巴西作為拉丁美洲最大的經濟體和全球第六大互聯網用户市場，正成為越來越多中國企業出海佈局的重要目標。巴西《通用數據保護法》（Lei Geral de Proteção de Dados Pessoais, LGPD）自 2020 年 9 月全面生效以來，已建立起系統的個人數據保護框架。LGPD 中的 Encarregado 制度（即 DPO）要求所有數據控制者設置專責人員，是中國企業進入巴西市場時必須優先落實的合規事項之一。隨着巴西國家數據保護局（ANPD）在 2024 年密集出台的配套法規和執法行動，Encarregado 制度的實務要求日趨明確和嚴格。
Article 41：全員強制設置 Encarregado
LGPD Article 41 規定，數據控制者（controlador）應任命一名 Encarregado pelo Tratamento de Dados Pessoais，負責處理數據主體的投訴和溝通、接收和處理 ANPD 的通知和措施、指導組織員工和承包商的數據保護實踐、以及履行控制者確定的或其他法規規定的其他職責。與 GDPR 的條件強制模式不同，LGPD 的原始文本對所有數據控制者施加了 Encarregado 的設置義務，不設規模或行業門檻。值得注意的是，LGPD 的 Encarregado 要求僅適用於數據控制者（controlador），而非數據處理者（operador），這與 GDPR 的 DPO 同時適用於控制者和處理者的模式有所不同。
Resolution CD/ANPD No. 18/2024：里程碑式的配套法規
2024 年 7 月，ANPD 發佈了 Resolution CD/ANPD No. 18/2024（關於 Encarregado 角色的規定），這是 LGPD 實施以來最重要的 Encarregado 配套法規之一。該決議對 Encarregado 制度的多個關鍵方面進行了明確和細化，解決了 LGPD 原始文本中遺留的若干模糊地帶。
- ›自然人或法人均可擔任：Resolution 18 明確確認，Encarregado 可以是自然人（pessoa natural），也可以是法人（pessoa jurídica）。這一明確化為外包模式提供了堅實的法律基礎，企業可以聘請專業的 DPO 服務機構擔任 Encarregado。
- ›可同時服務多個控制者：Resolution 18 允許同一個自然人或法人同時擔任多個數據控制者的 Encarregado。這對於 DPO-as-a-Service 服務模式具有重要意義，使得服務機構可以規模化地為多家企業提供 Encarregado 服務。
- ›無個人責任：Resolution 18 明確排除了 Encarregado 的個人法律責任。Encarregado 不因其履職行為承擔個人處罰，LGPD 下的合規責任由數據控制者承擔。這一規定與 GDPR 的立場一致，有利於吸引專業人才從事 DPO 工作。
- ›利益衝突管理：Resolution 18 要求數據控制者確保 Encarregado 不存在利益衝突。如果 Encarregado 同時擔任其他職務，這些職務不得與其 Encarregado 角色產生衝突。
語言要求：巴西葡萄牙語溝通能力是硬性條件
LGPD 雖未在法律條文中直接規定語言要求，但在實務操作層面，Encarregado 必須能夠用巴西葡萄牙語與 ANPD 和數據主體進行有效溝通。這一要求源於 LGPD 賦予 Encarregado 的核心職能——接受和處理數據主體的投訴與諮詢、接收和回應 ANPD 的通知與措施——這些活動均以巴西葡萄牙語進行。對於中國企業而言，這意味着僅憑英語或中文能力無法滿足 Encarregado 的履職要求，企業必須確保 Encarregado 具備流利的巴西葡萄牙語能力，或選擇具備該語言能力的外包服務機構。
身份和聯繫方式的公開義務
LGPD Article 41(1) 規定，Encarregado 的身份和聯繫信息應在數據控制者的網站上公開披露，且應以清晰和可訪問的方式呈現。Resolution CD/ANPD No. 18/2024 進一步明確，公開的信息至少應包括 Encarregado 的全名（自然人）或公司名稱（法人）、有效的聯繫郵箱或其他電子通訊方式。對於中國企業在巴西設立的子公司或分支機構，應確保其巴西本地網站和全球網站上均包含 Encarregado 的聯繫信息。未滿足此公開義務的企業可能面臨 ANPD 的行政處罰。
2024 年 ANPD 執法動態
2024 年 11 月，ANPD 啓動了一輪針對未設置 Encarregado 的企業的集中執法行動，共有約 20 家企業被列入監管審查名單。這是 ANPD 首次針對 Encarregado 設置義務進行系統性執法，標誌着巴西數據保護執法進入新階段。ANPD 在公告中強調，設置 Encarregado 是 LGPD 的基礎性合規義務，所有數據控制者均應在 ANPD 的執法行動覆蓋到自身之前主動合規。此次執法行動涵蓋了不同行業和規模的企業，表明 ANPD 並未僅關注大型企業，中小企業同樣面臨執法風險。
Encarregado 的核心職責
- ›接受和處理數據主體的投訴和通訊，包括回覆數據主體關於其個人數據處理方式的查詢。
- ›接收和處理 ANPD 的通知和措施，確保組織及時響應監管機構的要求和調查。
- ›指導組織的員工和承包商關於個人數據保護的最佳實踐，推動數據保護文化的建設。
- ›履行控制者確定的其他職責，以及適用法律法規要求的其他職責。Resolution 18 新增了合規監督和數據保護政策建議等擴展職能。
中國出海企業的合規建議
- ›優先配置 Encarregado：考慮到 ANPD 2024 年的執法趨勢，進入巴西市場的中國企業應將 Encarregado 設置作為市場準入的優先事項，不應等到被監管審查後才被動應對。
- ›善用外包模式：Resolution 18 為法人擔任 Encarregado 提供了明確的法律依據，中國企業可以選擇具備巴西葡萄牙語能力和 LGPD 專業知識的 DPO 服務機構。
- ›確保語言合規：Encarregado 必須能用巴西葡萄牙語溝通，這是不可迴避的實務要求。如果選擇內部人員，須確保其葡語能力；如果外包，須確認服務機構的語言覆蓋範圍。
- ›及時公開聯繫信息：在巴西本地網站上清晰、可見地公佈 Encarregado 的身份和聯繫方式，滿足 LGPD 的公開義務。
結語
巴西 LGPD 的 Encarregado 制度正在從法律文本走向執法實踐。2024 年 Resolution 18 的出台和 ANPD 的集中執法行動，標誌着巴西數據保護合規進入了更加規範化和嚴格化的新階段。中國出海企業應把握合規窗口期，提前佈局 Encarregado 配置，以穩健的合規姿態進入並深耕巴西市場。DataAigis 具備巴西葡萄牙語服務能力和 LGPD 合規專業經驗，能夠為中國出海企業提供高效的 Encarregado 外包服務。
