企业出海——海外数据合规概览（巴西篇）.docx

巴西是享誉世界的“足球王国”，同时也是南美洲面积最大和人口最多的国家，巴西全国GDP一直位居南美洲

第一[1]。

巴西是中国第九大贸易伙伴国（最大的葡语国家贸易伙伴），也是中国在拉美地区的第一大贸易伙伴，中国则是巴西第一大贸易伙伴国。据中国海关统计，2023年中巴双边贸易额为1815.3亿美元，同比增长6.1%。中国企

业对巴西的投资主要涉及能源、矿产、农业、基础设施、制造业等行业[2]。

目前，巴西对于个人数据保护的立法日趋完善。中国企业在巴西开展个人数据处理活动时，应特别注意巴西个人数据保护法律的相关要求。本文将主要针对巴西的基本数据保护立法及执法情况，概述出海企业在巴西数据

处理活动中的注意要点。

一、巴西个人数据保护立法概览

巴西《通用数据保护法》（LeiGeraldeProte??odeDadosPessoais“LGPD”）是巴西第一部关于数据保

护的综合性法律，其为公司和个人收集、使用、处理和存储数据提供了全面的法律框架。

LGPD已分阶段生效：

2018年12月28日，第55-A-L、58-A和58-B条生效，涉及建立国家数据保护局（AutoridadeNacionalde

Prote??odeDados（“ANPD”））和国家保护个人数据和隐私委员会（ConselhoNacionalde

Prote??odeDadosPessoaisedaPrivacidade“CNPD”）；

2020年9月18日，LGPD的其余条款生效，但涉及适用行政处罚的条款除外；

2021年8月1日，涉及行政处罚的第52、53和54条生效[3]。

LGPD共十章，包含基本条款、个人数据的处理、个人数据所有者权利、公共机构对个人数据的处理、国际数据

传输、个人数据处理代理人、数据安全及良好实践、国家数据保护局及国家保护个人数据和隐私委员会等内

容。

在LGPD之外，巴西关于个人数据的保护亦散见于其他法律法规中。例如，联邦法第12965/2014号及其第

8771/16号法令（合称《巴西互联网法案》）对服务提供商、网络和应用程序提供商提出了有关个人数据处理

的要求以及其他义务，并明确了互联网用户的相关权利[4]。

此外，个人数据（包括数字媒体中的个人数据）受保护的权利，亦被写入巴西宪法（2022年第115号宪法修正案，IncluídopelaEmendaConstitucionalno115,de2022），并在宪法中明确对个人数据的保护以及对个

人数据处理活动的监督[5]。

二、巴西个人数据保护监管机构

巴西国家数据保护局（ANPD）是监管和执行LGPD的主要机构。根据LGPD，ANPD是具有特殊性质的独立机

构，其具有技术和决策自主权，拥有自己的资产[6]。

ANPD由理事会（最高领导机构）、国家个人数据保护和隐私委员会（CNPD）、以及执行LGPD规定所需的行

政单位和专门单位等部门组成[7]。ANPD的主要职责包括：

制定国家个人数据保护和隐私政策的指导方针；

在数据处理违法的情况下，通过保障对抗、充分辩护和上诉权利的行政程序，进行监督并实施制裁；

促进采纳有助于数据主体控制其个人数据的服务和产品标准；

协调具有相关数据保护职责的其他机构和实体[8]。

ANPD定期发布相关法规，以落实LGPD的执行，包括：

2022年1月27日第CD/ANPD.2号决议-批准2018年8月14日第13.709号《LGPD小型处理代理适用条例》

（经2024年4月24日第CD/ANPD.15号决议修订）（Resolu??oCD/ANPDno2,de27dejaneirode

2022-AprovaoRegulamentodeaplica??odaLeino13.709,de14deagostode2018,LeiGeraldeProte??odeDadosPessoais（LGPD）,paraagentesdetratamentodepequenoporte（alterada

pelaResolu??oCD/ANPDNo15,DE24DEAbrilDE2024）[9]）

2024年4月24日第CD/ANPD15号决议--批准《安全事件报告条例》（Resolu??oCD/ANPDNo15,DE24

DEAbrilDE2024-AprovaoRegulamentodeComunica??odeIncidentedeSeguran?a[10]）

2023年5月22日第CD/ANPD1号公告-《修订关于处理儿童和青少年个人数据的声明》（En