ANPD量罚规则：行政处罚的适用标准

本页为葡萄牙语原文的译文，仅供参考，内容涉及巴西法律。如有出入，以葡萄牙语版本为准。 阅读葡萄牙语原文

ANPD（巴西国家数据保护局）的《量罚规则》为适用违反LGPD（巴西《通用数据保护法》）的处罚确立了客观标准，让处理个人数据的企业和组织在法律上更具可预见性。

什么是《量罚规则》，它为什么重要

《通用数据保护法》（第13.709/2018号法律）生效之初，市场最为担心的问题之一，就是行政处罚究竟会如何落地适用。LGPD规定的处罚种类很多，从警告到最高可达法人营业额2%的罚款不等，且每次违法行为的罚款上限为R$ 50 milhões，但对于国家数据保护局（ANPD）应当依据哪些标准来计算这些处罚，法律并没有作出详细规定。正是为了填补这一空白，ANPD制定了《行政处罚量罚与适用规则》，并通过2023年2月24日的第4号CD/ANPD决议予以批准。

我们认为，这部规则是巴西数据治理领域的一个里程碑，因为它让处罚程序变得更加透明、更可预期。在规则出台之前，监管机构将如何衡量违法行为的严重程度，进而如何确定罚款金额，存在着相当大的法律不确定性。如今，有了清晰的参数和明确的方法，各组织可以更准确地评估违反数据保护法规所带来的风险，从而在合规方案上作出更有依据的决策。

可以看到，这部规则并不只是划定罚款的金额区间。它建立起一套完整的违法行为分级体系，界定了从重与从轻情节，确立了选择处罚类型的标准，并在实体层面对行政处罚程序作出规范。这种体系化的思路十分关键，它使ANPD的监管行为在市场眼中既正当又适度。

违法行为的分级与量罚标准

《量罚规则》将违反LGPD的行为分为三类：轻微、中等和严重。这一分类对于确定适用何种处罚，以及在需要时计算罚款金额，具有决定性作用。轻微违法行为是指不涉及敏感数据、对数据主体的利益没有重大影响，且源于处理流程中个别疏漏的行为。中等违法行为涉及影响更大的情形，例如不履行特定的法定义务，或者缺乏合理的安全措施。严重违法行为则包括以下几类：不当处理敏感数据；影响大量数据主体；表现出系统性的不合规做法；或者构成对ANPD监管活动的阻碍。

在具体量罚时，规则规定了一系列监管机构必须考虑的参数。其中主要包括：违法行为及所涉个人权利的严重程度和性质；违法者的主观善意；已获得或意图获得的利益；违法者的经济状况；是否属于再次违法；所造成损害的程度；违法者与ANPD的配合情况；是否采取了能够减轻损害的内部机制和程序；是否采取了良好实践与治理政策；是否及时采取了纠正措施；以及过错的严重程度与处罚力度之间的比例相当。

需要说明的是，这些参数并不是孤立分析的。ANPD必须进行综合评估，结合个案的具体情况对各项标准加以权衡。这意味着，两个实施了同样违法行为的数据处理主体，可能会受到不同的处罚，具体取决于组织的规模、是否建立了个人数据治理方案、在行政程序中是否积极配合，以及对数据主体造成损害的范围等因素。

从重与从轻情节

规则还详细列明了可能加重或减轻处罚的情节。从重情节包括：在知悉违规之后仍继续实施违法行为；阻碍监管活动；没有采取措施制止违法行为或消除其影响；以及特定再犯（在不足五年的期间内再次实施同一违法行为）。从轻情节则包括：在行政程序启动之前自愿停止违法行为；主动向ANPD和数据主体通报事件；切实配合调查；以及在行政决定作出之前落实纠正措施。

事先建立一套扎实的数据保护治理方案，不仅能降低发生违法行为的风险，在ANPD量罚时还是一项重要的从轻情节。

这套从重与从轻情节的机制，对于数据保护领域的尽职调查（due diligence）尤为重要。那些投入建设完善治理方案、与ANPD保持畅通沟通渠道、并能证明自己对事件反应迅速的组织，一旦卷入行政程序，往往能够获得较轻的处罚。

法定的处罚种类与罚款计算方法

LGPD规定了ANPD可以适用的一系列行政处罚：警告、单次罚款、按日罚款、公开违法行为、封存个人数据、删除个人数据、部分中止数据库运行、中止数据处理活动，以及部分或全部禁止从事与数据处理相关的活动。《量罚规则》对监管机构如何在这些处罚之间作出选择作出了规范，对于罚款，则规定了应如何计算金额。

我们认为，规则在处罚的选择上遵循了循序渐进的逻辑。警告是最轻的措施，并应附带采取纠正措施的期限。罚款（单次罚款和按日罚款）属于金钱性质的处罚，对所适用的金额需要有专门的说理。公开违法行为具有告知和教育的性质，目的是提醒社会警惕不当做法。最严厉的处罚（封存、删除、中止和禁止）则留给极其严重或再次违法的情形，因为它们会直接影响数据处理主体的运营。

关于罚款的计算方法，规则规定ANPD应当以经济集团在巴西最近一个可获得的会计年度的总营业额（不含税）为依据。对于微型和小型企业，规则规定了区别对待，可以减轻罚款，依据是2022年1月27日第2号CD/ANPD决议，该决议规定了LGPD对小规模数据处理主体的适用。这种区分很有必要，因为它承认了巴西市场的多样性，避免过重的处罚使小型企业无法继续经营。

按日罚款及其限度

在量罚中，按日罚款是一种尤为重要的手段。当违法者未在规定期限内履行ANPD所施加的义务时，就会适用这种罚款。规则规定，按日罚款的金额应当足以迫使违法者履行义务，但相对于该违法行为对应的单次罚款而言，不得显失比例。可以看出，这一规定力求在强制措施的有效性与比例原则之间取得平衡，避免按日罚款不断累积、超出合理限度。

对个人数据尽职调查的实际影响

《量罚规则》对涉及个人数据的尽职调查有直接影响，尤其是在并购、公司重组，以及聘用担任数据处理者的供应商等场景中。我们认为，有了清晰的处罚参数，负责风险评估的专业人员在为数据保护方面的或有风险定价时，就能依据更为客观的要素。

在公司尽职调查中，目标公司在ANPD是否有正在进行的行政程序，或者曾被处罚的记录，都成为评估其监管负债的关键信息。分析不应只涵盖已经受到处罚的违法行为，还应包括该组织数据保护方案的整体适当性，因为结构性缺陷意味着未来受罚的风险，而现在这类处罚的金额可以估算得更为准确。

对于担任数据处理者的供应商和商业伙伴，规则进一步凸显了订立严谨合同条款的重要性，这些条款应当明确个人数据处理方面的责任。LGPD规定的违法连带责任，再加上量罚参数，使得控制者必须定期评估其处理者，核查其安全与治理做法是否适当。

我们还注意到，规则直接影响各组织构建事件响应方案的方式。及时向ANPD和受影响的数据主体通报安全事件，被明确列为从轻情节。这意味着，投入建设敏捷的事件发现、遏制和通报流程的企业，不仅能更好地保护数据主体的数据，也能降低受到更严厉处罚的风险。

降低处罚风险的良好实践

在《量罚规则》所巩固的规范框架之下，我们认为某些做法对于降低行政处罚风险格外有效。首要也是最根本的，是建立一套真实、有文件记录且行之有效的数据保护治理方案。仅仅流于形式、只存在于纸面上的方案，不会被ANPD认定为从轻情节。

此外，任命一名合格的数据保护官（encarregado，即DPO），并赋予其履行职责所需的自主权和适当资源，也是一个重要因素。数据保护官是组织、数据主体与ANPD之间的联络纽带，其尽职履责，无论对于预防违法行为，还是妥善应对行政程序，都可能起到决定性作用。

对于风险较高的数据处理活动，同样建议开展数据保护影响评估报告（RIPD）。这些报告表明组织事先评估了风险并采取了降低风险的措施，在可能发生的处罚程序中，这可以被视为从轻情节。按照LGPD的要求，保存最新的数据处理操作记录，也有助于证明组织的善意及其对合规的承诺。

最后，还要强调的是：定期对员工开展培训，落实与风险相适应的技术和组织安全措施，并建立清晰的程序以满足数据主体的权利请求。这些做法如果能够持续、有据可查地执行，就是抵御更严厉处罚的一道重要屏障，也向ANPD表明，该组织是真正把数据保护当作一项优先事项来对待的。

这一主题与ANPD罚款与处罚直接相关，我们已有专文论述。

这一主题与银行体系中的人工智能监管直接相关，我们已有专文论述。

As informações deste artigo são de caráter informativo e não substituem consulta jurídica individualizada. Cada caso possui particularidades que exigem análise específica.