护规范的前提下向第三方转移，或者控制者仅以匿名化形式自行使用。第七项涉及获知控制者与哪些公共和私人主体共享使用过数据。这属于透明度方面的保障，旨在遏制同一经济集团的企业之间或商业合作伙伴之间悄悄转手信息的做法。

这九项权利涵盖的范围很广，从确认是否存在数据处理，到对影响数据主体利益的自动化决策申请复核。

如何在实践中行使这些权利

第八项权利涉及获知可以不提供同意以及拒绝同意的后果。在征求数据主体的意思表示之前，控制者应当说明，如果同意被拒绝会发生什么：服务是否将停止提供，是否会受到部分限制，或者拒绝对双方关系并无影响。第九项权利是撤回同意，可随时通过明确的意思表示行使，程序免费且便利。

根据第20条的规定，下位规范还增加了一项权利，即对仅基于自动化处理作出的决定申请复核。这项权利虽未列入第18条的清单，但同样属于数据主体可以行使的权利。随着算法系统在信贷发放、保险承保、招聘筛选和消费画像分析中的应用不断扩大，它的重要性与日俱增。

要行使其中任何一项权利，数据主体应当向个人数据处理负责人（Encarregado pelo Tratamento de Dados Pessoais，即数据保护官）提出申请。大部分控制者都必须指定这一角色。负责人的联系方式应当清楚、便于查找地载明于企业网站或隐私政策文件中。如果没有得到答复，或者答复不能令人满意，可以向国家数据保护局提出申诉，也可以视情况提起诉讼，请求对被侵害的权利给予具体救济，并可同时请求赔偿物质损害或精神损害。

建议数据主体以书面形式提出申请，最好通过能够留下发送和接收凭证的渠道，并明确说明打算行使九项权利中的哪一项，同时提供定位记录所需的身份识别信息。保存好申请的受理编号，对日后追究不作为的控制者的行政责任或司法责任至关重要。

常见问题

LGPD第18条规定的九项权利具体是哪些？

这九项权利是：确认是否存在数据处理、查阅数据、更正不完整或已过时的数据、对不必要或违规处理的数据进行匿名化或删除、向其他提供者转移数据、删除基于同意而处理的数据、获知数据共享使用情况、获知可以不同意及其后果，以及撤回同意。每一项权利都可以直接向控制者行使，无需事先经过司法机关介入。

控制者有多长时间答复数据主体的申请？

法律规定，答复应当立即以简化形式提供，或者以完整形式在自提出申请之日起最长十五日内提供，具体依国家数据保护局的规定办理。逾期构成行政违法，可能面临从警告到罚款的处罚，同时不影响控制者因拖延给数据主体造成的物质损害或精神损害而承担的民事责任。

可以要求删除企业存储的任何个人数据吗？

不可以。第18条规定的删除权适用于基于同意而处理的数据，并且存在重要的例外，例如控制者履行法定义务或监管义务、在遵守法律规范的前提下向第三方转移，以及控制者仅在匿名化的前提下自行使用。基于其他法律依据处理的数据，例如履行合同或正当行使权利，适用各自的规则，只要处理的正当目的仍然存在，就可以继续保存。

As informações deste artigo são de caráter informativo e não substituem consulta jurídica individualizada. Cada caso possui particularidades que exigem análise específica.