第 13.709/2018 号法（通用个人数据保护法）
巴西国民议会；执法机关为国家数据保护局（ANPD） · Lei nº 13.709/2018
LGPD 是巴西的横向个人数据保护法，与 GDPR 同源但有本地差异：合法性基础共十项（含"信用保护"这一巴西特有基础），设有"敏感个人数据"与未成年人数据的加强规则，要求指定数据处理负责人（encarregado）、维护处理活动记录、开展个人数据保护影响报告（RIPD）、通报安全事件、响应数据主体的九项权利（含对完全基于自动化处理所作决定要求复审的权利），并在第 33 条规定国际传输的九类路径（I 至 IX）：（I）向 ANPD 认定保护程度充分的国家或国际组织传输；（II）由控制者以特定传输的特定合同条款、标准合同条款、全球公司规则（normas corporativas globais）或经正式颁发的印章、证书与行为准则提供并证明保障；（III）情报、调查与检控机关之间依国际法文书进行的国际司法合作所需；（IV）保护数据主体或第三人生命或人身安全所需；（V）经 ANPD 授权；（VI）传输系国际合作协议项下承诺的结果；（VII）为执行公共政策或公共服务法定职责所必需（须按第 23 条第 I 项公示）；（VIII）数据主体就该传输给予特定且突出的同意，事前被告知该操作的国际性质并与其他目的明确区分；（IX）为满足第 7 条第 II、V、VI 项情形所必需。ANPD 近年的执法重心明显落在平台与未成年人数据保护上。
第 3 条从三条路径界定适用范围，不问处理者的住所地或数据所在国：（I）处理行为在巴西国境内进行；（II）处理活动的目的是向位于巴西境内的个人提供或供应商品或服务、或处理位于巴西境内个人的数据（该项经第 13.853/2019 号法确认，现行文字与原文一致）；（III）被处理的个人数据是在巴西境内收集的——第 1 款并规定，数据主体在收集时身处巴西境内的，即视为在境内收集。典型触发动作：向巴西用户上架 App 或模型 API 并采集账号与行为数据；在巴西设立分支或雇佣本地员工；为巴西企业客户提供标注、训练或推理服务；通过巴西经销商销售含摄像头、麦克风或定位能力的硬件并回传数据；以及把巴西用户数据传出巴西用于模型训练——后者必须落在第 33 条的五条路径之一。
重点行业：通用、大模型 / 生成式 AI、企业软件 SaaS、金融科技 AI、计算机视觉、AI 智能体
2018-08-14
LGPD 公布（第 13.709/2018 号法）
此后经第 13.853/2019 号法等多次修订，现行合订文本由 Planalto 维护。
2026-09-12
核实：ANPD 处于活跃执法状态，并已就 AI 与数据保护开展监管沙盒与研究
抓取当日 ANPD 首页公告包括：对 TikTok 因未成年人数据保护缺陷处以 1.537 亿雷亚尔罚款；发布人工智能监管沙盒的测试方法论；就 AI、数据保护与未成年人网络保护遴选研究顾问；以及数字平台须在 2026-09-17 前发布透明度报告的提醒。同日首页亦公告因 2026 年选举期，ANPD 网站与社交媒体内容受限。
每条都写明触发条件、需要留存的证据与条款出处
依第 41 条指定负责人，作为数据主体与 ANPD 的联络点，其身份与联系方式须公开（通常在隐私政策与官网显著位置）；职责包括接收数据主体的投诉与沟通并作出说明与采取措施、接收 ANPD 的沟通并采取措施、就数据保护实践向组织内员工与承包商提供指引。境外主体在巴西无实体时，实务上仍应指定可用葡萄牙语接收沟通的负责人并公开渠道。
首次达标投入估算：2–5 人日（估算，非承诺）
逐项处理活动确定第 7 条（一般个人数据）或第 11 条（敏感个人数据）项下的合法性基础，并在隐私政策中以清晰、充分、显著的方式告知处理目的、处理形式与期间、控制者身份与联系方式、共享对象及其目的、数据主体权利及行使方式。以同意为基础时，同意须以书面或其他可证明的方式作出、针对特定目的、可随时撤回且撤回同样便捷；未成年人数据、敏感数据与国际传输相关的同意须单独、突出取得。AI 产品需特别注意：把用户输入用于模型训练属于与提供服务不同的目的，须单独说明并选择恰当基础。
首次达标投入估算：6–15 人日（估算，非承诺）
数据主体有权要求复审完全基于自动化处理作出、影响其利益的决定，包括用于界定其个人、职业、消费与信用画像或人格特征的决定。注意：现行文本（经第 13.853/2019 号法修订）已删去原始文本中"由自然人（por pessoa natural）"的限定，因此法条本身不再明文要求人工复审——但第 20 条第 1 款要求控制者在被要求时提供关于自动化决定所用标准与程序的清晰、充分的信息，受商业与工业秘密保护；第 2 款规定，控制者若以商业与工业秘密为由不提供该信息，ANPD 可开展审计以核查自动化处理中的歧视性因素。工程与产品上需要预先设计：可解释性输出、复审工单流程、以及对复审结果的记录与回溯。
首次达标投入估算：6–15 人日（估算，非承诺）
第 33 条限定国际传输只能在九类情形（I–IX）下进行：（I）向 ANPD 认定其个人数据保护程度与本法相当的国家或国际组织传输；（II）控制者提供并证明其遵守本法原则、数据主体权利与数据保护制度的保障，形式为特定传输的特定合同条款、标准合同条款、全球公司规则、或经正式颁发的印章、证书与行为准则；（III）为情报、调查与检控机关之间依国际法文书进行的国际司法合作所必需；（IV）为保护数据主体或第三人的生命或人身安全所必需；（V）经 ANPD 授权；（VI）传输系国际合作协议项下所作承诺的结果；（VII）为执行公共政策或公共服务法定职责所必需（须依第 23 条第 I 项公示）；（VIII）数据主体就该传输给予特定且突出的同意，且事前被告知该操作的国际性质、与其他目的明确区分；（IX）为满足第 7 条第 II（履行法定义务）、V（司法、仲裁或行政程序）、VI（保护生命或人身安全）项情形所必需。中国 AI 企业把巴西用户数据回传中国训练，最现实的路径是第 II 项的合同类保障，并配套落实数据最小化、加密与访问控制；第 VIII 项的同意路径门槛很高（须单独、突出、事前告知国际性质），不宜作为批量训练数据的主依据。
首次达标投入估算：8–18 人日（估算，非承诺）
依第 48 条，控制者在发生可能对数据主体造成相关风险或损害的安全事件时，须在"由国家主管机关界定的合理期限内"通知 ANPD 与数据主体（具体期限见本条 deadline 栏说明），通报至少包括受影响数据的性质、相关数据主体的信息、已采取的技术与安全措施、事件的风险、未立即通报时的延迟理由、以及为逆转或减轻损害已采取或将采取的措施。依第 37 条，控制者与处理者须保存其所执行个人数据处理活动的记录，尤其是以正当利益为基础时。AI 企业应把提示日志、向量库与模型检查点纳入事件影响面评估。
首次达标投入估算：5–12 人日（估算，非承诺）
LGPD 对儿童与青少年个人数据设有加强规则（第 14 条），处理须以其最佳利益为准，儿童数据原则上须经父母或法定监护人特别、显著的同意。ANPD 近期执法明确把未成年人保护列为重点：抓取当日其官网公告对某平台因未成年人数据保护缺陷处以 1.537 亿雷亚尔罚款，并提示数字平台须在 2026-09-17 前依《数字儿童与青少年法》（ECA Digital）发布透明度报告。面向巴西市场提供社交、内容生成、陪伴或教育类 AI 产品的企业，应建立年龄识别与分流、家长同意、未成年人默认更严设置，并评估是否落入平台透明度报告义务。
首次达标投入估算：8–20 人日（估算，非承诺）
LGPD 第 52 条（Planalto 合订文本，逐字核对）规定的行政处罚为：I 警告并限期整改；II 单次罚款，上限为该私法法人、集团或联合体上一财年在巴西的营业额（不含税）的 2%，且每项违法总额不超过 5,000 万雷亚尔；III 每日罚款（受第 II 项总额上限约束）；IV 公开违法事实；V 封存相关个人数据至整改完成；VI 删除相关个人数据；VII–IX 被否决；X 部分中止相关数据库运行，最长 6 个月并可再延长同等期间，至控制者完成整改；XI 中止相关个人数据处理活动，最长 6 个月并可再延长同等期间；XII 部分或全部禁止从事数据处理相关活动。处罚须经保障充分抗辩的行政程序，按第 52 条第 1 款列举的情节参数递进、单独或累积适用。实证参照：ANPD 于抓取日公告对 TikTok 因未成年人数据保护缺陷处以 1.537 亿雷亚尔罚款，高额处罚已是现实风险。
（1）本轮核实期间 ANPD 官网因 2026 年选举期处于内容受限状态（首页明示"Site e redes sociais da ANPD estão restritos até o fim das eleições"），其规范性文件栏目（含国际传输条例、标准合同条款、安全事件通报规章）实测返回空页，因此本条目不引用任何 ANPD 决议编号，国际传输与事件通报部分仅以 LGPD 法条本身为据；实际落地前必须以 ANPD 现行规章与其标准合同条款范本为准，尤其是第 48 条通报期限的具体天数。（2）第 3 条、第 14 条、第 20 条、第 33 条、第 37 条、第 41 条、第 48 条、第 52 条已对照 Planalto 合订文本逐字核对；未逐条核对的是第 7 条与第 11 条合法性基础清单的全部条款。（3）ECA Digital 的法律编号与具体义务范围未在本轮核实中取得原文，仅依 ANPD 官网公告引述其透明度报告期限（2026-09-17）。
内容截至 2026-09-12 · 语料版本 2026.09|本内容基于公开官方来源整理，标注了来源链接与复核日期，供合规决策参考；监管要求可能变化，正式对外披露、监管申报或合同承诺前请由持证专业人士复核。