LGPD实务指南：2026年贵公司需要做什么

本页为葡萄牙语原文的译文，仅供参考，内容涉及巴西法律。如有出入，以葡萄牙语版本为准。 阅读葡萄牙语原文

LGPD (巴西《通用数据保护法》) 适用于所有处理个人数据的公司，无论规模大小，并要求公司完成合规整改，否则每次违法行为最高可被处以R$ 50 milhões的罚款。

LGPD的基本义务

《通用数据保护法》（第13.709/2018号法律）适用于所有处理个人数据的公司，无论规模大小。基本义务包括：梳理公司收集和处理的个人数据；为每一项数据处理确定法律依据（同意、正当利益、法定义务等）；采取适当的安全措施；任命数据保护官 (DPO)；满足数据主体的各项权利；以及在发生安全事件时通知ANPD (巴西国家数据保护局)。

合规的第一步是进行数据梳理，查明公司收集了哪些个人信息、存放在哪里、有哪些人可以访问，以及保存多长时间。这项诊断对于识别风险、确定必要的整改措施至关重要。

数据处理的法律依据

LGPD规定了十项可以授权处理个人数据的法律依据。公司最常使用的有：数据主体的同意、合同履行、履行法定义务、控制者的正当利益以及信用保护。每一项数据处理活动，都必须至少对应其中一项法律依据。

要开始LGPD合规工作，公司应当遵循一套步骤明确、结构清晰的路线。

对于敏感个人数据（有关健康、宗教、性取向、生物识别数据等信息），可适用的法律依据更为严格。以同意作为依据时，同意必须具体、突出，并针对特定目的。公司需要记录自己是如何、在何时取得每一位数据主体的同意的。

数据主体的权利

LGPD赋予数据主体多项权利，公司必须做好满足这些权利的准备。其中包括：确认是否存在数据处理、访问数据、更正不完整或过时的信息、对不必要的数据进行匿名化或删除，以及将数据转移至其他服务提供者（数据可携带权）。数据主体还可以要求了解其数据曾与哪些实体共享。

公司应当设立便捷的渠道，供数据主体行使其权利，并按照ANPD的规定，在合理期限内答复这些请求。

不合规的主要风险

LGPD规定的处罚包括警告、最高为营业额2%的罚款（每次违法行为以R$ 50 milhões为限）、公开违法行为、封存以及删除个人数据。除行政处罚之外，公司还可能因给数据主体造成的损害承担民事责任，包括集体精神损害赔偿。

ANPD已加大监管力度，并已对不同规模的公司作出处罚。一旦发生数据泄露或违反法律规定，品牌声誉也会受损，可能导致客户流失和商业机会丧失。

合规的实操步骤

要开始LGPD合规工作，建议公司遵循一套结构化的路线。第一步是任命数据保护官 (DPO)，由其负责统筹合规工作，并作为与ANPD及数据主体沟通的渠道。接下来，应当制定隐私政策和使用条款，并审查与供应商和合作伙伴签订的合同，加入数据保护条款。

落实技术安全措施同样重要。这包括对敏感数据加密、基于角色的访问控制、定期备份，以及持续对员工开展数据保护良好实践的培训。公司还应当制定事件响应预案，明确一旦个人数据发生泄露或被不当访问时应遵循的程序。

常见问题

小型企业也需要遵守LGPD吗？

需要。LGPD适用于所有处理个人数据的公司，无论规模大小。ANPD已发布专门规定，对微型企业和小型企业给予区别对待，放宽了部分义务，例如在某些情况下无需任命DPO。但是，有关安全以及尊重数据主体权利的核心义务仍然适用。

公司发生数据泄露会怎样？

如果发生的安全事件可能给数据主体带来相关风险或损害，公司应当在合理期限内通知ANPD和受影响的数据主体。通知中应说明受影响数据的性质、涉及的风险以及为减轻影响而采取的措施。未履行通知义务，可能导致所适用的处罚加重。

LGPD中的控制者与操作者有什么区别？

控制者是就个人数据的处理作出决定、确定处理目的和方式的自然人或公司。操作者则是按照控制者的指示、代表控制者进行数据处理的一方。二者均须对给数据主体造成的损害承担责任，并应按照法律规定采取适当的安全措施。

As informações deste artigo são de caráter informativo e não substituem consulta jurídica individualizada. Cada caso possui particularidades que exigem análise específica.