巴西的《通用数据保护条例》（GDPR）。我需要了解什么？

巴西的所谓《通用数据保护条例》（GDPR）（葡萄牙语简称LGPD）自2020年9月18日起正式生效。 因此，尚未适应新规的企业需要尽快实施必要的调整。这是因为，自2021年起，将开始对违反该法律的行为实施处罚。.

对于那些还不清楚从何入手的人，我们准备了这份指南，其中涵盖了您需要了解的关于巴西《通用数据保护条例》（GDPR）及其影响的所有内容。这样，您的公司就能在无需担心任何法律制裁的情况下，顺利开启新的一年。请继续关注。.

关于巴西的《通用数据保护条例》

《通用数据保护条例》（GDPR——在巴西）由时任总统米歇尔·特梅尔于2018年8月颁布，并于2020年9月正式生效。从批准到生效之间的这两年“缓冲期”，为企业适应新规提供了时间。 因此，那些甚至不知道GDPR是什么及其影响的企业，在合规方面已略显滞后。好消息是，现在仍有时间“补救”并重组业务运营以符合该法规的要求。首先，让我们简要介绍一下GDPR的背景。.

《通用数据保护条例》规定了收集、处理和共享用户数据的具体条件。目前，针对此类信息的管理已实施了一项更具透明度的标准，从而使公民能够更有把握地确信，其个人数据将仅用于此前与企业商定的目的。.

另请阅读：圣保罗市的电子发票——了解其运作机制

在此之前，我们一直处于完全缺乏监管的状态，用户信息在未经任何同意且没有安全保障的情况下被复制和存储，这为一系列问题埋下了隐患。然而，自《通用数据保护条例》（GDPR）生效以来，已明确规定：

仅在以下情况下方可处理个人数据：

I – 在持有人给予同意的情况下；;

II – 为了数据控制者履行法律或监管义务；;

三、由公共行政部门为处理和共享数据而进行，这些数据对于执行法律法规中规定或由合同、协议或类似文书支持的公共政策是必要的，[…]

IV – 由研究机构开展研究，并在可行的情况下确保个人数据匿名化；;

V – 应数据主体的要求，在履行数据主体作为一方当事人的合同或与该合同相关的初步程序所必需时；VI – 为在司法、行政或仲裁程序中正常行使权利，其中仲裁程序应符合 第9.307号法律，1996年11月23日（《仲裁法》） ;

第七条——为保护所有权人或第三方的生命或人身安全；;

第八条——为保护健康，由卫生领域的专业人员或卫生机构实施的程序；;

八——仅出于保护健康的目的，且由卫生专业人员、卫生服务机构或卫生主管部门实施的程序；;

对于不遵守这些规定的企业，巴西的《通用数据保护条例》（GDPR）规定将由国家数据保护局处以罚款和行政处罚—— ANPD, ，这是一个负责监督法律执行情况的联邦机构。.

GDPR 应用

《通用数据保护条例》（GDPR）在巴西的实施将对所有经济领域产生影响。简而言之，从现在起，在向客户和潜在客户索取数据时，必须说明索取数据的目的，并懂得如何对这些数据进行正确的分类，具体分类如下：

个人数据 – 能够用于识别个人身份的信息，例如社会保险号（RG 和 CPF）、姓名和地址。.

敏感数据 – 与个人更具体特征相关的信息，例如族裔/种族背景、政治立场、宗教信仰、性取向等。.

此外，还有另一个重要概念值得明确，那就是数据处理：

数据处理 – 任何涉及个人数据的行为均被视为“处理”，从数据被收集之时起，直至数据被删除之时止。

在厘清了这些区别之后，让我们来看看一些值得关注的关键事件。.

未经同意的数据采集

购买潜在客户名单，即使在《通用数据保护条例》（GDPR）生效之前，也是一种有悖于道德的做法。从现在起，这将构成犯罪。.

因此，在任何情况下，贵公司的商务部门都不得在未获得相关人员适当同意的情况下分享或接收用户数据。.

此外，组织已掌握的信息不得用于收集时告知目的以外的任何用途。例如，几年前进行的市场调研数据不得以任何其他方式使用。在这种情况下，将任何人的个人数据用于简单的商业联系，本身就已经属于违法行为。.

与潜在客户群体保持沟通

假设您已经建立了一个由客户和潜在客户组成的联系人库，并通过电子邮件和WhatsApp等不同沟通渠道与他们保持定期联系。为了维持这种沟通，有必要明确在哪些情况下可以再次联系这些人。.

根据巴西的《通用数据保护条例》（GDPR），必须证明此类联系对于公司的运营是必要的，而营销活动不属于此范畴。.

数据收集

与信息交流一样，数据收集也必须有充分的理由。因此，所请求的数据——无论被归类为个人数据还是敏感数据——都必须被视为公司运营所不可或缺的。.

因此，贵公司所有面向公众的在用表格都必须进行审查，以确保符合法律要求。管理层应与法律顾问共同商定，哪些信息可被归类为必要信息。.

同意的类型

除了了解应避免哪些行为外，更重要的是要掌握法律中的一些概念，以免触犯法律，并从更广泛的角度理解如何处理客户的数据。下面我们就来了解这方面的相关说明。.

根据法律规定，同意被定义为明确且毫无歧义的意愿声明。在实践中，这指的是用户明确表示同意将特定数据用于特定目的。.

从这一角度来看，根据巴西《通用数据保护条例》（GDPR）的规定，同意必须具备以下特征：;

同意必须是自愿的： 同意的给予不能是“被迫”或被诱导的，而应是一种自主选择。如果一家公司在表格中添加了同意复选框，这意味着用户无法选择接受或拒绝所提出的条款。

同意必须明确无误： 这取决于用户是否通过积极行为予以确认。换言之，用户必须采取某种行动来表明其接受，无论是发送电子邮件、签署电子签名，还是点击特定位置。对于是否已给予同意，不应存在任何疑问；;

同意必须针对特定且明确的目的： 同意必须针对特定且明确的目的作出。说明使用个人数据的原因是《通用数据保护条例》（GDPR）逻辑中不可或缺的一部分。公司绝不能将收集到的数据用于同意书中未明确指定的目的。.

面对如此多的要求，有些人可能会自问：联系负责人是否必须征得同意？

未必如此，因为法律中存在通常所说的“合法利益”和“合同”这两项原则。这一机制使以合理方式进行的商业往来具有合法性。.

了解《通用数据保护条例》（GDPR）中规定的用户权利

《通用数据保护条例》（GDPR）还规定了一系列用户权利，这些权利往往意味着企业必须履行相应的义务。.

来看看主要有哪些：

• 确认处理是否存在的权利；;
• 数据访问权；;
• 更正不完整、不准确或过时数据的权利；;
• 有权对不必要、过量或违反《通用数据保护条例》（GDPR）规定而处理的数据进行匿名化、封锁或删除；;
• 根据国家主管部门的规定，在遵守商业和工业秘密的前提下，应明确请求，享有将数据转移至另一服务或产品提供商的权利；;
• 有权删除经数据主体同意后处理的个人数据；;
• 数据控制者已与之共享数据的公共和私营实体的知情权；;
• 有权了解不给予同意的可能性以及拒绝同意的后果；;
• 撤回同意的权利。.

贵公司对《通用数据保护条例》（GDPR）的执行情况值得进行妥善监督。正如我们所强调的，任何违规行为都可能导致不同性质的处罚，使贵公司面临本可完全避免的法律风险。.