巴西-欧盟合规协议：LGPD 和 GDPR

埃莉萨·玛丽亚·德·奥利维拉·博尔加

FAE 法学院学生。

总结

本文分析了巴西与欧盟于2026年正式签署的数据保护充分性互认协议，该协议将形成地域范围最广的国际数据流动一体化区域。这一进展得益于巴西《通用数据保护法》（LGPD）与欧盟《通用数据保护条例》（GDPR）的融合，二者共享相同的原则、监督机制，并将数据保护视为一项基本权利。本文进一步探讨了CD/ANPD第32/2026号决议的法律基础、局限性以及定期审查机制。此外，本文还重点阐述了该决议的实际影响，例如简化国际数据传输、降低合规成本、增强法律确定性以及促进投资和数字商务。最后，本文探讨了该决议的地缘政治意义，它巩固了巴西的国际地位，并使其在数字治理和监管合作的讨论中发挥了领导作用。

关键词：数据保护；国际数据传输；欧盟；充分性。

抽象

本文探讨了巴西与欧盟之间于2026年正式生效的互惠数据保护充分性认可协议，该协议将建立全球地域范围最大的国际数据流动一体化区域。这一成果的达成得益于巴西《通用数据保护法》（LGPD）与欧盟《通用数据保护条例》（GDPR）的趋同，二者在关键原则、执行机制以及将数据保护视为一项基本权利等方面均有共通之处。本文进一步分析了巴西国家数据保护局（ANPD）第32/2026号决议的法律基础、适用范围、局限性以及定期审查机制。此外，本文还重点阐述了该决议的实际影响，包括简化国际数据传输、降低合规成本、增强法律确定性以及提升对投资和数字贸易的激励作用。最后，本文探讨了该决议的地缘政治意义，指出其将巩固巴西的国际地位及其在数字治理和监管合作相关讨论中的作用。

关键词：数据保护；国际数据传输；欧盟；充分性认可。

1.简介

2026年1月，巴西在隐私和数据保护领域迎来了一个历史性的里程碑。这指的是巴西与欧盟在数据保护方面相互承认同等地位。

实际上，这种认可为国际数据流动提供了更大的法律确定性。此外，国际数据传输流程也得到简化，运营成本往往降低，商业项目、创新项目和国际合作的实施速度也更快。

这些影响对严重依赖数据处理的行业尤为显著。这些行业包括科技、数字服务、金融科技、医疗科技、数字平台和数据驱动型经济。

该措施覆盖约670亿人。通过这种方式，法律体系与相关社会之间的信任得以加强。由此，一个地理范围空前广阔的综合数据流通空间得以巩固。就地域范围而言，这是全球最大的综合数据流动区域。

在此背景下，显然有一个因素在双方的相互认可中发挥了重要作用。那就是《通用数据保护法》（LGPD，第13.709/2018号法律）的影响。该法借鉴了欧盟自2018年起生效的《通用数据保护条例》（GDPR）。这一借鉴促成了巴西数据保护监管模式的构建，使其与国际最高数据保护标准接轨。此外，它也促进了两国之间的监管对话。

2. 巴西与欧盟之间的规范趋同

巴西《通用数据保护法》(LGPD) 和欧盟《通用数据保护条例》(GDPR) 都秉持着相同的数据保护基本原则，包括安全、透明、问责和保障数据主体的权利。此外，这两个法规都提倡以合乎道德且合法的方式处理个人信息。

这两项法律均具有域外效力。它们还规定了对不遵守规定的行为进行行政处罚，并建立了监督机制。

在巴西，这项职能由国家数据保护局（ANPD）履行。而在欧盟，监管工作则由成员国的国家数据保护机构负责。这些机构由欧洲数据保护委员会（EDPB）协调。

此外，数据处理领域也有类似的角色，包括控制者、运营者（在GDPR中称为处理者）和数据保护官（DPO）。然而，他们的职责存在一些具体差异。

巴西和欧洲法律体系的趋同之处不仅限于宪法层面。在这两个体系中，个人数据保护都被视为一项基本权利。

在欧盟，这一认可源于《欧盟基本权利宪章》第8条和《欧盟运作条约》第16条。在巴西，数据保护通过2022年第115号宪法修正案被提升为一项基本权利，该修正案在《联邦宪法》第5条中纳入了第79款。

这种监管趋同加强了数据保护制度之间的兼容性。此外，它还有助于评估两个司法管辖区之间的等效性。

最后值得注意的是，巴西国家数据保护局 (ANPD) 根据《巴西通用数据保护法》(LGPD) 第 34 条评估了欧盟的规范等效性。该分析考虑了数据性质、原则遵守情况、司法保障以及总体保护水平等标准。

3. 决议

在欧盟，这种承认源于《欧盟基本权利宪章》第8条，也基于《欧盟运作条约》第16条。

在巴西，数据保护通过第 115/2022 号宪法修正案提升为一项基本权利。该修正案在联邦宪法第 5 条中加入了第 LXXIX 款。

需要指出的是，该措施的适用范围已在决议第1条的唯一一款中明确规定，该款适用于：

适用于欧盟所有成员国、欧洲自由贸易联盟（EFTA）的三个成员国（冰岛、列支敦士登和挪威，它们也是欧洲经济区（EEA）的一部分），以及欧盟的机构、团体和部门。

此外，该决定强调，该措施不适用于专门为公共安全、国防、国家安全或与调查和镇压犯罪活动有关的活动而进行的国际数据传输（第 2 条）。

国家数据保护局 (ANPD) 第 32 号决议还规定，该机构将持续监测欧盟个人数据保护水平。此外，该机构还可以要求提供补充信息并进行定期评估（第 4 条）。

需要强调的是，该决定并非永久性的。它将在四年内（第4条第1款），即2030年进行重新评估。此次重新评估除其他方面外，还将考虑在做出该适应性决定后个人数据保护立法的任何变化（第4条第2款）。

4. 该决定的影响

就该决定的实际和经济影响而言，预计将带来更大的法律确定性。此外，预计还将降低成本、提高竞争力并鼓励互惠投资。

实际意义在于简化巴西与欧盟之间的数据传输。降低合规成本也是一个关键因素。在此背景下，对定制化传输机制和专门针对促进国际数据流动而进行的额外审计的需求得以减少。

此外，这项措施有望加强巴西国家数据保护局 (ANPD)、欧盟委员会和欧洲各国数据保护机构之间的合作。这种合作体现在信息交流、最佳实践分享、监管趋同以及对数据保护水平的持续监测等方面。

这项调整还将有助于促进依赖跨境数据流动的数字商务发展。预计这将使数字服务的提供更加便捷，降低交易成本，并刺激数据驱动型企业的发展。此外，它还将增强巴西企业在欧洲市场的地位。

最后，该措施可能会提高巴西对外国投资的吸引力，尤其是在科技、金融科技、医疗科技、人工智能、分析和数据处理领域。

5. 国际一体化与地缘政治意义

除巴西外，欧盟还有16项充分性决定生效，允许个人数据在欧盟内部自由流动。涵盖的国家和地区包括：安道尔、阿根廷、加拿大（适用于商业组织）、韩国（大韩民国）、美国（适用于根据欧盟-美国数据隐私框架获得认证的商业组织）、根西岛、马恩岛、法罗群岛、以色列、日本、泽西岛、新西兰、英国、瑞士和乌拉圭。

从地缘政治角度来看，巴西将自身定位为欧盟的战略伙伴。2026年6月12日，双方正式签署了“巴西-欧盟数字伙伴关系”，进一步巩固了这一伙伴关系。该伙伴关系确立了巴西作为欧盟优先数字伙伴的地位，并使其成为拉丁美洲首个加入先进技术合作网络的国家。该优先伙伴网络还包括韩国、日本、新加坡和加拿大。

需要强调的是，巴西与欧盟之间的协议不会改变巴西与美国之间的数据流动。这是因为数据充分性认定是针对特定司法管辖区的。因此，欧盟与巴西国家数据保护局 (ANPD) 之间关于数据充分性的认可并不会自动影响向美国的数据传输。这是因为此类数据传输仍然受巴西《通用数据保护法》(LGPD) 所规定的特定机制的约束。