打开空间

指南 · 巴西法律

有广告网站的 LGPD,用简单的方式讲

《通用数据保护法》适用于任何处理巴西境内人员数据的网站,包括广告所使用的 Cookie 和标识符。本指南介绍法律的要求、ANPD 如何指导 Cookie 的使用、有哪些处罚,以及发布商需要上线哪些内容。

  • ✓基于第 13.709/2018 号法律的文本和 ANPD 的 Cookie 指南
  • ✓LGPD 与 GDPR 的实际差异
  • ✓读取网站,不修改任何内容
10处理个人数据的法律依据数量
2%在巴西营业额的比例,即单次违规简易罚款的上限
5000 万雷亚尔单次违规简易罚款的上限
2020LGPD 生效的年份

是什么

规范巴西个人数据使用的法律

LGPD 是 2018 年 8 月 14 日的第 13.709 号法律。它规定企业何时可以收集、使用、保存和共享个人数据,以及个人对这些数据拥有哪些权利。它适用于线下和线上的企业、自由职业者和公共机构。

个人数据是与已识别或可识别的个人相关联的任何信息。在网站上,这包括表单中的姓名和邮箱,也包括 IP 地址、Cookie 标识符,以及用于展示广告的浏览历史。敏感个人数据是受到更多保护的类别:健康、宗教、种族出身、政治观点、性生活、基因和生物识别数据。

数据主体是数据的所有者。控制者决定数据用于什么,通常就是网站所有者。处理者代表控制者处理数据,例如邮件平台。数据保护官是在控制者、数据主体和监管机构之间起桥梁作用的个人或公司。

负责监督的是 ANPD。它最初设立时称为 Autoridade Nacional de Proteção de Dados,现在称为 Agência Nacional de Proteção de Dados,简称不变。ANPD 负责发布法规和指南、接收投诉并实施法律规定的处罚。

清单

你需要做到的事项

LGPD、ANPD 和 Google 对接待巴西访客的、带广告的网站有哪些要求。

  1. 完整的隐私政策

    该法保障数据主体能够方便地了解数据使用的目的、方式和期限,了解谁是控制者以及如何联系,了解数据共享情况,以及第 18 条规定的权利。Google 还要求政策说明,包括 Google 在内的第三方会使用 cookie 来展示广告。

    示例

    我们使用自有 cookie 和第三方 cookie(包括 Google 的),根据您对本网站和其他网站的访问来展示广告。

  2. 广告 cookie 只在同意之后才使用

    ANPD 的指南建议对非必要 cookie 取得同意,并建议默认将其关闭。如果您使用 Google 标签,Consent Mode 可以只对巴西默认设为拒绝,并在访客接受后更改。

    gtag('consent', 'default', {
      'ad_storage': 'denied',
      'ad_user_data': 'denied',
      'ad_personalization': 'denied',
      'wait_for_update': 500,
      'region': ['BR']
    });
  3. 显眼易见的拒绝按钮

    ANPD 的指南建议设置一个显眼易见的按钮,用于拒绝所有非必要 cookie。它不建议只有一个按钮、没有管理选项的横幅。

    示例

    全部接受 | 拒绝非必要项 | 设置

  4. 不要预先选中任何选项

    ANPD 的指南指出,不建议使用授权选项已被预先勾选的横幅。每个目的默认关闭,直到访客自己选择。

  5. 可随时撤销

    法律规定,同意可以随时通过免费且简便的程序撤销。请提供一个固定链接,方便访客更改选择。

    示例

    所有页面的页脚链接:Cookie 偏好设置

  6. 公布数据保护负责人的联系方式

    数据保护负责人(encarregado)的身份和联系方式应清晰、客观地公开,最好公布在网站上。无需指定负责人的小型处理者,需要保留一个与数据主体沟通的渠道。

    示例

    数据保护负责人:Maria Silva。联系方式:privacy@yoursite.com.br

  7. 答复数据主体的请求

    确认和访问数据,可以当场以简化格式提供,或在请求后 15 天内以完整声明的形式提供。请设置一个接收这些请求的渠道。

  8. 注意儿童和敏感数据

    儿童的数据需要至少一位父母或监护人的同意。健康和宗教等敏感数据需要具体且突出的同意,而且 Google 不接受基于这些数据的个性化广告。

实际案例

正确与错误示例

官方工具

经认证的 CMP 与官方链接

Google 对 LGPD 没有要求使用认证 CMP,也没有专门的消息,所以请选择遵循 ANPD 指南的工具;只有当网站同时接待欧洲访客时,才需要使用认证 CMP。

适用对象

有三种情形会使您的网站落入 LGPD 的范围

满足其中一种即可。网站的大小以及服务器的位置都无关紧要。

在巴西进行的处理

如果数据的收集或使用发生在国内,法律就适用。

面向巴西境内人员的提供

如果目的是向身在巴西的人提供产品或服务,或处理他们的数据,那么即使是外国公司,法律也适用。

在巴西收集的数据

如果数据是在国内收集的,LGPD 就适用于这些数据,即使之后在国外处理。

小型网站也适用

博客和小企业也要遵守该法律。ANPD 对小型主体有较宽松的规则,但没有一般性的豁免。

法律依据

对网站最重要的法律依据

第 7 条列出了 10 种处理个人数据的依据。对于有广告的内容网站,日常会遇到的是这些。

同意

自由、知情且明确地针对特定目的作出的表示。这是 ANPD 对非必要 Cookie(如广告 Cookie)所建议的依据。

合法利益

网站的真实利益,前提是不凌驾于数据主体的权利之上。根据 ANPD,它可以用于严格必要的 Cookie 和汇总衡量。

合同履行

为履行与个人签订的合同所必需的数据,例如付费订阅或购买。

法律或监管义务

当法律要求保存数据时。例如《互联网民事框架》要求在一段时间内保存应用程序的访问记录。

信用保护

用于信用分析和积极征信。在财经网站上常见,在内容网站上少见。

其他依据

公共政策、研究、在诉讼中行使权利、保护生命和保护健康,构成第 7 条清单的其余部分。

Cookie

ANPD 的 Cookie 指南说了什么

2022 年 10 月,ANPD 发布了《Cookie 与个人数据保护指导指南》。它将 Cookie 分为必要与非必要、第一方与第三方、会话与持久,并按用途分为:分析、功能和广告。

对于严格必要的 Cookie,例如保持登录或购物车的 Cookie,指南指出同意并不是最合适的依据。可以使用合法利益,只要满足法律的要求。对于非必要的 Cookie,例如广告和追踪个人行为的 Cookie,最合适的依据是同意。

指南建议使用带有拒绝所有非必要 Cookie 按钮的横幅,且按钮应易于看到,并不建议只有一个接受按钮的横幅。指南也不建议预先选定的选项,并指导将依赖同意的 Cookie 默认保持关闭。

最后,指南要求有 Cookie 政策或等效文件,可以是隐私通知的一个部分,也可以是单独的页面。对于广告,指南认为合法利益很难成为最合适的依据。

数据主体的权利

访客可以向您的网站提出什么要求

第 18 条列出了数据主体的权利。网站需要有一个渠道来接收并答复这些请求。

确认与访问

了解网站是否在处理其数据,并查看有哪些数据。

修复

更正不完整、错误或过时的数据。

匿名化、封锁或删除

要求对不必要、过度或违法处理的数据进行匿名化、封锁或删除。

可携带性

将数据转移给其他服务或产品的提供商。

共享信息

了解数据与哪些公司和机构共享过,例如广告网络。

撤回同意

随时免费、便捷地撤回同意,并被告知可以不同意。

该怎么做

巴西发布商需要上线什么

  1. 完整的隐私政策说明网站收集哪些数据、用于什么、依据什么法律基础、与谁共享(包括 Google 和广告网络)、保存多久,以及数据主体如何行使权利。
  2. Cookie 政策列出 Cookie 的类型、每种的用途,以及是第一方还是第三方。可以是隐私政策的一个部分。
  3. 有非必要 Cookie 时显示横幅如果网站使用广告或追踪 Cookie,请显示带有可见的接受和拒绝按钮、且选项未勾选的横幅。
  4. 更改选择的途径在页脚保留一个固定链接,例如“Cookie 偏好设置”,供访客随时撤回或调整同意。
  5. 数据保护官或联系渠道指定数据保护官并在网站上公布其联系方式。2024 年 7 月的 CD/ANPD 第 18 号决议对这一角色作了详细规定。小型主体可以免于指定数据保护官,但必须保持与数据主体的沟通渠道。
  6. 安全与事件用技术措施保护数据,并将可能造成风险或重大损害的安全事件通报 ANPD 和数据主体。

处罚

ANPD 可以采取哪些处罚

第 52 条的处罚自 2021 年 8 月 1 日起生效。ANPD 依据其量罚规定来确定每个案件的金额。

警告

附带期限,供网站采取整改措施。

简易罚款

最高为公司、集团或企业集团上一财年在巴西营业额(不含税)的 2%,每次违规上限为 5000 万雷亚尔。

每日罚款

用于迫使纠正违规行为,受同一总上限的限制。

公开

违规被确认后予以公开,这会影响网站的声誉。

封锁或删除

封锁或删除与违规行为相关的个人数据。

暂停与禁止

暂停数据库或处理活动,甚至全部或部分禁止数据处理。

时间线

从法律的通过到监管机构

对在巴西拥有网站的人影响最大的日期。

  1. 2018 年 8 月 14 日

    LGPD 获得批准

    第 13.709 号法律公布,并在生效前设有适应期。

  2. 2020 年 9 月 18 日

    法律生效

    关于法律依据、权利和义务的规则开始适用。

  3. 2021 年 8 月 1 日

    处罚开始适用

    ANPD 获得实施警告、罚款以及第 52 条其他处罚的权力。

  4. 2022 年 10 月

    Cookie 指南

    ANPD 发布《Cookie 与个人数据保护指导指南》。

  5. 2023 年 2 月

    量罚规定

    ANPD 批准了计算和实施行政处罚的规则。

  6. 2024 年 7 月

    数据保护官规则

    CD/ANPD 第 18 号决议详细规定了数据保护官的指定和工作。

  7. 2026

    ANPD 成为机构

    ANPD 被改制为监管机构,并改名为 Agência Nacional de Proteção de Dados。

LGPD 与 GDPR

相似,但不相同

LGPD 受 GDPR 启发,但存在一些会改变网站配置的差异。

LGPD(巴西)

适用于在巴西处理的数据,或巴西境内人员的数据。

  • 10 种法律依据,包括信用保护
  • 每次违规的罚款上限为 5000 万雷亚尔
  • ANPD 的 Cookie 指南,附有实用建议
  • Google 不要求对巴西流量使用认证 CMP 或 Consent Mode
  • Cookie 规则位于指导指南中,而不是专门的法律中
  • 有非必要 Cookie 时,仍然需要横幅

GDPR(欧洲)

适用于欧洲经济区内的人员,英国和瑞士也有类似的法律。

  • 6 种法律依据
  • Cookie 规则位于专门的法律,即 ePrivacy 指令
  • EDPB 关于同意的详细指南
  • 罚款最高 2000 万欧元或全球营业额的 4%
  • Google 要求个性化广告使用带 TCF 的认证 CMP
  • 广告功能需要 Consent Mode v2 的信号

实际案例

巴西网站的允许与不允许

基于 LGPD 和 ANPD Cookie 指南建议的示例。

可以

  • 加载登录和安全等必要 Cookie,无需征求同意
  • 为广告 Cookie 显示接受和拒绝处于同一层级的横幅
  • 仅向欧洲访客使用欧洲的 TCF 消息,并为巴西使用自己的横幅
  • 在所有页面的页脚发布隐私政策和 Cookie 政策
  • 提供数据保护官的联系邮箱或数据主体的服务渠道
  • 为巴西受众保持 Google 的正常广告

不可以

  • 广告 Cookie 的横幅只有一个“接受”或“确定”按钮
  • 为访客预先勾选的 Cookie 选项
  • 从其他网站复制的隐私政策,没有提到 Google 和合作伙伴
  • 在有广告和 Analytics 的情况下声称网站不收集数据
  • 要求完全接受 Cookie 才能查看内容
  • 无必要地对巴西拒绝所有同意信号

在 ConsentMode 中

审核会针对您网站的 LGPD 检查什么

  • 以巴西访客的身份打开网站,并通过截图显示是否有横幅、有哪些按钮,以及选项是否已被勾选。
  • 列出在选择前后加载的 Cookie 以及广告和分析标签。
  • 检查隐私政策是否存在、是否在页脚,以及是否提到 Google、Cookie、合作伙伴、权利和数据保护官的联系方式。
  • 验证欧洲的配置是否泄漏到了巴西,造成不必要地拒绝广告。
  • 提供按优先级排序的修复计划,不能取代法律意见。

关于 LGPD 的常见问题

每个巴西网站都需要 Cookie 横幅吗?

LGPD 没有提到横幅。ANPD 的指南建议对广告等非必要 Cookie 征求同意。如果网站只使用必要的 Cookie,则不要求同意横幅,但仍需在政策中保持透明。

Google 要求对巴西流量使用 Consent Mode 吗?

不要求。Google 的欧盟用户同意政策适用于欧洲经济区、英国和瑞士。对巴西,Google 的政策要求有一份隐私政策,说明广告对 Cookie 和数据的使用。

我需要指定数据保护官吗?

控制者应当指定数据保护官。ANPD 允许小型主体在保持与数据主体沟通渠道的前提下不指定。请与法务确认您的业务是否符合条件。

我可以对广告使用合法利益吗?

ANPD 的指南指出,对于广告,合法利益很难成为最合适的依据。对于广告 Cookie,建议的依据是同意。

为 GDPR 做的配置适用于 LGPD 吗?

在很大程度上适用,因为原则相似。需要注意的是使用地区:欧洲的 TCF 消息不需要在巴西出现,而隐私政策需要提到 LGPD 和第 18 条的权利。

ConsentMode 提供法律意见吗?

不提供。审核通过截图显示网站实际做了什么,并指出通常需要修复的地方。法律上的决定由您的律师或数据保护官做出。

资料库

官方来源

本指南根据以下官方页面编写。请直接阅读原文:

像巴西访客那样查看您的网站

审核会检查横幅、Cookie、隐私政策和广告,并提供修复计划。

开始审核