在巴西进行的处理
如果数据的收集或使用发生在国内,法律就适用。
指南 · 巴西法律
《通用数据保护法》适用于任何处理巴西境内人员数据的网站,包括广告所使用的 Cookie 和标识符。本指南介绍法律的要求、ANPD 如何指导 Cookie 的使用、有哪些处罚,以及发布商需要上线哪些内容。
是什么
LGPD 是 2018 年 8 月 14 日的第 13.709 号法律。它规定企业何时可以收集、使用、保存和共享个人数据,以及个人对这些数据拥有哪些权利。它适用于线下和线上的企业、自由职业者和公共机构。
个人数据是与已识别或可识别的个人相关联的任何信息。在网站上,这包括表单中的姓名和邮箱,也包括 IP 地址、Cookie 标识符,以及用于展示广告的浏览历史。敏感个人数据是受到更多保护的类别:健康、宗教、种族出身、政治观点、性生活、基因和生物识别数据。
数据主体是数据的所有者。控制者决定数据用于什么,通常就是网站所有者。处理者代表控制者处理数据,例如邮件平台。数据保护官是在控制者、数据主体和监管机构之间起桥梁作用的个人或公司。
负责监督的是 ANPD。它最初设立时称为 Autoridade Nacional de Proteção de Dados,现在称为 Agência Nacional de Proteção de Dados,简称不变。ANPD 负责发布法规和指南、接收投诉并实施法律规定的处罚。
清单
LGPD、ANPD 和 Google 对接待巴西访客的、带广告的网站有哪些要求。
该法保障数据主体能够方便地了解数据使用的目的、方式和期限,了解谁是控制者以及如何联系,了解数据共享情况,以及第 18 条规定的权利。Google 还要求政策说明,包括 Google 在内的第三方会使用 cookie 来展示广告。
我们使用自有 cookie 和第三方 cookie(包括 Google 的),根据您对本网站和其他网站的访问来展示广告。
ANPD 的指南建议对非必要 cookie 取得同意,并建议默认将其关闭。如果您使用 Google 标签,Consent Mode 可以只对巴西默认设为拒绝,并在访客接受后更改。
gtag('consent', 'default', {
'ad_storage': 'denied',
'ad_user_data': 'denied',
'ad_personalization': 'denied',
'wait_for_update': 500,
'region': ['BR']
});ANPD 的指南建议设置一个显眼易见的按钮,用于拒绝所有非必要 cookie。它不建议只有一个按钮、没有管理选项的横幅。
全部接受 | 拒绝非必要项 | 设置
ANPD 的指南指出,不建议使用授权选项已被预先勾选的横幅。每个目的默认关闭,直到访客自己选择。
法律规定,同意可以随时通过免费且简便的程序撤销。请提供一个固定链接,方便访客更改选择。
所有页面的页脚链接:Cookie 偏好设置
数据保护负责人(encarregado)的身份和联系方式应清晰、客观地公开,最好公布在网站上。无需指定负责人的小型处理者,需要保留一个与数据主体沟通的渠道。
数据保护负责人:Maria Silva。联系方式:privacy@yoursite.com.br
确认和访问数据,可以当场以简化格式提供,或在请求后 15 天内以完整声明的形式提供。请设置一个接收这些请求的渠道。
儿童的数据需要至少一位父母或监护人的同意。健康和宗教等敏感数据需要具体且突出的同意,而且 Google 不接受基于这些数据的个性化广告。
实际案例
官方工具
Google 对 LGPD 没有要求使用认证 CMP,也没有专门的消息,所以请选择遵循 ANPD 指南的工具;只有当网站同时接待欧洲访客时,才需要使用认证 CMP。
适用对象
满足其中一种即可。网站的大小以及服务器的位置都无关紧要。
如果数据的收集或使用发生在国内,法律就适用。
如果目的是向身在巴西的人提供产品或服务,或处理他们的数据,那么即使是外国公司,法律也适用。
如果数据是在国内收集的,LGPD 就适用于这些数据,即使之后在国外处理。
博客和小企业也要遵守该法律。ANPD 对小型主体有较宽松的规则,但没有一般性的豁免。
法律依据
第 7 条列出了 10 种处理个人数据的依据。对于有广告的内容网站,日常会遇到的是这些。
自由、知情且明确地针对特定目的作出的表示。这是 ANPD 对非必要 Cookie(如广告 Cookie)所建议的依据。
网站的真实利益,前提是不凌驾于数据主体的权利之上。根据 ANPD,它可以用于严格必要的 Cookie 和汇总衡量。
为履行与个人签订的合同所必需的数据,例如付费订阅或购买。
当法律要求保存数据时。例如《互联网民事框架》要求在一段时间内保存应用程序的访问记录。
用于信用分析和积极征信。在财经网站上常见,在内容网站上少见。
公共政策、研究、在诉讼中行使权利、保护生命和保护健康,构成第 7 条清单的其余部分。
Cookie
2022 年 10 月,ANPD 发布了《Cookie 与个人数据保护指导指南》。它将 Cookie 分为必要与非必要、第一方与第三方、会话与持久,并按用途分为:分析、功能和广告。
对于严格必要的 Cookie,例如保持登录或购物车的 Cookie,指南指出同意并不是最合适的依据。可以使用合法利益,只要满足法律的要求。对于非必要的 Cookie,例如广告和追踪个人行为的 Cookie,最合适的依据是同意。
指南建议使用带有拒绝所有非必要 Cookie 按钮的横幅,且按钮应易于看到,并不建议只有一个接受按钮的横幅。指南也不建议预先选定的选项,并指导将依赖同意的 Cookie 默认保持关闭。
最后,指南要求有 Cookie 政策或等效文件,可以是隐私通知的一个部分,也可以是单独的页面。对于广告,指南认为合法利益很难成为最合适的依据。
数据主体的权利
第 18 条列出了数据主体的权利。网站需要有一个渠道来接收并答复这些请求。
了解网站是否在处理其数据,并查看有哪些数据。
更正不完整、错误或过时的数据。
要求对不必要、过度或违法处理的数据进行匿名化、封锁或删除。
将数据转移给其他服务或产品的提供商。
了解数据与哪些公司和机构共享过,例如广告网络。
随时免费、便捷地撤回同意,并被告知可以不同意。
该怎么做
处罚
第 52 条的处罚自 2021 年 8 月 1 日起生效。ANPD 依据其量罚规定来确定每个案件的金额。
附带期限,供网站采取整改措施。
最高为公司、集团或企业集团上一财年在巴西营业额(不含税)的 2%,每次违规上限为 5000 万雷亚尔。
用于迫使纠正违规行为,受同一总上限的限制。
违规被确认后予以公开,这会影响网站的声誉。
封锁或删除与违规行为相关的个人数据。
暂停数据库或处理活动,甚至全部或部分禁止数据处理。
时间线
对在巴西拥有网站的人影响最大的日期。
第 13.709 号法律公布,并在生效前设有适应期。
关于法律依据、权利和义务的规则开始适用。
ANPD 获得实施警告、罚款以及第 52 条其他处罚的权力。
ANPD 发布《Cookie 与个人数据保护指导指南》。
ANPD 批准了计算和实施行政处罚的规则。
CD/ANPD 第 18 号决议详细规定了数据保护官的指定和工作。
ANPD 被改制为监管机构,并改名为 Agência Nacional de Proteção de Dados。
LGPD 与 GDPR
LGPD 受 GDPR 启发,但存在一些会改变网站配置的差异。
适用于在巴西处理的数据,或巴西境内人员的数据。
适用于欧洲经济区内的人员,英国和瑞士也有类似的法律。
实际案例
基于 LGPD 和 ANPD Cookie 指南建议的示例。
LGPD 没有提到横幅。ANPD 的指南建议对广告等非必要 Cookie 征求同意。如果网站只使用必要的 Cookie,则不要求同意横幅,但仍需在政策中保持透明。
不要求。Google 的欧盟用户同意政策适用于欧洲经济区、英国和瑞士。对巴西,Google 的政策要求有一份隐私政策,说明广告对 Cookie 和数据的使用。
控制者应当指定数据保护官。ANPD 允许小型主体在保持与数据主体沟通渠道的前提下不指定。请与法务确认您的业务是否符合条件。
ANPD 的指南指出,对于广告,合法利益很难成为最合适的依据。对于广告 Cookie,建议的依据是同意。
在很大程度上适用,因为原则相似。需要注意的是使用地区:欧洲的 TCF 消息不需要在巴西出现,而隐私政策需要提到 LGPD 和第 18 条的权利。
不提供。审核通过截图显示网站实际做了什么,并指出通常需要修复的地方。法律上的决定由您的律师或数据保护官做出。
资料库
本指南根据以下官方页面编写。请直接阅读原文:
审核会检查横幅、Cookie、隐私政策和广告,并提供修复计划。