LGPD 合规：巴西数据保护法

LGPD 合规：巴西数据保护法指南

LGPD（Lei Geral de Proteção de Dados Pessoais，第 13.709/2018 号法律）是巴西的《通用数据保护法》，也是巴西第一部全面的隐私法律。该法自 2020 年 9 月起生效，行政处罚条款自 2021 年 8 月 1 日起适用，由巴西国家数据保护机构 ANPD 负责执法。任何处理巴西境内个人数据的企业，包括为巴西访客设置追踪 Cookie 的网站，都需要制定 LGPD 合规方案。

LGPD 是什么？

LGPD 规定了在巴西收集、使用、存储和共享个人数据的规则。它在很大程度上参照了欧盟 GDPR：明确了控制者和处理者的定义，要求每项处理活动都必须具备合法依据，赋予个人（"titulares"，即数据主体）可执行的权利，并授权监管机构处以罚款及其他处罚。

关键信息	详情
正式名称	Lei Geral de Proteção de Dados Pessoais（LGPD）
法律编号	2018 年 8 月 14 日第 13.709 号法律
生效时间	2020 年 9 月
处罚适用时间	2021 年 8 月 1 日
监管机构	ANPD（Autoridade Nacional de Proteção de Dados，巴西国家数据保护机构）
最高罚款	在巴西营业收入的 2%，每项违法行为上限 5,000 万雷亚尔

LGPD 适用于哪些组织？

第 3 条赋予 LGPD 域外效力。无论组织设在何处、数据存储在何处，只要满足以下任一条件，个人或公私组织的数据处理活动均适用该法：

1. 处理活动在巴西境内进行；
2. 处理目的是向巴西境内的个人提供商品或服务，或处理位于巴西境内个人的数据；或
3. 个人数据是在巴西境内收集的（如果数据主体在收集时身处巴西，即视为在巴西境内收集）。

实际上，位于巴西境外但面向或追踪巴西用户的网店、SaaS 产品、媒体网站或应用都属于适用范围。该法不适用于纯粹个人、非经济目的的处理，也不适用于仅用于新闻、艺术或学术目的、公共安全或国防的处理（第 4 条）。

LGPD 规定的 10 项数据处理合法依据

第 7 条列出了十项合法依据（hipóteses）。每个处理目的都至少需要具备其中一项：

1. 数据主体的同意
2. 履行法律或监管义务
3. 公共行政部门执行公共政策
4. 研究机构开展研究（尽可能进行匿名化）
5. 应数据主体要求履行合同或开展合同前的准备工作
6. 在司法、行政或仲裁程序中正当行使权利
7. 保护数据主体或第三方的生命或人身安全
8. 由医疗专业人员、医疗服务机构或卫生当局保护健康
9. 控制者或第三方的合法利益，除非数据主体的基本权利优先
10. 信用保护

敏感个人数据（如健康、生物识别、宗教、政治或种族数据）适用第 11 条规定的更窄的合法依据范围。

LGPD 同意要求与 Cookie

有效同意的要求

LGPD 将同意定义为数据主体针对特定目的作出的自由、知情且明确的意思表示。第 8 条还规定：

• 同意必须针对特定目的，概括性授权无效。
• 控制者负有证明同意系合法取得的举证责任。
• 数据主体可随时通过免费、便捷的程序撤回同意。
• 基于同意与其他控制者共享数据时，需要就该共享单独取得特定同意。

LGPD 是否要求 Cookie 同意？

能够识别或可能识别个人身份的 Cookie，例如广告、追踪 Cookie 以及许多分析 Cookie，都属于 LGPD 下的个人数据处理。2022 年 10 月，ANPD 发布了关于 Cookie 与个人数据保护的指南（Guia Orientativo: Cookies e Proteção de Dados Pessoais）。根据该指南：

• 严格必要的 Cookie 无需同意，合法利益可以作为适当的依据。
• 非必要 Cookie（广告、用户画像等）通常应以同意为依据。如果 Cookie 数据用于广告，合法利益不太可能是合适的依据。
• 分析 Cookie（如受众测量）在经过审慎评估后，某些情况下可以依据合法利益。
• 良好实践是在第一层横幅和第二层设置中都提供醒目的"拒绝所有非必要 Cookie"按钮。
• 应避免的做法包括以接受全部 Cookie 作为使用网站的前提，以及未提供简单的撤回同意方式。

对大多数网站而言，稳妥的做法是使用葡萄牙语 Cookie 横幅：在访客选择同意之前阻止非必要 Cookie，以同等醒目的方式提供"全部接受"和"全部拒绝"选项，并允许访客日后更改选择。

LGPD 规定的数据主体权利

第 18 条赋予个人以下权利：

• 确认其数据是否正在被处理
• 访问其数据
• 更正不完整、不准确或过时的数据
• 对不必要、过度或违法处理的数据进行匿名化、封存或删除
• 将数据转移至其他服务提供者（可携带权）
• 删除基于同意处理的数据
• 了解与之共享数据的公共和私营实体
• 了解可以拒绝同意及拒绝的后果
• 撤回同意

如果存在违法情形，数据主体还可以反对基于同意以外依据进行的处理，并可要求复核完全基于自动化处理作出的决定（第 20 条）。

响应时限： 根据第 19 条，对处理情况的确认或访问请求，须立即以简化形式提供，或在请求之日起 15 天内以清晰完整的声明形式提供。处理请求不得向数据主体收费。DSAR 流程或自助式隐私门户可以帮助您按时响应，并保存每项请求的记录。

LGPD 是否要求设立数据保护官（encarregado）？

第 41 条要求控制者任命数据保护官（encarregado），即 LGPD 中相当于数据保护官（DPO）的角色。其身份和联系方式必须公开，最好发布在控制者的网站上。数据保护官（encarregado）负责受理数据主体的投诉，处理 ANPD 的通知，并就数据保护实践为员工提供指导。

ANPD 已为较小的组织减轻了这项义务：

• Resolution CD/ANPD No. 2/2022 规定，小型处理者（微型和小型企业、初创企业及类似实体）只要为数据主体提供联系渠道，即可免于任命数据保护官（encarregado）。该豁免不适用于高风险处理。
• Resolution CD/ANPD No. 18/2024（数据保护官条例）确认，其他控制者必须任命数据保护官，小型处理者和受托处理者可自愿任命，且任命须以正式书面形式作出。

国际数据传输

第 33 条规定个人数据只能通过特定机制传输出巴西，例如充分性认定、标准合同条款、特定合同条款、全球公司规则，或特定且突出显示的同意。

Resolution CD/ANPD No. 19/2024（2024 年 8 月）批准了《国际数据传输条例》及巴西自己的标准合同条款（SCC）。各组织须在 2025 年 8 月 23 日前将 ANPD 条款纳入合同。此后，基于合同的数据传输只有采用 ANPD 标准合同条款或经 ANPD 批准的特定条款才有效。仅使用欧盟 SCC 不足以支持从巴西向外传输数据。

数据泄露通知

第 48 条要求控制者在发生可能造成相关风险或损害的安全事件时，通知 ANPD 和受影响的个人。Resolution CD/ANPD No. 15/2024（2024 年 4 月），即《安全事件通报条例》，规定通知期限为控制者知悉事件涉及个人数据之日起 3 个工作日。小型处理者的期限加倍。所有事件（包括未通报的事件）都必须登记，记录至少保存五年。

LGPD 处罚与罚款

根据第 52 条，ANPD 可以实施以下处罚：

• 警告，并规定采取纠正措施的期限
• 罚款，最高为公司、集团或企业联合体上一财年在巴西营业收入（不含税）的 2%，每项违法行为上限 5,000 万雷亚尔
• 按日罚款，适用相同上限
• 公开违法行为
• 封存或删除涉及的个人数据
• 部分暂停数据库运行，或暂停处理活动，最长六个月（可延长一次）
• 部分或全部禁止数据处理活动

处罚须经行政程序后实施，并综合考虑违法行为的严重程度、善意、配合程度以及组织已采取的措施。

LGPD 与 GDPR 的主要区别

	LGPD（巴西）	GDPR（欧盟）
生效时间	2020 年 9 月	2018 年 5 月 25 日
地域范围	在巴西境内处理、向巴西境内个人提供商品或服务，或在巴西收集的数据	欧盟境内的机构，以及向欧盟境内个人提供商品或服务或监控其行为
合法依据	10 项，包括信用保护	6 项
数据保护官	所有控制者均须任命，小型处理者可豁免	仅特定情形须任命（公共机构、大规模监控或敏感数据）
访问请求时限	立即（简化形式）或 15 天（完整声明）	一个月，可延长两个月
数据泄露通知	3 个工作日内通知 ANPD 和数据主体	72 小时内通知监管机构
最高罚款	巴西营业收入的 2%，每项违法行为上限 5,000 万雷亚尔	最高 2,000 万欧元或全球年营业额的 4%
监管机构	ANPD	各成员国监管机构

如果您已经符合 GDPR，就具备了良好的基础，但仍需提供葡萄牙语通知、采用巴西标准合同条款、任命数据保护官（encarregado），并建立满足 LGPD 更短时限的流程。查看我们的全球隐私法律概览，了解其他国家的规定。

网站 LGPD 合规清单

1. 梳理数据。 列出网站和应用收集的个人数据、Cookie 和第三方标签，以及各自的目的和合法依据。
2. 扫描并分类 Cookie。 将 Cookie 分为必要、分析、功能和广告等类别。
3. 部署葡萄牙语同意横幅。 在获得同意前阻止非必要 Cookie，并以同等醒目的方式提供"全部接受"和"全部拒绝"。
4. 保存同意证明。 保存包含时间戳、选择内容和横幅版本的同意记录，因为举证责任在控制者。
5. 让撤回变得简单。 提供常驻链接或偏好中心，让访客随时更改选择。
6. 更新隐私声明。 说明处理目的、合法依据、数据共享、国际传输、保存期限、权利以及数据保护官（encarregado）的联系方式。
7. 任命数据保护官（encarregado）（或确认您符合小型处理者豁免），并公布其联系方式。
8. 建立权利请求流程，满足"立即"和"15 天"的时限要求。
9. 审查供应商和传输合同。 对传出巴西的数据加入 ANPD 标准合同条款。
10. 制定事件响应计划，确保能在 3 个工作日内通知 ANPD 和数据主体，并保留事件登记册。

UniConsent 如何帮助您符合 LGPD

UniConsent 是一款同意管理平台，帮助网站和应用快速满足 LGPD 要求：

• 巴西葡萄牙语 Cookie 横幅，自动匹配访客语言，并通过地理定位对巴西访客应用相应规则。
• 事先阻止脚本和 Cookie，直到访客作出同意，并自动扫描和分类 Cookie。
• 第一层即提供全部接受和全部拒绝选项，符合 ANPD 的良好实践。
• 同意日志记录每位访客的选择，便于您向 ANPD 证明同意有效。
• 偏好中心，访客可随时查看和撤回同意。
• 隐私门户与 DSAR 管理，在 LGPD 时限内接收、跟踪和答复数据主体请求。
• 支持 Google Consent Mode v2 和 IAB TCF，让您的分析和广告在同意信号下继续正常运行。

一个标签即可覆盖 LGPD、GDPR、美国各州隐私法以及其他 40 多项法规。免费开始，几分钟内即可上线符合 LGPD 的 Cookie 横幅。