适用场景
计划或已在巴西开展业务，涉及个人数据处理的中国出海企业，特别是能源、矿产、农业、基础设施、制造业等行业，应高度关注并建立符合巴西《通用数据保护法》（LGPD）的合规体系。
核心要点
1. 巴西《通用数据保护法》（LGPD）核心框架
LGPD是巴西首部综合性数据保护法，为个人数据的收集、使用、处理和存储提供了全面的法律框架，并已于2021年8月全面生效行政处罚条款。它与《巴西互联网法案》及宪法修正案共同构成了巴西严谨的数据保护体系。
2. 国家数据保护局（ANPD）及其监管职能
ANPD是LGPD的主要监管和执行机构，具有独立的技术和决策自主权。其职责包括制定政策、监督执法、实施制裁，并定期发布指南和技术文件，为数据处理者提供具体指引，如小型处理代理、安全事件报告和儿童青少年数据处理等。
3. 关键角色定义：控制者、操作者与负责人
LGPD区分了两种“处理代理人”：决定数据处理目的和基本要素的“控制者”，以及代表控制者处理数据的“操作者”。此外，控制者和操作者通常都必须指定一名“负责人”（DPO），作为企业、数据主体和ANPD之间的沟通桥梁，其联系信息需公开披露。
4. 核心合规义务：合法性基础、DPIA与跨境传输
企业处理个人数据需有合法基础，如获得数据主体同意或基于合法利益，敏感数据有更严格要求。ANPD可要求企业提交数据保护影响评估（DPIA）报告。个人数据跨境传输需满足特定条件，如传输至有充分保护的国家或提供充分保障措施（如标准合同条款）。
5. 数据安全事件通知与违规处罚
控制者必须在知悉安全事件3个工作日内向ANPD和数据所有人报告可能造成相关风险或损害的安全事件。违反LGPD可能面临警告、罚款（最高为上一财年营业额2%，上限5000万雷亚尔）、公开违法行为、数据删除/封存等行政处罚，甚至可能涉及刑事责任。
实务建议
- 深入了解并持续关注LGPD及其配套法规，特别是ANPD发布的最新指南和技术文件，确保合规策略的时效性。
- 明确企业在巴西数据处理活动中的角色（控制者或操作者），并据此履行相应的法律责任和义务。
- 指定并公开披露数据保护负责人（DPO），确保其具备必要的专业知识和独立性，有效履行沟通和指导职责。
- 建立健全数据处理的合法性基础，对不同类型数据（包括敏感数据）采取差异化合规策略，并留存相关证明文件。
- 定期开展数据保护影响评估（DPIA），识别和评估数据处理风险，并采取相应缓解措施，形成评估报告。
- 制定完善的个人数据跨境传输机制，确保符合LGPD的传输标准，例如采用标准合同条款或获得ANPD授权。
- 建立并演练数据安全事件应急响应机制，确保在规定时间内（知悉后3个工作日内）向ANPD和数据主体报告，并采取补救措施。
- 定期进行内部合规审计和员工培训，提升全员数据保护意识，将数据合规融入企业日常运营。
风险提示
- 巴西数据保护立法（LGPD）具有高度综合性和严格性，且ANPD执法力度日益加强，违规成本高昂，不可掉以轻心。
- 与欧盟GDPR和中国《个人信息保护法》虽有相似之处，但存在具体差异，不可简单套用其他司法辖区的合规经验，需进行本地化分析。
- 巴西强制要求指定数据保护负责人（DPO），且需公开披露其联系信息，与一些国家仅在特定情况下要求的规定不同。
- 数据安全事件报告时限非常紧迫（知悉后3个工作日内），企业需具备快速响应和报告能力，否则可能面临额外处罚。
- 除了高额行政罚款，侵入计算机设备获取、篡改、破坏数据等行为还可能面临巴西《刑法典》规定的刑事责任。