General Data Protection Regulation（《通用数据保护条例》，GDPR）与巴西 Lei Geral de Proteção de Dados Pessoais（《通用个人数据保护法》，LGPD）是规范个人数据收集、使用、存储和共享的两大隐私框架。 两部法规都以透明度、目的限制、安全、问责和个人权利等原则为基础。但 GDPR 与 LGPD 在法律依据、监管结构、数据主体权利、泄露通知要求、国际数据传输、儿童数据和执法机制方面存在差异。 对于在欧洲和巴西经营的组织而言，了解这些差异，是构建既能同时满足两个框架、又不必重复投入合规工作的隐私计划的关键。
并排对比：GDPR 对比 LGPD
| 维度 | 🇪🇺 GDPR | 🇧🇷 LGPD |
|---|---|---|
| 主要法律 | Regulation (EU) 2016/679 | Law No. 13,709/2018 |
| 生效日期 | 2018 年 5 月 25 日 | 主要条款自 2020 年 8 月起生效；行政处罚自 2021 年 8 月起适用 |
| 监管机构 | 由 EDPB 协调的欧盟/欧洲经济区监管机构 | Autoridade Nacional de Proteção de Dados (ANPD) |
| 受监管实体 | 控制者 | 控制者 |
| 处理者 | 处理者 | 操作者 |
| 个人 | 数据主体 | 数据主体 / Titular |
| 合法性基础 | 第 6 条规定的六项基础，以及第 9 条针对特殊类别数据的条件 | 第 7 条规定的多项法律基础，以及第 11 条针对敏感个人数据的专门规则 |
| 正当利益 | 第 6 条第 1 款 (f) 项明确认可 | 第 7 条将其列为 LGPD 的法律基础之一 |
| DPO | 在特定情形下须设立 | 适用 Encarregado 制度，受 LGPD 与 ANPD 规则约束，包括针对小型处理主体的规则 |
| 敏感数据 | 第 9 条规定的特殊类别 | 第 5 条与第 11 条规定的敏感个人数据 |
| 儿童数据 | 专门保障措施；第 8 条涉及部分以同意为基础的信息社会服务 | 第 14 条规定的专门保护 |
| 数据可携权 | 有 | 有 |
| 自动化决策 | 第 22 条规定的专门权利 | 第 20 条规定，有权要求对仅基于自动化处理作出的决定进行复核 |
| 国际传输 | 充分性认定、SCCs、BCRs 及第五章规定的其他机制 | 充分性认定、合同机制及 ANPD 规则下第 33 条规定的其他机制 |
| 数据泄露通知 | 如需通知，一般应在 72 小时内通知监管机构 | 根据第 15/2024 号决议，符合条件的事件一般应在 3 个工作日内通知 ANPD 及受影响个人 |
| 行政罚款上限 | 特定违法行为最高可处 2,000 万欧元或全球年营业额的 4% | 最高为上一财年巴西境内收入的 2%，每项违法行为以 5,000 万雷亚尔为上限 |
| 本地代表 | 第 27 条可能要求部分非欧盟组织指定欧盟代表 | 没有与 GDPR 第 27 条直接对应的规定 |
什么是 GDPR？
《通用数据保护条例》（GDPR）是欧盟的综合性数据保护框架。
它规范控制者与处理者对个人数据的处理，并就以下方面提出要求：
- 合法与公平
- 透明
- 目的限制
- 数据最小化
- 准确性
- 存储限制
- 安全
- 问责
- 个人权利
- 国际数据传输
只要符合其地域适用范围的条件，GDPR 也可能适用于欧盟境外的组织。
什么是 LGPD？
巴西 Lei Geral de Proteção de Dados Pessoais（LGPD）由第 13,709/2018 号法律确立，规范公共和私营组织对个人数据的处理。
LGPD 为以下主体设定了义务：
- 控制者
- 操作者
- 数据保护官 / Encarregado
- 处理个人数据的组织
- 处理敏感个人数据的组织
Autoridade Nacional de Proteção de Dados（ANPD）是巴西的国家数据保护机构。ANPD 已出台多项规定，涵盖 Encarregado、安全事件通知、国际数据传输、处罚以及针对小型处理主体的规则等领域。
GDPR vs LGPD：主要区别
1. 地域适用范围
GDPR
只要满足第 3 条的条件，GDPR 既可适用于设立在欧盟境内的组织，也可适用于欧盟境外的组织。
这可能包括符合以下情形的部分欧盟境外组织：
- 向欧盟境内的个人提供商品或服务
- 监测欧盟境内个人的行为
- 通过设在欧盟的机构开展业务
LGPD
LGPD 可在以下情形适用：
- 处理活动在巴西境内进行
- 处理活动旨在向位于巴西的个人提供商品或服务
- 个人数据在巴西境内收集
ANPD 的国际传输框架也对巴西数据保护法如何适用于国际传输作出了规定。
主要区别： GDPR 与 LGPD 都可能适用于各自领土之外的组织，但两者的法定判断标准并不相同。
2. 控制者 vs 控制者
GDPR
GDPR 用“控制者”（Controller）指称决定个人数据处理目的和方式的组织。
GDPR 使用：
- 处理者
LGPD
LGPD 同样将控制者（Controlador）定义为负责就个人数据处理作出决定的实体。
LGPD 使用：
- 操作者
因此，两者的术语较为接近，但权利、义务和监管框架有所不同。两种“处理者”概念一般都指代表其他组织处理个人数据的实体，但合同责任与法定责任仍应依据所适用的法律分别评估。
3. 处理的法律基础
这一领域既有重要的相似之处，也有重要的差异。
GDPR
GDPR 第 6 条规定了六项主要法律基础：
- 同意
- 合同
- 法定义务
- 重大利益
- 公共任务
- 正当利益
第 9 条对特殊类别个人数据另设了附加条件。
LGPD
LGPD 第 7 条为一般个人数据规定了多项法律基础，包括：
- 同意
- 履行法律或监管义务
- 公共行政
- 研究
- 履行合同
- 行使权利
- 保护生命
- 保护健康
- 正当利益
- 信用保护
第 11 条对敏感个人数据另设了法律基础。
主要区别： 两个框架都认可正当利益，但其法律结构和具体要求有所不同。
4. 同意
GDPR
以同意作为法律基础时，同意必须：
- 自愿作出
- 具体
- 知情
- 明确无歧义
组织必须能够证明已取得同意，并提供有效的撤回机制。
LGPD
LGPD 同样高度重视同意。
同意须按法律规定的条件作出，数据主体可以撤销。
组织应保留证据，证明：
- 向个人告知了哪些内容
- 个人同意了哪些内容
- 何时取得同意
- 处理目的
- 如何撤回同意
实务要点：一套通用的同意管理平台可以同时支持 GDPR 与 LGPD，但法律基础和告知要求仍应分别评估。
5. 正当利益
在这一点上，两个框架的相似程度高于许多对比页面的描述。
GDPR
根据第 6 条第 1 款 (f) 项，只要控制者的正当利益未被数据主体的利益或基本权利与自由所超越，正当利益即可构成合法性基础。
组织应对该基础作出适当评估并留存记录。
LGPD
第 7 条同样明确将正当利益认可为法律基础。
控制者必须考量自身或第三方的正当利益，同时尊重基本权利与自由，并落实 LGPD 要求的保障措施。
主要区别： 两个框架都认可正当利益，但法律判断标准、文档要求和监管解释并不相同。
6. 数据主体权利
GDPR
GDPR 下的权利可包括：
- 访问权
- 更正权
- 删除权
- 限制处理权
- 数据可携权
- 反对权
- 撤回同意权
- 与自动化决策和画像有关的权利
LGPD
LGPD 规定的权利包括：
- 确认是否存在处理
- 访问个人数据
- 更正
- 对不必要或过度的数据进行匿名化、封锁或删除
- 数据可携
- 删除基于同意处理的个人数据，法定例外情形除外
- 了解数据已与哪些公共和私营实体共享
- 了解可以拒绝同意
- 撤回同意
- 对特定自动化决定进行复核
主要区别： 这些权利在很大程度上重叠，但法律措辞、范围和实施机制有所不同。
7. 自动化决策
GDPR
第 22 条针对仅基于自动化处理作出、产生法律效力或类似重大影响的决定，规定了专门保护。
在符合 GDPR 规定的条件和例外的前提下，个人可就此类决定享有相应权利。
LGPD
第 20 条赋予个人权利，可要求对仅基于自动化处理作出且影响其利益的决定进行复核，包括旨在界定个人、职业、消费和信用画像的决定。
因此，在巴西和欧盟开展业务并使用 AI 或自动化决策系统的组织，应同时评估这两个框架。
8. 敏感个人数据
GDPR
GDPR 界定了特殊类别的个人数据，包括：
- 种族或民族出身
- 政治观点
- 宗教或哲学信仰
- 工会成员身份
- 基因数据
- 用于身份识别的生物识别数据
- 健康数据
- 性生活或性取向
第 9 条为处理这些类别的数据设定了更严格的条件。
LGPD
LGPD 对敏感个人数据另行定义，包括与以下方面有关的信息：
- 种族或民族出身
- 宗教信仰
- 政治观点
- 工会成员身份，或宗教、哲学、政治组织成员身份
- 健康
- 性生活
- 基因数据
- 生物识别数据
处理敏感数据须遵守 LGPD 第 11 条规定的专门法律基础和保障措施。
9. 儿童数据
GDPR
GDPR 为儿童提供专门保护。
第 8 条针对部分以同意为基础的信息社会服务，将默认年龄定为 16 岁，欧盟成员国可下调该年龄，但不得低于 13 岁。
GDPR 还要求组织考虑儿童特有的脆弱性和利益。
LGPD
LGPD 第 14 条就处理儿童和青少年的个人数据设定了专门要求。
处理必须符合其最大利益。
对于儿童数据，LGPD 在法定框架下设定了须由父母或法定监护人参与的专门同意要求。
重要提示：不应将 LGPD 简化为仅对“12 岁以下”儿童要求父母同意。该法同时保护儿童和青少年，具体要求取决于处理场景。
10. 数据保护官 / Encarregado
GDPR
只有在 GDPR 第 37 条规定的情形下，才必须设立数据保护官。这些情形包括特定的：
- 大规模监测活动
- 大规模处理特殊类别数据
- 公共机构的处理活动
LGPD
LGPD 设立了 Encarregado pelo tratamento de dados pessoais 这一角色。
Encarregado 是以下各方之间的重要沟通渠道：
- 数据主体
- 组织
- ANPD
ANPD 第 18/2024 号决议就 Encarregado 的任命、职责和运作作出了补充规定。
针对小型处理主体的规则还规定了特定的简化和豁免，因此，认为受 LGPD 管辖的每个控制者都承担完全相同的 DPO 要求，并不准确。
11. 本地代表
GDPR
根据第 27 条，部分欧盟境外组织可能须指定欧盟代表。
该代表可作为个人和监管机构的联络点。
LGPD
LGPD 未设立与 GDPR 第 27 条直接对应的制度。
尽管如此，国际组织仍可能需要建立适当的巴西隐私治理机制和监管联络安排，并在适用时设立 Encarregado。
重要提示：不应将商业性的“巴西代表”服务描述为 GDPR 第 27 条代表的法定对应制度。
12. 数据泄露通知
GDPR
根据第 33 条，对于符合条件的个人数据泄露，控制者一般须在无不当延误的情况下通知主管监管机构，并在可行时于知悉后 72 小时内完成通知。
如泄露可能给个人带来高风险，还可能需要通知受影响的数据主体。
LGPD
ANPD 第 15/2024 号决议确立了符合条件的安全事件的通报规则。
如安全事件可能给数据主体造成重大风险或损害，控制者须在三个工作日内通知 ANPD 和受影响的数据主体，具体以适用的规则和例外为准。
根据 ANPD 的小型处理主体框架，小型处理主体可适用差异化期限。
主要区别： GDPR 采用 72 小时内通知监管机构的框架，而 LGPD 根据 ANPD 第 15/2024 号决议，对符合条件的事件采用三个工作日的框架。
13. 国际数据传输
LGPD 在这一领域已有重大发展。
GDPR
GDPR 第五章规定的机制包括：
- 充分性认定
- 标准合同条款
- 约束性企业规则
- 特定克减情形
视所用传输机制而定，组织还可能需要采取补充保障措施并开展传输风险评估。
LGPD
ANPD 第 19/2024 号决议确立了巴西的国际数据传输框架。可用机制包括：
- ANPD 充分性认定
- 标准合同条款
- 特定合同条款
- 全球企业规则
- LGPD 第 33 条规定的其他机制
该决议还就国际传输的目的、保障措施和文档记录提出了要求。
主要区别： LGPD 现已拥有由 ANPD 管理的正式国际传输框架，而不再仅仅依赖一般性的合同安排。
14. 数据可携
GDPR
GDPR 第 20 条规定了在特定情形下的数据可携权。
这通常指以结构化、通用和机器可读的格式获取特定个人数据，并在技术可行时将其传输给另一控制者。
LGPD
LGPD 第 18 条同样认可数据可携权，但须符合适用的监管框架和要求。
重要更正：称 LGPD 没有可携权并不准确。
15. 匿名化
GDPR
真正匿名、无法合理关联到可识别个人的信息，不属于 GDPR 所定义的个人数据。
LGPD
LGPD 同样区分匿名化数据与个人数据，并就匿名化确立了自己的标准和处理方式。
因此，组织应记录匿名化方法，并评估数据是否可能被合理地重新关联到个人。
16. 数据保护影响评估
GDPR
如处理可能给个人的权利与自由带来高风险，则须开展数据保护影响评估（DPIA）。典型情形可包括：
- 大规模监测
- 大规模处理敏感数据
- 特定 AI 或画像活动
- 对个人进行系统性评估
LGPD
LGPD 规定了 Relatório de Impacto à Proteção de Dados Pessoais（RIPD）。
在适用的监管框架所规定的情形下，ANPD 可要求控制者编制并提交 RIPD。
因此，在两个司法管辖区开展业务的组织不应想当然地认为一份 DPIA/RIPD 能同时满足两套制度。
17. 处罚
GDPR
对于特定的严重违法行为，GDPR 行政罚款最高可达 2,000 万欧元或上一财年全球年营业额的 4%，以较高者为准。
LGPD
LGPD 的行政处罚可包括：
- 警告
- 罚款，最高为上一财年巴西境内收入的 2%
- 每项违法行为的罚款以 5,000 万雷亚尔为上限
- 按日罚款，以法定限额为限
- 公开披露违法行为
- 封锁个人数据
- 删除个人数据
- 部分暂停数据库运行
- 暂停处理活动
- 部分或全面禁止与处理有关的活动
具体适用何种处罚，取决于违法行为的性质和情节。
主要区别： GDPR 的最高罚款以全球年营业额为基准，而 LGPD 的主要行政罚款与巴西境内收入挂钩，并设有法定金额上限。
GDPR vs LGPD：哪个更严格？
很难断言其中哪个框架在所有方面都更严格。
GDPR 在以下领域规定得尤为细致：
- 六项法律基础
- 特殊类别数据
- 数据可携
- 自动化决策
- 国际传输
- 控制者/处理者问责
- 欧盟代表要求
LGPD 在以下方面要求严格：
- 数据主体权利
- 同意
- 敏感个人数据
- 儿童数据
- Encarregado 治理
- 国际传输
- 安全
- 问责
因此，跨国企业的正确做法是先梳理共通的控制措施，再落实各司法管辖区的特定要求。
GDPR 合规有助于 LGPD 合规吗？
有帮助。
成熟的 GDPR 合规体系可为 LGPD 合规打下坚实基础，因为两个框架都在以下方面提出了要求：
- 数据清单
- 隐私声明
- 同意
- 个人权利
- 安全
- 供应商管理
- 国际传输
- 事件响应
- 问责
不过，符合 GDPR 并不意味着自动符合 LGPD。仍应评估针对巴西的控制措施，尤其是以下方面：
- LGPD 法律基础
- Encarregado 要求
- ANPD 监管要求
- 巴西的数据主体权利
- 事件通知
- 国际传输机制
- LGPD 处罚
- 巴西隐私声明与治理
构建统一的 GDPR 与 LGPD 合规体系
在两个司法管辖区开展业务的组织可以建立统一的隐私管理框架，减少重复工作。
1. 数据映射
梳理：
- 个人数据
- 处理目的
- 数据主体
- 控制者
- 处理者/操作者
- 接收方
- 存储位置
- 保留期限
- 国际传输
2. 法律基础管理
按司法管辖区建立法律基础矩阵，涵盖：
- GDPR 第 6 条
- GDPR 第 9 条
- LGPD 第 7 条
- LGPD 第 11 条
3. 隐私权利管理
为以下事项建立统一流程：
- GDPR 数据主体请求
- LGPD 数据主体请求
- 身份验证
- 请求跟踪
- 答复期限
- 证据与审计轨迹
4. 同意管理
管理：
- 同意收集
- 同意记录
- 撤回
- Cookie 偏好
- 营销偏好
- 儿童同意（如适用）
5. 供应商管理
评估：
- GDPR 处理者
- LGPD 操作者
- 子处理者
- 云服务提供商
- 分析服务提供商
- 广告平台
- 境外供应商
6. 数据泄露响应
维护统一的事件响应流程，并为各司法管辖区设置相应的上报路径。
该流程应明确：
- 适用的司法管辖区
- 风险等级
- 通知门槛
- 监管期限
- 通知个人的要求
- 证据要求
7. 国际传输管理
维护传输清单，涵盖：
- 数据出口方
- 数据进口方
- 目的地国家
- 传输机制
- 合同保障措施
- 安全措施
- 传输评估
常见问题
LGPD 是巴西版的 GDPR 吗？
不完全是。LGPD 受到全球数据保护原则的影响，与 GDPR 有许多共通的概念，但它是一部独立的巴西法律，拥有自己的法律基础、权利、监管框架和执法机制。
如果我们符合 GDPR，是否就自动符合 LGPD？
不是。GDPR 合规可以打下坚实基础，但组织仍须评估 LGPD 的特定要求和 ANPD 的规定。
LGPD 是否像 GDPR 一样有六项法律基础？
不是。LGPD 第 7 条列出的法律基础更多，第 11 条还对敏感个人数据另设规则。
LGPD 是否认可正当利益？
认可。正当利益是 LGPD 第 7 条规定的法律基础之一，但其要求与 GDPR 第 6 条第 1 款 (f) 项并不相同。
LGPD 是否要求设立 DPO？
LGPD 设立了 Encarregado 角色，具体要求见 ANPD 第 18/2024 号决议。确切义务可能因组织情况和适用的 ANPD 规则（包括针对小型处理主体的规则）而异。
LGPD 是否有 72 小时数据泄露通知规则？
没有。根据 ANPD 第 15/2024 号决议，LGPD 对符合条件的安全事件采用三个工作日的通知期限，而非 GDPR 的 72 小时规则。
LGPD 是否要求指定巴西代表？
LGPD 没有与 GDPR 第 27 条欧盟代表要求直接对应的规定。组织应转而评估自身在 Encarregado、治理和监管联络方面的要求。
LGPD 是否规定了数据可携权？
是的。LGPD 第 18 条将数据可携列为数据主体的权利之一，但须符合适用的监管框架。
LGPD 是否规范国际数据传输？
是的。ANPD 第 19/2024 号决议确立了详细的国际传输监管框架，包括充分性认定和合同机制。
哪些企业应考虑开展 GDPR 与 LGPD 合规评估？
联合评估尤其适用于 SaaS 公司、科技企业、电子商务公司、全球零售商、AI 公司、广告与营销平台、医疗健康组织、金融科技公司、云服务提供商，以及处理欧盟和巴西客户数据的组织。
携手 RegulatoryBridge 实现 GDPR 与 LGPD 合规
以完全独立的流程分别管理 GDPR 与 LGPD，可能造成不必要的重复工作，并导致隐私控制措施不一致。
RegulatoryBridge 帮助组织在欧洲、巴西及全球其他司法管辖区构建协调统一的隐私合规体系。
我们可提供的支持包括：
- GDPR 合规评估
- LGPD 合规评估
- 数据映射与清单
- 隐私声明审查
- 法律基础评估
- 同意管理
- 数据主体权利流程
- Encarregado 支持
- 供应商及处理者/操作者评估
- 国际传输评估
- DPIA 与 RIPD 支持
- 安全与数据泄露响应规划
- 监管监测
- 跨境隐私代表服务
- 持续隐私合规管理
在一个计划下涵盖 GDPR 和 LGPD。
控制措施映射一次，合规两次。RegulatoryBridge为您提供单一的DSAR流程、单一的DPO、单一的泄露应急手册--同时涵盖两种框架。