消费者数据保护：LGPD在消费领域的适用

本页为葡萄牙语原文的译文，仅供参考，内容涉及巴西法律。如有出入，以葡萄牙语版本为准。 阅读葡萄牙语原文

在消费关系中，消费者个人数据的保护正变得越来越重要。LGPD（第13.709/2018号法律）与CDC共同构成一个相互衔接的体系，确保消费者能够掌控自己的个人信息。

LGPD与CDC：对消费者数据的一体化保护

《通用个人数据保护法》（LGPD）自2020年9月起施行，对巴西境内个人数据的收集、使用、存储和共享作出了规定。适用于消费关系时，LGPD是对CDC已有保护的补充，尤其体现在知情权（第6条第III项）以及对滥用行为的防范（第39条）方面。

CDC在第43条中就已规定，消费者权利包括查阅与其本人有关的档案、卡片、登记资料及个人数据中现存的信息。LGPD大幅扩展了这一权利，包括便捷查阅（第9条）、确认是否存在数据处理（第18条第I项）、更正不完整、不准确或已过时的数据（第III项），以及删除不必要或过度的数据（第IV项）。

可以看出，LGPD与CDC的交汇之处在电子商务、会员积分计划、金融服务和数字平台中尤为重要，因为这些场景下个人数据的收集和使用十分密集，可能直接影响消费者的权利。

消费者对其个人数据享有的权利

LGPD第18条赋予数据主体（在此即消费者）一整套广泛的权利。除上文已提到的之外，还包括：对不必要的数据进行匿名化、封存或删除；将数据转移给其他供应商（数据可携带）；了解数据曾与哪些主体共享；以及随时撤回同意。

在实践中，这些权利意味着，消费者比如可以要求网店注销其账户，并删除购物期间收集的全部数据；也可以要求信用卡运营机构说明，它把该消费者的消费画像共享给了哪些公司；或者要求社交网络停止利用其数据进行定向广告投放。

对自动化决策的解释权（LGPD第20条）对消费者而言尤其重要。当企业利用算法批准或拒绝信贷、制定差别化价格或限制服务使用时，消费者有权要求对该决定进行复核，并获得有关所用标准的说明。

CDC在第43条中就已规定，消费者有权查阅档案、卡片、登记资料及个人数据中现存的与其本人有关的信息。

可见，数据的不当使用可能导致不当列入征信黑名单：错误信息被共享给征信机构，会给消费者造成实际损失。

最常见的侵权行为及自我保护方法

消费者数据最常见的侵权行为包括：未经同意与第三方共享数据（导致陌生公司的骚扰电话和短信）、因安全漏洞造成数据泄露、为办理简单的注册而过度收集信息，以及利用数据实施价格或服务上的歧视性做法。

为保护自己，建议消费者在提供个人数据之前先阅读隐私政策，将共享的信息限制在交易所必需的范围内，为每项服务设置高强度且互不相同的密码，并定期通过Registrato（巴西中央银行）以及各征信机构等平台查看自己的数据。

所谓“geopricing”或“geoblocking”（根据消费者所在位置或数字画像收取不同价格）的做法，依据CDC第39条第X项，可能构成滥用行为，该项禁止无正当理由提高价格。利用浏览数据操纵价格，同样违反CDC第4条第III项规定的诚信原则。

数据泄露：责任与赔偿

当消费者的个人数据因供应商的安全漏洞而泄露时，供应商承担无过错责任，也就是说，无需证明其存在过错。LGPD第44条规定，如果数据处理未能提供数据主体有权期待的安全保障（需考虑现有的处理技术和处理所带来的风险），则该处理属于不合规处理。

数据泄露的受害消费者可以主张财产损害赔偿（例如泄露导致金融欺诈时）和精神损害赔偿（因隐私受到侵犯及个人信息被不当暴露）。法院已认可数据泄露可构成精神损害，特别是涉及健康信息、金融数据或生物识别数据等敏感数据时。

国家数据保护局（ANPD）是负责监督LGPD遵守情况的机构，可施加的处罚从警告到相当于企业营业额2%的罚款不等，每次违法的罚款上限为R$ 50 milhões。消费者可以通过官方的申诉渠道向ANPD举报违法行为。

在消费关系引发的精神损害情形中，个人数据泄露是法院在确定赔偿金额时会考虑的因素，同时还会结合损害的程度以及被暴露信息的敏感程度。

常见问题

企业可以要求我提供CPF才能完成一次普通购物吗？

LGPD要求数据收集限于实现预期目的所需的最低限度（必要性原则，第6条第III项）。在许多线下购物中，CPF并非交易所必需。为开具发票或履行监管义务，要求提供CPF可能是有正当理由的，但如果没有正当理由，不得将其作为销售的条件。消费者可以对这一要求的必要性提出质疑，并拒绝提供。

如何要求删除我在商业登记中的数据？

消费者应向数据控制者（即该企业）正式提出申请，最好采用书面形式（电子邮件、网站表单或信函）。依据LGPD第19条第II项，企业须在15天内答复。如果企业未予答复或未满足请求，消费者可以向ANPD、PROCON（巴西消费者保护机构）或司法机关投诉。

数据泄露导致金融欺诈时，谁应当承担责任？

依据LGPD第42条和CDC第14条，发生数据泄露的企业应对所造成的损害负责。如果欺诈涉及银行业务，金融机构也可能因安全核验方面的疏漏而承担连带责任。消费者有权就财产损害和精神损害获得全面赔偿，既可以起诉其中任何一个责任方，也可以同时起诉全部责任方。

As informações deste artigo são de caráter informativo e não substituem consulta jurídica individualizada. Cada caso possui particularidades que exigem análise específica.