巴西合规
法律依据：第 13.709/2018 号法律（LGPD）
依据巴西《通用数据保护法》（LGPD）的数据治理 — 整合后的法律文本，已适配我们的合规计划。
巴西共和国总统：兹公告，国会议决、本人批准如下法律：
第一章 — 预备规定
第 1 条 本法就自然人或公法/私法法人对个人数据（包括在数字环境中）的处理作出规定，旨在保护自然人自由与隐私的基本权利及人格的自由发展。唯一款：本法所含一般规则涉及国家利益，联邦、各州、联邦区及各市均应遵守。
第 2 条 个人数据保护制度的基础包括：尊重隐私；信息自决权；表达、信息、通讯与意见自由；私密、名誉与形象不可侵犯；经济与技术发展及创新；自由创业、自由竞争与消费者保护；以及人权、人格的自由发展、尊严与自然人公民权的行使。
第 3 条 无论处理手段、机构所在国或数据所在国为何，凡符合下列情形之一，本法即适用于自然人或公法/私法法人开展的任何处理活动：（一）处理在巴西境内进行；（二）活动旨在向位于巴西境内的个人提供商品或服务，或处理其数据；或（三）所处理的个人数据于巴西境内收集。
第 4 条 本法不适用于以下个人数据处理：自然人纯为私人且非经济目的所为；纯为新闻、艺术或学术目的所为；纯为公共安全、国防、国家安全，或犯罪调查与打击活动之目的所为；以及来源于境外、且不与巴西处理者进行通讯、共享或跨境传输者，前提是来源国提供充分的保护水平。
第 5 条 主要定义：个人数据——与已识别或可识别自然人相关的信息；敏感个人数据——关于种族或族裔渊源、宗教信仰、政治见解、工会或宗教/哲学/政治团体成员身份、健康或性生活、基因或生物识别的数据；匿名化数据；数据库；数据主体；控制者——就处理作出决定者；操作者（受托处理者）——代表控制者处理者；负责人（DPO）——控制者、数据主体与国家数据保护局（ANPD）之间的沟通渠道；处理者、处理、匿名化、同意、封锁、删除、跨境传输、数据共享使用、数据保护影响报告、研究机构及国家主管机关。
第 6 条 处理活动应恪守诚信原则，并遵循下列原则：目的、适当、必要、自由访问、数据质量、透明、安全、预防、非歧视，以及问责与说明责任（证明已采取切实有效并足以证明遵守数据保护规范的措施）。
第二章 — 个人数据的处理
第一节 — 处理个人数据的要件
第 7 条 个人数据处理仅得依下列法律依据之一进行：数据主体同意；控制者履行法律或监管义务；公共行政机关执行公共政策；研究机构开展研究（尽可能匿名化）；为履行数据主体为一方的合同或应其请求的缔约前程序；在司法、行政或仲裁程序中正当行使权利；保护生命或人身安全；由卫生专业人员或机构进行的健康维护；控制者或第三方的正当利益；以及信用保护。
第 8 条 第 7 条第一项的同意应以书面或其他能体现数据主体意愿的方式作出；如为书面，应载于与其他合同条款相区别的条款中。控制者负有证明同意有效取得的举证责任。同意应针对特定目的（概括性授权无效），并可随时以免费、便捷的程序撤回。
第 9 条 数据主体有权便捷地获取关于处理的清晰信息，包括：处理的具体目的；处理的方式与期限；控制者的身份与联系方式；共享使用的信息及其目的；处理者的责任；以及数据主体的权利（第 18 条）。
第 10 条 控制者的正当利益仅得就具体情形考量的正当目的支撑处理，并限于严格必要的数据，须采取透明措施；国家主管机关可要求提交数据保护影响报告。
第二节 — 敏感个人数据的处理
第 11 条 敏感个人数据仅得在下列情形处理：针对特定目的取得特定且醒目的同意；或在无同意时，凡为下列所必需：履行法律/监管义务；执行公共政策所需的共享处理；研究机构的研究（尽可能匿名化）；正当行使权利；保护生命或人身安全；由卫生专业人员/机构进行的健康维护；或在电子系统身份识别与认证过程中防范欺诈并保障数据主体安全。为获取经济利益而共享敏感健康数据，除所列例外情形外一律禁止。
第 12 条 匿名化数据不视为个人数据，但以合理手段可逆转匿名化过程，或用于形成可识别自然人的行为画像者除外。
第 13 条 在公共卫生研究中，研究机构可访问个人数据库，但须仅在机构内、严格为研究之目的处理，保存于受控且安全的环境，并尽可能匿名化或假名化；研究结果的披露在任何情况下均不得泄露个人数据。
第三节 — 儿童与青少年个人数据的处理
第 14 条 儿童与青少年个人数据的处理应以其最佳利益为准。儿童数据须取得至少一名父母或法定监护人特定且醒目的同意；控制者应公开所收集数据的类型及权利行使程序，不得将参与游戏或应用以提供非必要数据为条件，并应尽合理努力核实同意确由监护人作出。信息应以简单、清晰、易懂并适合儿童理解的方式提供。
第四节 — 数据处理的终止
第 15 条 处理于下列情形终止：目的已实现或数据不再必要；处理期限届满；数据主体作出相应告知（含撤回同意）；或国家主管机关因违法而作出决定。
第 16 条 处理终止后应删除个人数据，仅在下列情形获准保留：控制者履行法律/监管义务；研究机构的研究（尽可能匿名化）；依本法要件向第三方传输；或控制者专属使用（禁止第三方访问且数据已匿名化）。
第三章 — 数据主体的权利
第 17 条 每一自然人对其个人数据均享有权属，并保障自由、私密与隐私的基本权利。
第 18 条 数据主体可随时经请求向控制者取得：确认是否存在处理；访问数据；更正不完整、不准确或过时的数据；对不必要、过度或违规处理的数据进行匿名化、封锁或删除；向其他服务/产品提供者进行可携转移；删除经同意处理的数据（第 16 条例外除外）；获知与之共享数据的公私实体；获知拒绝同意的可能性及其后果；以及撤回同意。数据主体亦可向国家主管机关及消费者保护机构申诉。
第 19–22 条 确认是否存在处理或访问数据，应以简化形式即时提供，或于 15 日内以完整声明提供。数据主体有权要求复审仅基于自动化处理并影响其利益的决定（含用户画像）；控制者应就所用标准提供清晰信息，但受商业与工业秘密之限制。数据主体正当行使权利相关的数据不得用于对其不利之目的，其利益可在司法上单独或集体维护。
第四章 — 公共机关对个人数据的处理
第一节 — 规则
第 23–27 条 公法法人应为履行公共目的与法定职权而处理个人数据，须于易于访问的渠道（宜为其网站）告知处理情形、法律依据与程序，并指定负责人。以竞争方式经营的国有企业与混合经济公司，适用与私法主体相同的规则。数据应以可互操作、结构化的格式保存以供共享使用。公共机关的共享使用须服务于特定的公共政策目的；除所列情形外禁止向私人实体转移数据，与私人的通讯或共享须向国家主管机关报告并取决于同意（例外除外）。
第 29–30 条 公共实体应随时就数据的范围与性质及处理提供具体信息；国家主管机关可发布补充性技术意见及关于通讯与共享使用的补充规范。
第二节 — 责任
第 31–32 条 公共机关违反本法时，国家主管机关可发出载明适当措施的通知以制止违法，并可要求公布数据保护影响报告、建议采纳标准与最佳实践。
第五章 — 数据的跨境传输
第 33 条 个人数据的跨境传输仅在下列情形获准：传输至提供充分保护水平的国家或国际组织；控制者提供保障（特定合同条款、标准合同条款、全球公司规则，或所颁发的印章、证书与行为准则）；为国际司法合作；为保护生命或人身安全；经国家主管机关授权；依国际合作协议所作承诺；为执行公共政策；数据主体作出特定且醒目的同意；或依第 7 条（第二、五、六项）所需。
第 34–36 条 外国或国际组织的保护水平由国家主管机关评估（综合考量立法、数据性质、一般原则、安全措施及司法/制度保障）。标准合同条款的内容，以及特定条款、全球公司规则、印章、证书与行为准则的核验，由国家主管机关确定；保障措施的变更须向其报告。
第六章 — 数据处理者
第一节 — 控制者与操作者
第 37–40 条 控制者与操作者应保存处理活动记录，尤其在以正当利益为依据时。国家主管机关可要求控制者编制数据保护影响报告。操作者应依控制者指示处理，控制者核查其遵守情况。国家主管机关可就可携性、自由访问与安全规定互操作标准。
第二节 — 数据保护负责人（DPO）
第 41 条 控制者应指定数据保护负责人（encarregado），其身份与联系方式须清晰公开（宜于控制者网站）。负责人职责包括：受理数据主体的投诉与沟通、作出说明并采取措施；接收国家主管机关的沟通；指导员工与承包方；以及控制者或补充规范所定的其他职责。
第七章 — 安全与最佳实践
第一节 — 数据的安全与保密
第 46–49 条 处理者应采取足以保护个人数据的安全、技术与管理措施，防范未经授权的访问及意外或非法的损毁、灭失、变更、通讯或散布。发生可能对数据主体造成风险或重大损害的安全事件时，控制者应在合理期间内通知国家主管机关及受影响的数据主体，说明所涉数据、风险、已采取的措施及缓解行动。系统应按安全要求、最佳实践与治理原则加以构建。
第二节 — 最佳实践与治理
第 50–51 条 控制者与操作者可制定良好实践与治理规则，就组织条件、运行机制、程序、安全规范、技术标准、义务、投诉与事件处理行动、教育措施，以及内部监督与风险缓解机制（含隐私治理方案）作出规定。国家主管机关鼓励采纳便于数据主体掌控其个人数据的技术标准。
第八章 — 监督与行政处罚
第 52–54 条 违反本法的处理者，经行政程序后可受下列处罚：附整改期限的警告；不超过在巴西上一财年营业额 2% 的简单罚款（每次违法上限为 5000 万雷亚尔）；按日计罚（受同一上限限制）；公开违法行为；封锁相关个人数据；删除相关个人数据；以及在最严重情形下，部分或全部暂停数据库运行及处理活动。处罚须经保障充分抗辩权的行政程序后适用，综合考量事实严重性、行为人善意、所获利益、配合程度及是否采纳治理方案等标准。
第九章 — 国家数据保护局（ANPD）与国家理事会（CNPD）
第 55-A 至 58-B 条 设立国家数据保护局（ANPD），作为负责在全国范围内监督、实施并确保遵守本法的机关，具技术与决策自主权。其职责包括保障数据保护、拟订国家政策指引、监督并适用处罚，以及推广数据保护规范知识。国家个人数据保护与隐私理事会（CNPD）提出战略指引并编制年度报告。
第十章 — 最后与过渡规定
第 59–65 条 违反本法而造成物质、精神、个人或集体损害的处理者，负有赔偿义务。本法不排除其他适用的保护性立法（如《消费者保护法》与《互联网民事框架法》）。本法所定权利与原则适用于生效时已存在的程序与系统。本法自正式公布 24 个月后生效，其中行政处罚条款（第 52–54 条）自 2021 年 8 月 1 日起施行。
具法律权威性的完整文本为葡萄牙语，发布于巴西政府官方门户（Planalto）。
访问原文完整文本（Planalto — LGPD）