巴西作为拉丁美洲最大的经济体和全球第六大互联网用户市场，正成为越来越多中国企业出海布局的重要目标。巴西《通用数据保护法》（Lei Geral de Proteção de Dados Pessoais, LGPD）自 2020 年 9 月全面生效以来，已建立起系统的个人数据保护框架。LGPD 中的 Encarregado 制度（即 DPO）要求所有数据控制者设置专责人员，是中国企业进入巴西市场时必须优先落实的合规事项之一。随着巴西国家数据保护局（ANPD）在 2024 年密集出台的配套法规和执法行动，Encarregado 制度的实务要求日趋明确和严格。
Article 41：全员强制设置 Encarregado
LGPD Article 41 规定，数据控制者（controlador）应任命一名 Encarregado pelo Tratamento de Dados Pessoais，负责处理数据主体的投诉和沟通、接收和处理 ANPD 的通知和措施、指导组织员工和承包商的数据保护实践、以及履行控制者确定的或其他法规规定的其他职责。与 GDPR 的条件强制模式不同，LGPD 的原始文本对所有数据控制者施加了 Encarregado 的设置义务，不设规模或行业门槛。值得注意的是，LGPD 的 Encarregado 要求仅适用于数据控制者（controlador），而非数据处理者（operador），这与 GDPR 的 DPO 同时适用于控制者和处理者的模式有所不同。
Resolution CD/ANPD No. 18/2024：里程碑式的配套法规
2024 年 7 月，ANPD 发布了 Resolution CD/ANPD No. 18/2024（关于 Encarregado 角色的规定），这是 LGPD 实施以来最重要的 Encarregado 配套法规之一。该决议对 Encarregado 制度的多个关键方面进行了明确和细化，解决了 LGPD 原始文本中遗留的若干模糊地带。
- ›自然人或法人均可担任：Resolution 18 明确确认，Encarregado 可以是自然人（pessoa natural），也可以是法人（pessoa jurídica）。这一明确化为外包模式提供了坚实的法律基础，企业可以聘请专业的 DPO 服务机构担任 Encarregado。
- ›可同时服务多个控制者：Resolution 18 允许同一个自然人或法人同时担任多个数据控制者的 Encarregado。这对于 DPO-as-a-Service 服务模式具有重要意义，使得服务机构可以规模化地为多家企业提供 Encarregado 服务。
- ›无个人责任：Resolution 18 明确排除了 Encarregado 的个人法律责任。Encarregado 不因其履职行为承担个人处罚，LGPD 下的合规责任由数据控制者承担。这一规定与 GDPR 的立场一致，有利于吸引专业人才从事 DPO 工作。
- ›利益冲突管理：Resolution 18 要求数据控制者确保 Encarregado 不存在利益冲突。如果 Encarregado 同时担任其他职务，这些职务不得与其 Encarregado 角色产生冲突。
语言要求：巴西葡萄牙语沟通能力是硬性条件
LGPD 虽未在法律条文中直接规定语言要求，但在实务操作层面，Encarregado 必须能够用巴西葡萄牙语与 ANPD 和数据主体进行有效沟通。这一要求源于 LGPD 赋予 Encarregado 的核心职能——接受和处理数据主体的投诉与咨询、接收和回应 ANPD 的通知与措施——这些活动均以巴西葡萄牙语进行。对于中国企业而言，这意味着仅凭英语或中文能力无法满足 Encarregado 的履职要求，企业必须确保 Encarregado 具备流利的巴西葡萄牙语能力，或选择具备该语言能力的外包服务机构。
身份和联系方式的公开义务
LGPD Article 41(1) 规定，Encarregado 的身份和联系信息应在数据控制者的网站上公开披露，且应以清晰和可访问的方式呈现。Resolution CD/ANPD No. 18/2024 进一步明确，公开的信息至少应包括 Encarregado 的全名（自然人）或公司名称（法人）、有效的联系邮箱或其他电子通讯方式。对于中国企业在巴西设立的子公司或分支机构，应确保其巴西本地网站和全球网站上均包含 Encarregado 的联系信息。未满足此公开义务的企业可能面临 ANPD 的行政处罚。
2024 年 ANPD 执法动态
2024 年 11 月，ANPD 启动了一轮针对未设置 Encarregado 的企业的集中执法行动，共有约 20 家企业被列入监管审查名单。这是 ANPD 首次针对 Encarregado 设置义务进行系统性执法，标志着巴西数据保护执法进入新阶段。ANPD 在公告中强调，设置 Encarregado 是 LGPD 的基础性合规义务，所有数据控制者均应在 ANPD 的执法行动覆盖到自身之前主动合规。此次执法行动涵盖了不同行业和规模的企业，表明 ANPD 并未仅关注大型企业，中小企业同样面临执法风险。
Encarregado 的核心职责
- ›接受和处理数据主体的投诉和通讯，包括回复数据主体关于其个人数据处理方式的查询。
- ›接收和处理 ANPD 的通知和措施，确保组织及时响应监管机构的要求和调查。
- ›指导组织的员工和承包商关于个人数据保护的最佳实践，推动数据保护文化的建设。
- ›履行控制者确定的其他职责，以及适用法律法规要求的其他职责。Resolution 18 新增了合规监督和数据保护政策建议等扩展职能。
中国出海企业的合规建议
- ›优先配置 Encarregado：考虑到 ANPD 2024 年的执法趋势，进入巴西市场的中国企业应将 Encarregado 设置作为市场准入的优先事项，不应等到被监管审查后才被动应对。
- ›善用外包模式：Resolution 18 为法人担任 Encarregado 提供了明确的法律依据，中国企业可以选择具备巴西葡萄牙语能力和 LGPD 专业知识的 DPO 服务机构。
- ›确保语言合规：Encarregado 必须能用巴西葡萄牙语沟通，这是不可回避的实务要求。如果选择内部人员，须确保其葡语能力；如果外包，须确认服务机构的语言覆盖范围。
- ›及时公开联系信息：在巴西本地网站上清晰、可见地公布 Encarregado 的身份和联系方式，满足 LGPD 的公开义务。
结语
巴西 LGPD 的 Encarregado 制度正在从法律文本走向执法实践。2024 年 Resolution 18 的出台和 ANPD 的集中执法行动，标志着巴西数据保护合规进入了更加规范化和严格化的新阶段。中国出海企业应把握合规窗口期，提前布局 Encarregado 配置，以稳健的合规姿态进入并深耕巴西市场。DataAigis 具备巴西葡萄牙语服务能力和 LGPD 合规专业经验，能够为中国出海企业提供高效的 Encarregado 外包服务。
