巴西 LGPD 與訪客 WiFi：合規指南

巴西 LGPD 與訪客 WiFi：合規指南。Purple 情報簡報。 歡迎收聽 Purple 情報簡報。我是主持人，今天我們要探討的是每位在巴西營運的 IT 經理、網路架構師和合規主管都必須正確處理的議題：《一般資料保護法》—— LGPD ——以及它對您的訪客 WiFi 部署具體意味著什麼。 如果您在歐洲的營運已經符合 GDPR，您可能會認為巴西是該工作的直接延伸。您只對了一部分——但僅僅是一部分。LGPD 有一些重要的差異，會讓那些只是複製貼上其歐盟合規狀態的跨國公司措手不及。而隨著巴西的資料保護機構 ANPD 穩步提升其執法能力，採取輕率態度的機會正在迅速消失。 那麼，讓我們開始吧。我們將涵蓋法律架構、實際適用於 WiFi 註冊的合法基礎、ANPD 與 ICO 和 CNIL 等監管機構的比較，以及您的 Captive Portal 需要呈現什麼樣子才能讓您遵守法律。 讓我們從基礎開始。LGPD ——第 13,709 號法律——於 2020 年 8 月生效，行政制裁從 2021 年 8 月開始實施。它緊密仿照 GDPR 制定，這意味著如果您了解其中一個，您就為另一個奠定了堅實的基礎。但魔鬼藏在細節裡。 當訪客連接到您的 WiFi 網路時，您就開始收集個人資料。MAC 位址、IP 位址、連線時間戳記、工作階段持續時間——所有這些都完全屬於 LGPD 對個人資料的定義。再加上一個 Captive Portal 註冊表單，收集姓名、電子郵件地址或電話號碼，您就完全進入了需要明確合法處理基礎的領域。 LGPD 在第 7 條下提供了十項合法基礎。對於訪客 WiFi，有三項特別相關。第一，同意——第 7 條，羅馬數字一。這是最直接的基礎：訪客在連線前主動同意您的隱私權聲明，並勾選同意核取方塊。該同意必須是自由、知情、明確且具體針對該目的的。您不能將行銷同意與基本的連線同意捆綁在一起——這些需要是分開的核取方塊。 第二，合約履行——第 7 條，羅馬數字五。當 WiFi 連線是合約服務的一部分時，這就適用。已預訂包含 WiFi 存取房間的飯店客人，其連線資料可以在此基礎下進行處理，因為這是提供他們所合約服務所必需的。對於餐旅業經營者來說，這比同意更清晰，因為它不需要主動勾選——它本來就存在於服務關係中。 第三，合法利益——第 7 條，羅馬數字九。這是最靈活但也是法律風險最高的基礎。您需要進行並記錄一項合法利益評估——一項平衡測試——證明您的利益並未凌駕於資料主體的基本權利之上。對於基本的網路安全記錄，這通常是有辯護餘地的。對於行為分析或行銷剖析，要證明其正當性就困難得多。 現在，有一點讓許多經營者措手不及：《網路民權架構》。這是巴西的網際網路民權架構——2014 年的第 12,965 號法律——它與 LGPD 並存，而不是被其取代。根據《網路民權架構》第 13 條，網際網路連線提供者必須將連線記錄保留至少一年。如果您的場所向公眾提供網際網路存取，您很可能就屬於該定義範圍。這意味著您的資料保留政策不能簡單地說我們在 30 天後刪除所有內容——您有法定義務將連線記錄保留十二個月，無論您的 LGPD 隱私權聲明對資料最小化有何規定。 讓我們來談談 ANPD——巴西國家資料保護局。它是由 LGPD 本身所設立，作為一個與司法部連結的特別聯邦機構運作。其職責涵蓋監督、指導和執法。 它與英國的 ICO 或法國的 CNIL 相比如何？老實說，ANPD 仍在成熟中。ICO 已開出數千萬英鎊的罰單——英國航空被罰款二千萬英鎊，萬豪國際一千八百四十萬英鎊。CNIL 對 Google 罰款一億五千萬歐元，對 Facebook 罰款六千萬歐元。ANPD 的第一筆罰款於 2023 年 7 月開出，總額為一萬四千四百巴西雷亞爾——約三千美元——對象是一家小型電話行銷公司。在 2024 年，其執法行動全部針對公部門實體，結果是警告而非罰款。 但不要因此自滿。ANPD 的執法軌跡明顯向上。2024 年 7 月，它對 Meta 發布了一項預防性措施，命令立即暫停 Meta 的 AI 訓練資料政策。2024 年 12 月，它針對 X Corp 處理兒童資料的行為採取了行動。ANPD 針對 2025 年和 2026 年的監管議程明確將 AI 和臉部辨識列為優先事項——這與任何部署生物特徵驗證以進行 WiFi 存取的場所直接相關。 LGPD 規定的最高罰款為公司巴西年營收的 2%，每次違規上限為五千萬巴西雷亞爾——按當前匯率計算約為九百萬歐元。這明顯低於 GDPR 全球營收 4% 的規定，但它僅根據巴西營收計算。對於在巴西有大量業務的跨國公司來說，風險仍然重大。 與 GDPR 的一個關鍵區別：LGPD 要求所有資料控制者都必須設置資料保護官，沒有例外。在 GDPR 下，DPO 僅在特定情況下是強制性的。在 LGPD 下，只要您在巴西處理個人資料，就需要一位。2024 年 7 月發布的 ANPD 第 18 號決議，詳細規定了所需的職責和資格。DPO 的聯絡方式必須公開揭露——通常是在您的網站上。 LGPD 下的資料主體權利有九項，而 GDPR 有八項。對於 WiFi 經營者來說，實際差異有兩方面。首先，您有十五天的時間來回應資料主體存取請求——是 GDPR 三十天期限的一半。如果您經營一個每天有數千次連線的大型場地網路，您的資料擷取和回應流程必須在營運上能夠滿足這更緊迫的期限。其次，LGPD 包含了要求資料匿名化的明確權利，而不僅僅是刪除。您的平台需要支援這兩種回應。 那麼，合規的部署實際上是什麼樣子？讓我帶您了解關鍵的實作要求。 您的 Captive Portal 必須以葡萄牙語顯示隱私權聲明——是巴西葡萄牙語，不是歐洲葡萄牙語。該聲明必須識別資料控制者，說明處理的合法基礎，具體說明資料將用於哪些目的，識別資料將與之共享的任何第三方，並提供 DPO 的聯絡方式。這是沒有商量餘地的。 同意核取方塊必須預設為未勾選。預先勾選的方框在 LGPD 下不構成有效同意，就像在 GDPR 下一樣。行銷同意必須與連線同意分開——您不能以訪客同意接收促銷電子郵件作為網際網路存取的條件。 關於資料最小化：只收集您實際需要的資料。如果您部署訪客 WiFi 純粹是為了連線，您不需要出生日期或住家地址。如果您透過 WiFi 平台經營忠誠度計畫，您需要針對每個額外的資料欄位，證明其與所述目的之關聯性。 對於資料保留，明確記錄您的政策。連線記錄：根據《網路民權架構》至少一年。行銷資料：僅在所述目的必要的期間內保留，並在撤回同意時刪除。您的 WiFi 分析平台應支援自動化的保留排程和刪除工作流程。 我在實務中看到的最大陷阱是同意捆綁問題。經營者建立了一個單一的同意畫面，用一個核取方塊涵蓋了連線、分析和行銷。這在 LGPD 和 GDPR 下都是不合規的。將同意事項分開。是的，這會增加阻力。但另一種選擇是代價更高的執法行動。 第二個主要陷阱是忽略《網路民權架構》。完全專注於 LGPD 合規性，卻忘記了《網路民權架構》下一年的連線記錄保留義務，會產生另一種法律風險。這是兩個獨立的法律文件，且兩者都適用。 第三個陷阱：未能實作資料主體權利工作流程。僅有一個寫著「聯絡我們以行使您的權利」的隱私權聲明是不夠的。您需要一個營運流程——一個專用的電子郵件地址或網路表單、一個記錄的內部工作流程，以及能在十五天內擷取、更正、匯出或刪除特定個人資料的技術能力。 讓我快速回顧一些我經常從客戶那裡聽到的問題。 如果我們在巴西只有一個場地，需要 DPO 嗎？需要。LGPD 適用於所有在巴西處理個人資料的資料控制者，無論規模大小。 我們可以使用合法利益作為 WiFi 分析的基礎嗎？有可能，但您需要一份記錄的合法利益評估。對於基本的網路安全和營運分析，這是有辯護餘地的。對於行為行銷剖析，要證明其正當性就困難得多。 那麼生物特徵驗證呢——在 WiFi 入口網站進行臉部辨識？根據 LGPD，這是敏感性資料。您需要明確的同意，而且您需要非常謹慎地處理儲存和處理方式。ANPD 已將此明確列為 2025 年至 2026 年執法的重點。 我們已經符合 GDPR——這是否涵蓋了 LGPD？很大程度上是的，但不完全。更嚴格的資料主體存取請求回應期限、強制性的 DPO 要求、《網路民權架構》的保留義務，以及葡萄牙語聲明的要求，這些都是僅有 GDPR 合規性無法達到的領域。 總結來說：LGPD 是一個成熟、受 GDPR 啟發的資料保護架構，具有一些重要的巴西特色。對於訪客 WiFi 經營者，關鍵行動如下。 稽核您的 Captive Portal：您的隱私權聲明是巴西葡萄牙語嗎？它說明了合法基礎嗎？您的同意核取方塊是否分開且預設未勾選？ 任命一位 DPO 並公布其聯絡方式。這對所有控制者都是強制性的。 根據《網路民權架構》的一年連線記錄要求，檢查您的資料保留政策。 建立一個能夠在十五天內回應的資料主體權利工作流程。 如果您正在部署任何形式的生物特徵驗證或先進分析，請在上線前完成資料保護影響評估。 Purple 的訪客 WiFi 平台在設計時就已將這些合規要求納入考量——可設定的同意流程、自動化的保留排程，以及在 GDPR 和 LGPD 管轄區都能運作的資料主體權利工具。如果您正在巴西各地部署，並希望討論您具體的合規架構，請與 Purple 團隊聯繫。 以上就是今天的簡報。感謝收聽，我們下次見。