LGPD：外国企业须知的巴西数据保护法

是的，LGPD 适用于外国企业。巴西《通用数据保护法》（第 13.709/2018 号法律）适用于任何处理巴西境内人员个人数据、向他们提供商品或服务、或处理在巴西收集数据的企业，无论企业设在何处。实际上，如果您的网站向巴西人销售、收集电子邮箱，或为巴西访客设置 cookie，LGPD 就适用于您。

LGPD 何时适用

根据该法第 3 条，以下情况适用 LGPD：

• 数据处理发生在巴西；或
• 活动旨在向巴西境内人员提供商品或服务；或
• 数据是在巴西收集的。

也有例外，例如纯个人用途、新闻、艺术或学术用途，以及公共安全。

LGPD 与 GDPR：相似但不相同

LGPD 以欧盟 GDPR 为蓝本，所以已经符合 GDPR 的企业完成了大部分工作。但两者有区别：

主题	LGPD（巴西）	GDPR（欧盟）
合法依据	10 项，包括信用保护	6 项
数据保护负责人	一般应任命；小型处理者有灵活安排	特定情况下强制
最高罚款	巴西营业额的 2%，每项违规上限 5,000 万雷亚尔	全球营业额的 4% 或 2,000 万欧元
监管机构	ANPD	各国监管机构

核心义务

1. 每种数据用途都要有合法依据

每个目的都需要合法依据：同意、履行合同、法律义务、正当利益、信用保护等。例如电子邮件营销通常基于同意，或有充分记录的正当利益。

2. 尊重数据主体的权利

第 18 条赋予数据主体多项权利，包括确认您是否处理其数据、访问、更正、要求匿名化或删除、可携带性以及了解数据共享情况。请为这些请求提供清晰的葡萄牙语渠道。

3. 任命数据保护负责人

负责人（encarregado，相当于 DPO）是企业、数据主体和 ANPD 之间的联络人。其身份和联系方式必须公开，最好写在隐私政策中。

4. 葡萄牙语隐私政策

用简明的巴西葡萄牙语说明您收集哪些数据、为什么、与谁共享、保存多久，以及数据主体如何行使权利。只有英文的政策很难证明透明度。语言为什么重要，请看巴西葡萄牙语：为什么翻译还不够。

5. 安全与事件

企业必须采取适当的安全措施。可能给数据主体带来重大风险或损害的事件，必须在 ANPD 规定的期限内向 ANPD 和数据主体报告。

6. 数据跨境传输

如果巴西人的数据传到巴西境外的服务器（几乎所有外国企业都是如此），传输需要有法律规定的依据。ANPD 已批准标准合同条款，逻辑与欧盟类似。请复核您与云服务、CRM 和邮件服务商的合同。

罚款与处罚

ANPD 可以发出警告，处以最高为企业上一财年巴西营业额 2% 的普通罚款（每项违规上限 5,000 万雷亚尔），按日罚款，公开违规行为，封存或删除数据，以及暂停处理活动。此外，数据主体可以起诉，消费者保护机构（Procon）也会处理消费者问题。

线上卖家的注意事项

• Cookie 和追踪： ANPD 已发布 cookie 指南。提供横幅，让用户真正可以拒绝非必要 cookie。
• WhatsApp 和联系人名单： WhatsApp 上的营销消息同样涉及个人数据，需要合法依据。见巴西商业中的 WhatsApp。
• 结账时的 CPF： CPF 属于个人数据。只在必要时收集（开票、支付、反欺诈），并妥善保护。
• 网红和合作伙伴： 与合作伙伴共享客户名单需要合法依据和合同。

快速清单

1. 梳理您收集了巴西人的哪些数据以及原因。
2. 为每个目的确定合法依据。
3. 发布葡萄牙语隐私政策和负责人的联系方式。
4. 建立处理数据主体请求的流程。
5. 调整 cookie 横幅。
6. 复核跨境传输合同。
7. 制定事件应对计划。

总结

LGPD 覆盖向巴西销售或在巴西收集数据的外国企业。符合 GDPR 是很好的基础，但还需要调整葡萄牙语政策、负责人、巴西的合法依据和跨境传输。完整的市场进入计划，另见外国人如何在巴西开公司。如果您希望在进入市场的同时把合规工作理顺，请联系 BrazilDoor。