个人数据泄露：如何应对并主张赔偿

本页为葡萄牙语原文的译文，仅供参考，内容涉及巴西法律。如有出入，以葡萄牙语版本为准。 阅读葡萄牙语原文

个人信息未经授权被泄露，会立即对负责处理这些信息的组织产生相应义务，同时也保障受影响的数据主体有权就财产损失和精神损害获得赔偿、要求删除已泄露的数据，并有权向巴西国家数据保护局 (Autoridade Nacional de Proteção de Dados，ANPD) 追究相关主体的行政责任。

什么构成安全事件，又会触发哪些权利

根据第13.709/2018号法律，个人数据泄露是指任何可能给数据主体带来风险或重大损害的安全事件，包括未经授权的访问、意外销毁、不当篡改，以及受保护信息的传达或扩散。无论是外部攻击造成的泄露，还是处理者自身在访问权限控制上的内部疏漏，该法均予以涵盖。

事件一经确认，数据主体即可立即行使同一法律第18条规定的各项权利：查阅被处理数据的内容；更正不完整或已过时的记录；在处理并无必要时删除已泄露的信息；将数据转移至其他服务提供者（数据可携带）；以及撤回此前给予的同意。这些权利可以直接适用，无需通过诉讼，数据主体可径直向控制者主张。

如果数据主体与相关组织之间属于消费关系，则《消费者保护法》(Código de Defesa do Consumidor) 的规定同时适用，该法保障的基本权利包括有效预防和赔偿损害，以及获得充分、透明的信息。多部法律叠加适用，为受到损害的公民增加了可用的维权手段。

确认事件后，数据主体应立即采取的措施

首先要做的是留存收到的所有通知记录：通知邮件、应用内消息、公司网站上的公告，以及任何客服受理编号。这些记录是日后提起诉讼或行政程序的重要证据，因此从一开始就应截屏保存，并确保日期和时间清晰可见。

随后，数据主体应关注征信系统的动态，核对银行账单，并立即向金融机构通报密码、银行卡号或支付密钥等敏感数据可能已经泄露。如果泄露的内容包括CPF (巴西自然人纳税人登记号) 或RG (巴西身份证) 等身份证件信息，建议报案并取得报案记录，以防他人冒用您的姓名办理信贷业务或开立账户。

当数据处理属于高风险活动时，控制者对数据泄露承担的民事责任不以过错为前提，举证责任也相应倒置，由控制者承担，以保护受损害的数据主体。

与此同时，数据主体应向控制者提交书面申请，说明所遭受的损害，并要求其说明事件的影响范围、受影响的数据类别以及已采取的补救措施。控制者的答复（或在合理期限内未予答复）将成为赔偿诉求证据的一部分，也能证明该公司存在消极不作为。

如何通过行政和司法途径主张赔偿

在行政层面，数据主体可以通过gov.br门户网站向巴西国家数据保护局提出投诉，说明事件经过并附上已收集的文件。ANPD有权对控制者施以处罚，从警告到最高相当于其在巴西营业额2%的罚款（每次违法行为以五千万雷亚尔为限），并可责令公开披露该事件以及删除受影响的数据。

如果属于消费关系，各州的PROCON (消费者保护机构) 和民事特别法庭是成本较低的补充途径。在特别法庭，程序相对简单，在法定限额内，当事人可以自行在一审提起诉讼，这为个人精神损害案件提供了便利。司法诉讼可以与行政程序同时进行，各程序之间在法律上不存在任何障碍。

在民事赔偿方面，第13.709/2018号法律第42条规定，当数据处理违反该法并给数据主体造成损害时，控制者承担严格责任（无过错责任）。财产损失需要证明具体的经济损害（如不当扣费、银行欺诈、冻结银行卡的费用）；而精神损害则可以仅因私密或敏感数据被未经授权地泄露而获得认定，无需证明具体后果，这也是高级法院的主流意见。

常见问题

是否必须证明存在具体的经济损失，才有权获得赔偿？

不一定。法院已承认，仅凭敏感个人数据（如健康信息、银行数据和身份证件）被不当泄露，即可认定存在精神损害，而无需证明直接的经济损失。其依据在于，隐私作为独立的法益受到侵害，由此造成的屈辱感和不安全感是客观上可以确认的。不过，对于财产损失，则必须证明实际发生的财产减损，例如被盗刷提现、他人未经数据主体同意以其名义签订合同，或因该事件直接产生的各项开支。

公司是否有法定期限将数据泄露通知受影响的数据主体？

有。第13.709/2018号法律第48条规定，控制者应在合理期限内，将安全事件的发生通知ANPD和受影响的数据主体；监管机构将该期限定为自知悉事件之时起最长七十二小时。通知内容应说明受影响数据的性质、已采取的安全措施、与该事件相关的风险，以及数据处理负责人（encarregado）的联系方式。未遵守这一期限，会加重公司的行政责任，并可在赔偿诉讼中作为恶意的证据。

可以同时向PROCON投诉并提起诉讼吗？

可以。这些程序分属不同领域，彼此并不排斥。向PROCON投诉属于行政性质，可能促成庭外和解，或由消费者保护主管机关对企业实施处罚。司法诉讼则是向司法机关请求对个人所受损害给予民事赔偿。向ANPD投诉的目的，则是依据个人数据保护法律对控制者进行处罚。这三条途径可以并行推进，在某一领域形成的文件，只要经过适当认证，也可以在其他领域用作证据。

As informações deste artigo são de caráter informativo e não substituem consulta jurídica individualizada. Cada caso possui particularidades que exigem análise específica.