关于 brazil-lgpd
这项技能汇总巴西 LGPD 的个人数据处理规则、合法依据、敏感数据要求及数据主体权利，面向负责巴西业务隐私合规的团队。内容结合条文说明与组织实施示例。
主要功能
- 01梳理十种个人数据处理依据
- 02说明敏感数据处理条件
- 03涵盖数据保护官职责
- 04列出数据主体权利与期限
- 05提供合规实施示例
适用场景
- 01评估巴西个人数据处理的合法依据
- 02制定敏感数据处理流程
- 03安排数据保护官职责与联系渠道
- 04规划数据主体请求的响应流程
安装
复制下面的命令，在终端中运行。
npx skills add https:/安装后在 Claude Code 中输入/brazil-lgpd确认已加载。
包含的文件
除 SKILL.md 外，安装时一起下载的参考资料和脚本。
assets/template.mdreferences/standards.mdworkflows.mdscripts/process.py详细介绍
巴西 LGPD 合规（Lei 13.709/2018）
概述
《个人数据保护总法》（Lei Geral de Proteção de Dados Pessoais，LGPD）于 2018 年 8 月 14 日以 Lei 13.709 的形式颁布，并于 2020 年 9 月 18 日生效（处罚措施自 2021 年 8 月 1 日起可执行），是巴西全面的数据保护法律。LGPD 适用于在巴西进行的任何个人数据处理活动、旨在向位于巴西的个人提供商品或服务的处理活动，或在巴西收集个人数据的处理活动（第 3 条）。国家数据保护局（Autoridade Nacional de Proteção de Dados，ANPD）作为监管机构，负责制定规则、执法和提供咨询。
第 7 条规定的十种合法依据
LGPD 为处理个人数据规定了十种不同的法律依据，多于欧盟 GDPR 规定的六种合法依据。每种依据均独立适用——组织可依赖任何适用的依据，且不存在规定的优先顺序。
1. 数据主体同意（第 7 条第 I 项）
第 8 条规定的要求：
- 同意必须以书面形式提供，或通过其他方式表明数据主体的意愿是自由、知情且明确的
- 书面同意必须以独立于其他合同条款的条款呈现（第 8 条第 1 款）
- 控制者承担证明已获得同意的责任（第 8 条第 2 款）
- 如果同意基于误导性信息，或数据主体未获得充分告知，则该同意无效（第 9 条第 1 款）
- 数据主体可随时通过明确声明撤回同意，且撤回流程必须免费、便捷（第 8 条第 5 款）
Zenith Global Enterprises 的实施方式：
- 向巴西客户发送营销通信，须通过独立的同意条款获得选择加入式同意
- 将同意记录存储在同意管理平台中，并记录时间戳、范围和版本
- 客户可通过隐私门户在两次点击内使用同意撤回机制
- 针对每种处理目的（营销、画像、向第三方共享）分别获取细分同意
2. 履行法律或监管义务（第 7 条第 II 项）
范围：为使控制者遵守巴西法律规定的法律或监管义务而进行的必要处理。这包括依据《国家税法典》（Código Tributário Nacional）进行税务申报、依据 Lei 9.613/1998 履行反洗钱义务，以及依据《劳动法汇编》（Consolidação das Leis do Trabalho，CLT）保留就业记录。
Zenith Global Enterprises 的实施方式：
- 根据 CTN 第 173 条，员工工资记录保留 5 年
- 根据 CLT 第 11 条，就业记录在雇佣关系存续期间及结束后 5 年内保留
- 根据 Lei 9.613/1998 第 10 条，反洗钱记录自最后一笔交易起保留 5 年
3. 公共行政部门执行公共政策（第 7 条第 III 项）
范围：公共行政部门为执行法律、法规或合同规定的公共政策而进行的处理。此依据仅适用于公共行政部门，不适用于私营部门组织。
与 Zenith Global Enterprises 的相关性：作为私营部门实体，本项不适用。如果参与公私合作项目，则由政府合作方援引此依据。
4. 研究机构开展研究（第 7 条第 IV 项）
范围：研究机构为开展研究而进行的处理，并在可能的情况下确保个人数据匿名化。研究机构必须遵守特定的伦理标准，并接受相关伦理委员会的监督。
与 Zenith Global Enterprises 的相关性：如果与学术机构合作开展物流优化研究，应确保为研究目的共享的数据已匿名化或假名化，并由研究机构承担控制者责任。
5. 合同履行（第 7 条，第 V 项）
范围：应数据主体的要求，为履行数据主体作为一方当事人的合同，或为办理与该合同相关的初步手续所必需的处理。
Zenith Global Enterprises 的实施方式：
- 为履行货运代理合同，处理客户的收货地址、联系信息和付款信息
- 客户申请贸易信贷条款时，对其进行合同前信用评估
- 处理履行劳动合同所必需的员工数据
6. 在司法、行政或仲裁程序中行使权利（第 7 条，第 VI 项）
范围：为在司法、行政或仲裁程序中正常行使权利所必需的处理。该依据允许在诉讼或监管程序所必需时保留和使用个人数据。
Zenith Global Enterprises 的实施方式：
- 保留与待决或预期中的海关争议相关的客户往来记录和交易记录
- 在解雇争议提交至 Justiça do Trabalho（劳动法院）审理时，留存员工绩效记录
7. 保护生命或人身安全（第 7 条，第 VII 项）
范围：为保护数据主体或第三方的生命或人身安全所必需的处理。此依据仅适用于确实存在紧急情况且无法合理取得同意的情形。
Zenith Global Enterprises 的实施方式：
- 在巴西仓储设施发生工作场所事故时，处理员工医疗急救信息
- 在道路运输事故中，向急救服务机构分享司机的位置数据
8. 保护健康（第 7 条，第 VIII 项）
范围：为保护健康所必需的处理，且仅限由医疗专业人员、医疗服务机构或卫生主管部门执行的程序。此依据的适用范围比保护生命的依据更窄，仅适用于卫生领域的相关主体。
与 Zenith Global Enterprises 的相关性：仅适用于公司聘用的职业医学服务提供者依据 Norma Regulamentadora NR-7 (PCMSO) 开展的职业健康数据处理。
9. 控制者或第三方的合法利益（第 7 条，第 IX 项）
第 10 条规定的要求：
- 处理必须基于具体情形并服务于合法目的，包括：
- （I）支持和促进控制者的活动
- （II）保护数据主体，或保护有益于数据主体的服务提供，且与行使其权利相关
- 为实现所述目的，只能处理严格必要的数据
- 控制者必须采取透明度措施，包括进行合法利益影响评估
- 如果 ANPD 提出要求，控制者必须提供 Relatório de Impacto à Proteção de Dados Pessoais (RIPD)——即 LGPD 中相当于 DPIA 的文件
Zenith Global Enterprises 的实施方式：
- 使用模式分析检测客户付款交易中的欺诈行为
- 监控员工网络活动以保障 IT 安全，防止数据泄露
- 通过客户关系管理分析改善服务质量
- 使用三部分平衡测试为每个使用场景记录合法利益评估：（1）合法目的，（2）必要性，（3）与数据主体权利之间的平衡
10. 信用保护（第 7 条第 X 项）
范围：为保护信用而进行的处理，包括信用评分。此处理依据为 LGPD 所独有，在 GDPR 中没有直接对应项。该依据允许为评估信用风险、开展征信机构业务以及评估商业信用而处理数据。
Zenith Global Enterprises 的实施：
- 对申请贸易信用条款的企业客户进行信用评分
- 根据 Lei 12.414/2011（正面信用登记制度）的规定，与征信机构（Serasa Experian、SPC Brasil、Boa Vista）共享付款历史记录
- 在法定期限内保留信用评估记录
根据第 11 条处理敏感数据
敏感个人数据（dados pessoais sensíveis）包括种族或族裔出身、宗教信仰、政治观点、工会成员身份、健康数据、性生活、遗传数据和生物识别数据（第 5 条第 II 项）。
处理敏感数据必须依据第 11 条规定的八项特定依据之一：
- 数据主体明确且特别作出的同意
- 履行法律义务（无需同意）
- 公共行政部门为执行公共政策而进行的共享处理
- 研究机构处理（可行时进行匿名化）
- 在司法、行政或仲裁程序中行使权利
- 保护生命或人身安全
- 在医疗程序中保护健康
- 在身份识别过程中防止欺诈并保障数据主体安全
与 GDPR 的主要区别：LGPD 不将正当利益或履行合同列为处理敏感数据的依据。
数据保护官（Encarregado）要求
任命（第 41 条）
控制者必须任命一名数据保护官（Encarregado pelo Tratamento de Dados Pessoais）。ANPD 第 2/2022 号决议 CD/ANPD（经第 18/2024 号决议 CD/ANPD 修订）规定：
- 小规模处理代理方（agentes de tratamento de pequeno porte）可指定简化的联系渠道，以替代正式的 DPO
- 必须公开 DPO 的身份和联系信息，最好在控制者的网站上公开
- ANPD 可针对 DPO 的资质制定其他规则
DPO 职责（第 41 条第 2 款）
| 职责 | 说明 |
|---|---|
| 接收投诉 | 接受数据主体的投诉和通信，并采取措施 |
| 接收 ANPD 的通信 | 作为与 ANPD 联系的窗口 |
| 为员工提供建议 | 指导控制者的员工和承包商遵循数据保护实践 |
| 履行其他职责 | 执行控制者确定或补充法规规定的其他职责 |
Zenith Global Enterprises 的 DPO 架构
| 要素 | 详情 |
|---|---|
| 巴西 DPO | Maria Fernanda Oliveira，合规总监 — 圣保罗办公室 |
| 公开披露 | 列于 zenithglobal.com.br/privacidade 和公司的 Política de Privacidade 中 |
| 联系渠道 | [email protected] — 在 5 个工作日内确认收到 |
| 汇报关系 | 直接向首席隐私官汇报，并以虚线向巴西国家经理汇报 |
数据主体权利（第 17–22 条）
权利目录
| 权利 | LGPD 条款 | 响应期限 | 实施方式 |
|---|---|---|---|
| 确认是否进行处理 | Art. 18, I | 简化格式：立即或在 15 天内；完整格式：在 15 天内 | 在数据清单系统中自动查询 |
| 访问数据 | Art. 18, II | 在 15 天内 | 通过隐私门户以机器可读格式导出数据 |
| 更正不完整、不准确或过时的数据 | Art. 18, III | 合理期限内 | 客户可在门户中自行更正；员工更正通过 HR 系统进行 |
| 匿名化、封锁或删除不必要或过量的数据 | Art. 18, IV | 合理期限内 | 自动删除工作流；复杂情况由人工审核 |
| 数据可携带权 | Art. 18, V | 依 ANPD 规定 | 通过隐私门户以结构化 JSON/CSV 格式导出 |
| 删除基于同意处理的数据 | Art. 18, VI | 合理期限内 | 撤回同意后自动清除，但须遵守法定保留要求 |
| 了解共享数据的相关信息 | Art. 18, VII | 在 15 天内 | 从数据共享登记册中披露第三方接收方 |
| 了解拒绝同意的后果 | Art. 18, VIII | 在收集时 | 隐私声明说明不提供同意的后果 |
| 撤回同意 | Art. 18, IX | 立即生效 | 在隐私门户中一键撤回；在 24 小时内停止处理 |
自动化决策的复核权（Art. 20）
数据主体有权请求复核仅基于自动化处理（包括画像分析）作出且影响其利益的决定。控制者必须就自动化决策所采用的标准和程序提供清晰、充分的信息，但须遵守商业和工业保密要求。
ANPD Resolution CD/ANPD No. 2/2022 明确，小规模处理者可以提供简化说明，但所有控制者都必须在收到请求时提供人工复核。
Zenith Global Enterprises 的实施方式：
- 数据主体提出请求后，自动信用评分决定将被标记为需要人工复核
- 记录信用模型的标准，并提供简化版本以供披露
- 在收到请求后 5 个工作日内指派人工审核员
国际数据传输机制（Art. 33）
LGPD 仅在满足以下条件时允许国际传输个人数据：
| 机制 | LGPD 条款 | 状态 |
|---|---|---|
| 具有充分保护水平的国家或国际组织 | Art. 33, I | 截至 2026 年 3 月，ANPD 尚未公布充分性决定 |
| 经 ANPD 批准的标准合同条款 | Art. 33, II(b) | ANPD Resolution CD/ANPD No. 19/2024 采纳了自 2025 年 8 月起生效的标准合同条款 |
| 全球公司规则（有约束力的公司规则） | Art. 33, II(c) | ANPD 已发布指导草案；正式的 BCR 批准机制尚待出台 |
| 针对该传输的特定同意 | Art. 33, VIII | 仅当数据主体获知该传输具有国际性质时才有效 |
| 遵守法律或监管义务 | Art. 33, IV | 适用于跨境监管报告 |
| 履行合同或进行初步程序（应数据主体要求） | Art. 33, V | 适用于执行与数据主体签订的合同所必需的传输 |
| 在司法／行政／仲裁程序中行使权利 | Art. 33, VI | 适用于诉讼支持所需的传输 |
| 保护生命或人身安全 | Art. 33, VII | 紧急情况下的传输 |
| 国际司法合作 | Art. 33, III | 适用于司法互助 |
Zenith Global Enterprises 国际转移框架
| 转移流程 | 目的地 | 机制 | 文档 |
|---|---|---|---|
| 客户数据传至欧盟总部 | 德国 | 标准合同条款（经 ANPD 批准） | SCC 登记条目 BR-EU-001 |
| 员工数据传至区域人力资源中心 | 新加坡 | 标准合同条款（经 ANPD 批准） | SCC 登记条目 BR-SG-001 |
| 支付数据传至支付处理方 | 美国 | 特定同意 + 补充措施 | 同意记录 + TIA-BR-US-001 |
| 物流数据传至亚太运营部门 | 日本 | 标准合同条款（经 ANPD 批准） | SCC 登记条目 BR-JP-001 |
ANPD 执法框架
行政制裁（第 52 条）
| 制裁 | 详情 |
|---|---|
| 警告 | 限期采取纠正措施 |
| 一般罚款 | 每次违规最高可处巴西境内该私人法律实体、集团或企业集团营收的 2%，每次违规罚款上限为 5,000 万雷亚尔 |
| 按日罚款 | 用于强制合规，受 5,000 万雷亚尔上限约束 |
| 公开披露违规行为 | 确认违规发生后 |
| 封锁个人数据 | 直至完成合规整改 |
| 删除个人数据 | 删除与违规行为相关的数据 |
| 暂停数据库部分运营 | 最长 6 个月，可续期 |
| 暂停处理活动 | 最长 6 个月，可续期 |
| 部分或全面禁止处理活动 | 最严厉的制裁 |
ANPD 处罚裁量条例（第 4/2023 号 CD/ANPD 决议）
ANPD 发布了处罚裁量条例，确立了计算行政制裁的办法。主要因素：
| 因素 | 权重 |
|---|---|
| 违规行为的严重程度 | 高——处理活动的性质、条件和持续时间 |
| 违规者的诚信 | 中——有意或疏忽的证据 |
| 获得或企图获得的经济利益 | 高——违规带来的经济收益 |
| 违规者的经济状况 | 中——支付能力 |
| 再犯 | 高——过去 5 年内的既往违规行为 |
| 损害程度 | 高——受影响的数据主体数量及后果严重程度 |
| 采用良好实践和治理措施 | 减轻因素——有记录的隐私计划、任命 DPO、开展隐私影响评估 |
| 采取纠正措施 | 减轻因素——违规后及时整改 |
| 违规行为与制裁之间的比例性 | 平衡因素 |
ANPD 值得关注的执法行动
ANPD 行政程序第 00261.000489/2022-62 号（Telekall Infoservice）：
- ANPD 开出的首笔行政罚款（2023 年 7 月）
- 违规行为：未具备合法依据，便提供 WhatsApp 联系人名单用于政治竞选消息发送
- 制裁：因未任命 DPO 而受到警告；因无合法依据处理个人数据而被罚款 14,400 雷亚尔
- 意义：确立了即使是微型企业也必须遵守 LGPD 基本要求
ANPD 关于 INSS 数据共享的行政程序（2023 年）：
- ANPD 调查了 Instituto Nacional do Seguro Social（INSS）与金融机构共享社会保障福利数据一事
- 调查结果是建议暂停数据共享，直至落实适当的保障措施
- 意义：表明 ANPD 愿意对公共行政机构采取行动
LGPD 数据保护影响评估（RIPD）
适用情形
根据第 38 条，ANPD 可要求控制者提交个人数据保护影响报告（Relatório de Impacto à Proteção de Dados Pessoais，RIPD）。虽然并非每项处理活动都必须提交，但强烈建议在以下情形编制 RIPD：
- 基于合法利益的处理（第 10 条第 3 款）
- 敏感数据处理（第 11 条）
- 儿童数据处理（第 14 条）
- 自动化决策（第 20 条）
- 国际数据转移（第 33 条）
RIPD 内容（第 38 条，唯一款）
| 要素 | 说明 |
|---|---|
| 处理活动说明 | 收集的数据类型、方法和处理操作 |
| 具体处理目的 | 超越一般描述的详细目的说明 |
| 法律依据 | 确定并说明适用的第 7 条或第 11 条依据 |
| 数据保护措施 | 已实施的技术和组织保障措施 |
| 风险分析 | 识别和评估数据主体面临的风险 |
| 风险缓解措施 | 为应对已识别风险而采取的措施 |
Zenith Global Enterprises RIPD 登记册
| RIPD 参考编号 | 处理活动 | 法律依据 | 风险等级 | 上次更新 |
|---|---|---|---|---|
| RIPD-BR-001 | 客户信用评分自动化 | 第 7 条，X（信用保护） | 高 | 2026 年 1 月 |
| RIPD-BR-002 | 员工生物识别门禁控制 | 第 11 条，I（特定同意） | 高 | 2025 年 11 月 |
| RIPD-BR-003 | 营销分析画像 | 第 7 条，IX（合法利益） | 中 | 2025 年 12 月 |
| RIPD-BR-004 | 向欧盟总部进行国际传输 | 第 33 条，II(b)（SCC） | 中 | 2026 年 2 月 |
合规计划实施检查清单
| 阶段 | 行动 | 状态 | 负责人 |
|---|---|---|---|
| 1. 基础工作 | 任命 Encarregado（DPO）并公布联系方式 | 已完成 | 法务部 |
| 1. 基础工作 | 梳理所有涉及巴西个人数据的处理活动 | 已完成 | 隐私团队 |
| 1. 基础工作 | 确定并记录每项处理活动的合法依据 | 已完成 | 隐私团队 |
| 2. 文档 | 用葡萄牙语起草并发布 Política de Privacidade（隐私政策） | 已完成 | 法务 + 市场营销 |
| 2. 文档 | 实施包含细分用途的同意收集机制 | 已完成 | IT + 隐私团队 |
| 2. 文档 | 创建符合第 38 条要求的 RIPD 模板 | 已完成 | 隐私团队 |
| 3. 权利管理 | 用葡萄牙语实施数据主体权利请求门户 | 已完成 | IT 开发 |
| 3. 权利管理 | 建立针对访问/确认请求的 15 天响应流程 | 已完成 | 隐私运营 |
| 3. 权利管理 | 配置带有法律保全例外情形的自动删除工作流 | 已完成 | IT + 法务 |
| 4. 传输 | 为国际传输实施 ANPD 批准的标准合同条款 | 已完成 | 法务 + 传输团队 |
| 4. 传输 | 在传输登记册中记录所有国际传输流程 | 已完成 | 隐私团队 |
| 5. 治理 | 开展年度 LGPD 合规审计 | 已安排于 2026 年第二季度 | 内部审计 |
| 5. 治理 | 对所有巴西员工进行 LGPD 要求培训（每年一次） | 2025 年培训已完成 | HR + 隐私团队 |
| 5. 治理 | 建立对 ANPD 新决议的监管动态跟踪机制 | 正在运行 | 法务 + 隐私团队 |