巴西 LGPD 与 Guest WiFi：合规指南

巴西 LGPD 与 Guest WiFi：合规指南。Purple 智能简报。 欢迎收听 Purple 智能简报。我是主持人，今天我们将探讨在巴西运营的每一位 IT 经理、网络架构师和合规官都必须正确处理的问题：《通用数据保护法》——LGPD——以及它具体对您的 Guest WiFi 部署意味着什么。 如果您已经在欧洲运营中符合 GDPR，您可能会认为巴西只是这项工作的直接延伸。您在一定程度上是对的——但仅仅是部分。LGPD 有一些显著的差异，这些差异会让那些简单复制粘贴欧盟合规姿态的跨国公司陷入困境。而且随着巴西数据保护机构 ANPD 逐步提升其执法能力，采取随意做法的窗口正在迅速关闭。 那么，让我们开始吧。我们将涵盖法律框架、实际适用于 WiFi 注册的合法依据、ANPD 与 ICO 和 CNIL 等监管机构的对比，以及您的 Captive Portal 需要如何设置才能确保您合法合规。 让我们从基础开始。LGPD——法律第 13,709 号——于 2020 年 8 月生效，行政制裁于 2021 年 8 月开始。它紧密地模仿了 GDPR，这意味着如果您理解其中一个，您就为另一个奠定了坚实的基础。但细节决定成败。 当客人连接到您的 WiFi 网络的那一刻，您就在收集个人数据。MAC 地址、IP 地址、连接时间戳、会话持续时间——所有这些都完全属于 LGPD 对个人数据的定义。再加上一个收集姓名、电子邮件地址或电话号码的 Captive Portal 注册表单，您就已经明确进入了需要清晰合法处理依据的领域。 LGPD 在第 7 条下提供了十项合法依据。对于 Guest WiFi，有三项特别相关。首先是同意——第 7 条，罗马数字 I。这是最直接的依据：客人在连接前主动同意您的隐私通知并勾选同意复选框。同意必须是自由、知情、明确且针对特定目的的。您不能将营销同意与基本连接同意捆绑在一起——这些需要是独立的复选框。 第二，合同履行——第 7 条，罗马数字 V。这适用于 WiFi 连接是合同服务一部分的情况。一位预订了包含 WiFi 访问客房的酒店客人，可以根据该依据处理其连接数据，因为这对于提供他们所合同的服务是必需的。对于酒店业运营商来说，这比同意更清晰，因为它不需要主动勾选——它内在于服务关系中。 第三，合法权益——第 7 条，罗马数字 IX。这是最灵活但也是法律风险最大的依据。您需要进行并记录一项合法权益评估——平衡测试——以证明您的利益不会凌驾于数据主体的基本权利之上。对于基本的网络安全日志记录，这通常是可辩解的。对于行为分析或营销画像，则变得难以证明其合理性。 现在，这里有一个让许多运营商陷入困境的问题：《巴西互联网民权框架》（Marco Civil da Internet）。这是巴西的互联网民权框架——2014 年第 12,965 号法律——它与 LGPD 并行存在，而不是被其所取代。根据 Marco Civil 第 13 条，互联网连接提供商必须将连接日志保留至少一年。如果您的场所向公众提供互联网接入，您很可能就属于该定义范围。这意味着您的数据保留策略不能简单地说我们在 30 天后删除所有内容——您有法定义务将连接日志保留十二个月，无论您的 LGPD 隐私通知中关于数据最小化的内容如何规定。 让我们谈谈 ANPD——国家数据保护局。它由 LGPD 本身建立，并作为一个特殊联邦机构运作，与司法部相关联。其职责涵盖监督、指导和执法。 它与英国的 ICO 或法国的 CNIL 相比如何？坦诚的回答是，ANPD 仍在成熟中。ICO 已经开出了数千万的罚款——英国航空公司收到了 2,000 万英镑的罚单，万豪 1,840 万。CNIL 对谷歌罚款了 1.5 亿欧元，对 Facebook 罚款了 6,000 万。ANPD 的第一笔罚款于 2023 年 7 月开出，总额为 14,400 巴西雷亚尔——约合 3,000 美元——针对一家小型电话营销公司。2024 年，其执法行动全部针对公共部门实体，结果是警告而非经济罚款。 但不要因此自满。ANPD 的执法轨迹明显向上。2024 年 7 月，它对 Meta 采取了预防性措施，下令立即暂停 Meta 的人工智能训练数据政策。2024 年 12 月，它针对儿童数据对 X Corp 采取了行动。ANPD 2025 年和 2026 年的监管议程明确将人工智能和面部识别作为优先事项——这与任何部署生物识别认证以进行 WiFi 接入的场所直接相关。 LGPD 下的最高罚款为公司在巴西年收入的 2%，每次违规封顶 5,000 万雷亚尔——按当前汇率约合 900 万欧元。这明显低于 GDPR 的全球收入 4%，但它是仅按巴西收入计算的。对于在巴西有重大业务的跨国公司而言，风险敞口仍然重大。 与 GDPR 的一个关键区别：LGPD 要求所有数据控制者都任命数据保护官 (DPO)，毫不犹豫。根据 GDPR，DPO 仅在特定情况下才是强制性的。根据 LGPD，如果您在巴西处理个人数据，您就需要一个。2024 年 7 月发布的 ANPD 第 18 号决议规定了详细的职责和所需资格。DPO 的联系信息必须公开披露——通常是在您的网站上。 LGPD 下的数据主体权利有九项，而 GDPR 为八项。对 WiFi 运营商的实际差异有两方面。首先，您有十五天时间来响应数据主体访问请求——是 GDPR 三十天窗口的一半。如果您运营着一个每天有数千次连接的大型场馆网络，您的数据检索和响应流程需要在操作上能够满足这一更紧迫的截止日期。其次，LGPD 包含明确要求数据匿名化的权利，而不仅仅是删除。您的平台需要支持这两种响应。 那么，一个合规的部署实际上是什么样子的呢？让我带您了解关键的实施要求。 您的 Captive Portal 必须用葡萄牙语显示隐私通知——是巴西葡萄牙语，不是欧洲葡萄牙语。通知必须标识数据控制者，说明处理的法律依据，明确数据将用于的目的，指明任何与第三方共享数据的情况，并提供 DPO 的联系信息。这不容商议。 同意复选框必须默认未选中。预先勾选的框不构成 LGPD 下的有效同意，就像在 GDPR 下一样。营销同意必须与连接同意分开——您不能以客人同意接收促销电子邮件为条件来限制互联网接入。 关于数据最小化：只收集您实际需要的信息。如果您部署 Guest WiFi 纯粹是为了连接，您就不需要出生日期或家庭地址。如果您通过 WiFi 平台运营忠诚度计划，则需要根据声明的目的证明每个额外数据字段的合理性。 对于数据保留，明确记录您的政策。连接日志：根据 Marco Civil 至少一年。营销数据：仅在声明的目的所必需的时间内保留，并在撤回同意时删除。您的 WiFi Analytics 平台应支持自动化的保留时间表和删除工作流程。 我在实践中看到的最大陷阱是同意捆绑问题。运营商构建了一个单一的同意屏幕，通过一个复选框覆盖了连接、分析和营销。这在 LGPD 和 GDPR 下都是不合规的。分开这些同意。是的，这会增加摩擦。但替代方案是使您付出更多代价的执法行动。 第二个主要陷阱是忽视 Marco Civil。那些完全专注于 LGPD 合规性，而忘记了 Marco Civil 下的一年连接日志保留义务的运营商，会造成另一种法律风险敞口。这是两个独立的法律文书，两者都适用。 第三个陷阱：未能实施数据主体权利工作流程。仅仅在隐私通知中说“联系我们以行使您的权利”是不够的。您需要一个操作流程——一个专门的电子邮件地址或网页表单，一个记录在案的内部工作流程，以及在十五天内检索、更正、导出或删除特定个人数据的技术能力。 让我快速回答一些客户经常提出的问题。 如果我们在巴西只有一个场所，我们需要 DPO 吗？是的。LGPD 适用于所有在巴西处理个人数据的数据控制者，无论规模大小。 我们可以将合法权益作为 WiFi 分析的依据吗？可能可以，但您需要进行有记录的合法权益评估。对于基本的网络安全和运营分析，这是可辩解的。对于行为营销画像，则更难证明其合理性。 那么生物识别认证——WiFi 门户的面部识别呢？这在 LGPD 下属于敏感数据。您需要明确同意，并且在存储和处理时必须非常谨慎。ANPD 已经将其明确列为 2025 至 2026 年执法的重点。 我们已符合 GDPR——这能覆盖 LGPD 吗？在很大程度上是的，但不完全。更紧的数据主体访问请求响应窗口、强制的 DPO 要求、Marco Civil 的保留义务以及葡萄牙语通知要求都是仅靠 GDPR 合规性无法覆盖的领域。 总结：LGPD 是一个成熟的、受 GDPR 启发的数据保护框架，具有一些重要的巴西特定特征。对于 Guest WiFi 运营商，关键行动如下。 审计您的 Captive Portal：您的隐私通知是否使用巴西葡萄牙语，是否说明了法律依据，您的同意复选框是否独立且默认未选中？ 任命一位 DPO 并公布其联系信息。这对所有控制者都是强制的。 根据 Marco Civil 的一年连接日志要求检查您的数据保留政策。 建立一个能够在十五天内响应的数据主体权利工作流程。 如果您正在部署任何形式的生物识别认证或高级分析，请在上线前完成数据保护影响评估。 Purple 的 Guest WiFi 平台在构建时就考虑了这些合规要求——可配置的同意流程、自动化的保留时间表以及适用于 GDPR 和 LGPD 管辖区的数据主体权利工具。如果您正在巴西部署并希望讨论您的具体合规架构，请联系 Purple 团队。 以上就是今天的简报。感谢收听，我们下次再见。