💡 律咖编者按： 本文由律咖网社群读者 hephaestus 投稿分享。 为了方便大家阅读，律咖网编辑 JingJing（微信：lvga2015）对原文进行了细致的逻辑润色与合规性整理。希望能给正在巴西创业路上的你带来真实的参考。

我至今仍在纠结：我收集的数据到底是太多了，还是不够多？

三个月前，我在圣卡塔琳娜州（Santa Catarina）的弗洛里亚诺波利斯（Florianópolis）创办了一家小型 Google Ads 咨询公司。我的目标很简单：帮助中国中小企业触达巴西买家。听起来很简单，对吧？但每当我向客户索要邮箱、电话号码，甚至是公司注册代码时，心里总会一阵发紧。我是不是违法了？我是不是把他们置于风险之中？还是说我只是过于 paranoid（多疑）了？

我也不清楚巴西的数据法规是像 GDPR 那样“严格但清晰”，还是像某个从未用过智能手机的人设计的迷宫一样奇怪。

起初，我想通过谷歌搜索"Brazil personal data protection"来找到答案。结果却是一堆失效链接、半翻译的 PDF 文件，以及一个 Reddit 帖子，里面有人建议：“干脆什么都别存。”这根本帮不上忙。

于是，我开始真正地去阅读。不只是博客，也不只是论坛。我直接去研读法律原文：Lei Geral de Proteção de Dados (LGPD) —— 即巴西的《通用数据保护法》。该法于 2020 年 8 月全面生效。是的——即使你只是一个在弗洛里亚诺波利斯共享办公空间里单打独斗的外国人，这部法律也同样适用于你。

我差点误以为这只是“为大公司准备的”。我曾心想：我又不是亚马逊，我没有 50 万客户，他们怎么会关注我？

后来我才意识到：事情比我想象的要复杂得多。

现实情况：这与规模无关，而与敏感度有关

这是我缓慢且痛苦地学到的教训：

LGPD 适用于任何处理个人数据的主体——哪怕你只是为了发送通讯简报而收集一个邮箱。“处理”包括收集、存储、共享、删除，甚至仅仅是查看。只要你触碰了数据，你就在监管范围内。

法律不在乎你是初创公司还是跨国巨头。关键在于：

  • 你收集了什么数据（姓名、电话、身份证号、支付信息、IP 地址，甚至位置信息）
  • 你收集数据的目的
  • 你保留数据的时间长短
  • 你将数据共享给了谁

例如：如果你使用巴西的支付处理工具 Pix（顺便提一句，它如今已主导了当地的电子商务——参见 EBANX 报告），你就等于将客户数据交给了第三方。这在 LGPD 下属于“数据共享”行为，你必须对此进行披露。

我曾问当地律师：“我能不能在隐私政策里只写一句‘我们出于商业目的收集数据’？” 他笑了：“这就像说‘我在呼吸空气’。话虽没错，但保护不了任何人。”

我差点掉进去的两个大坑

陷阱 1：“我只是在用 Google Forms。”

我用 Google Forms 收集客户的入职信息。很简单，对吧？但 Google 是一家美国公司。根据 LGPD，将数据传输到巴西境外需要额外的保障措施——比如标准合同条款（SCCs）或有约束力的公司规则。即使你不存储数据，只要数据流经 Google 的服务器，就算作跨境传输。

后来我换成了巴西本土托管的表单工具——Formulario.io，它符合 LGPD 要求且数据存储在本地。每月费用 30 雷亚尔（BRL）。这笔钱花得值。

陷阱 2：“如果是为了营销，我就不需要征得同意。”

大错特错。

LGPD 规定了10 种处理数据的法律依据，同意只是其中之一。但对于营销用途？是的——你需要明确、不含糊的同意。预先勾选的框？不行。“使用本网站即表示您同意”？也不行。你需要一个清晰的复选框，写着“是的，我允许您联系我进行营销推广”——并且要提供随时撤回同意的选项。

我在网站上加了一个简单的切换开关：

“我同意接收有关中小企业数字广告工具的促销邮件。我可以随时取消订阅。” [✅ 是的，我同意] [❌ 不，谢谢]

就这么简单。没有法律术语，没有长篇大论。

如何判断信息来源是否可靠

我是这样停止盲目信任随机博客的：

  1. 查找来源：信息是否来自 ANPD（Autoridade Nacional de Proteção de Dados，巴西国家数据保护局）？这是巴西的数据保护监管机构。他们的网站是 anpd.gov.br（葡萄牙语，但可以用谷歌翻译）。
  2. 检查更新：LGPD 仍在不断完善中。2026 年 1 月，最高法院正在讨论关于不合规的罚款问题——参见 Toffoli 否认收款事件，从中可以看出法院对数据治理的重视程度。
  3. 避免以美国为中心的建议：特朗普政府推动社交媒体数据收集的做法（正如美联社和《每日邮报》所报道）在这里是个误导。巴西的法律关注的不是监控，而是个人权利。不要把两者混为一谈。
  4. 寻求本地案例：我做的最有用的事情之一，就是加入了一个小型 Facebook 群组：“Empreendedores Digitais em Santa Catarina”（圣卡塔琳娜州数字创业者）。有人发帖说：“因为我的 Shopify 店铺没有隐私政策，我被罚了 5000 雷亚尔。”这让我猛然警醒。

❓ 常见问题解答：外国创业者的常见疑问

Q1：如果我只是单人运营，还需要设立数据保护官（DPO）吗？

步骤：

  1. 检查你的数据处理是否属于“高风险”——例如处理健康数据、儿童数据或进行大规模用户画像。
  2. 对于大多数小型数字业务（广告、电商、咨询），你不需要正式的 DPO。
  3. 但你必须指定某人（哪怕是你自己）来处理数据请求和投诉。

执行路径：

  • 在网站页脚添加"Contato para Proteção de Dados"（数据保护联系人）部分。
  • 提供一个邮箱（例如 data@yourbusiness.com.br）并说明响应时限（例如“我们将在 15 天内回复”）。

关键点：

  • 你不需要头衔，你需要的是流程。
  • 保留所有数据访问请求的记录——即使你从未收到过任何请求。
  • 使用 ANPD 官网提供的免费模板。

Q2：我可以用 WhatsApp 与客户沟通吗？

步骤：

  1. 除非使用需要审批的 WhatsApp Business API，否则 WhatsApp 在商业用途下并非端到端加密。
  2. 对于非正式聊天？你可以使用——但前提是必须获得同意。
  3. 绝不要将客户电话号码存储在 Google 表格中，除非你对其进行加密并在 6 个月后删除。

执行路径：

  • 发送一条消息：“Olá! Vou te enviar informações por WhatsApp. Você concorda com isso? Se sim, responda ‘sim’."（你好！我将通过 WhatsApp 向你发送信息。你同意吗？如果同意，请回复"sim”。）
  • 保存回复记录。6 个月后删除。

关键点：

  • WhatsApp 在这里很常用——但存在法律风险。
  • 绝不要通过 WhatsApp 发送身份证件或银行详情。
  • 对于敏感文件，请使用 Tresorit 或 ProtonMail 等加密工具。

Q3：如果我只是一个自由职业者，在作品集中使用了巴西客户的 Logo 和数据，会有问题吗？

步骤：

  1. 即使你没有从中获利，公开使用他人的姓名、Logo 或商业数据也等于处理个人数据。
  2. 你需要他们的书面许可——即使你们是免费合作的。

执行路径：

  • 起草一句简单的声明：

“我，[客户姓名]，授权 [你的姓名] 将我的公司名称和项目详情用于作品集展示。”

  • 让他们通过 DocuSign 签署，甚至拍一张 signed paper（已签署文件）的照片通过 WhatsApp 发给你也行。

关键点：

  • 不要假设“他们很高兴”就等于“同意”。
  • 如果不确定，就不要用。
  • 你的声誉比一张作品集图片更重要。

我现在的做法——一个简单的例行程序

这是我每周花费 15 分钟进行的合规检查：

  • ☑️ 审查我的隐私政策——已于 2026 年 1 月更新
  • ☑️ 删除超过 12 个月的旧客户邮件
  • ☑️ 检查我正在使用的新工具（如 Canva 或 Mailchimp）是否具备符合 LGPD 的设置
  • ☑️ 询问一位客户：“关于我如何处理您的数据，您有什么想了解的吗？”
  • ☑️ 保存回复。即使是“不，你做得很好”。

我并不觉得自己完全“合规”了。但我感到负责任。

而这，正是区别所在。

4 个可执行的步骤（今天就开始）

  1. 撰写一份 300 字的隐私政策（葡萄牙语），使用 ANPD 的模板。将其放在网站页脚。
  2. 停止使用 Google Forms 收集客户信息。改用巴西本土托管的工具。
  3. 在每个邮件订阅或联系表单中添加同意开关。绝无例外。
  4. 保持记录——哪怕只是一个简单的 Notion 页面——记录每一次接收、存储或删除个人数据的行为。

你不需要律师就能开始。 你只需要对自己和客户诚实。

如果你也在巴西——也许在圣卡塔琳娜州，也许在圣保罗或贝伦——并且也在怀疑自己的数据处理方式是否正确……请记住，你并不孤单。

我曾感到恐惧。直到现在，当我把客户的邮箱发给支付处理商时，仍会感到紧张。

但我正在学习。

而且我不急于求成。

如果你也正处于这种状态——不确定、疲惫、或许有些不知所措——你可以随时通过微信联系 JingJing（账号：lvga2015）。我们不提供法律建议，也不承诺结果。但我们愿意分享所学到的经验——慢慢地、谨慎地，通过每一次真诚的对话。

你没有落后。 你才刚刚开始。

🔗 延伸阅读

🔸 巴西责令 X“立即”屏蔽 Grok 生成的色情 AI 图像 🗞️ 来源：Mathrubhumi – 📅 2026-02-12 🔗 阅读原文

🔸 电商：UPI 引发印度信用卡繁荣，而 Pix 在巴西取代信用卡主导地位，EBANX 发现 🗞️ 来源：PR Newswire APAC – 📅 2026-02-12 🔗 阅读原文

🔸 巴西最高法院 Toffoli 否认收受款项，并提及与 Banco Master 的 Vorcaro 有关联 🗞️ 来源：Yahoo News – 📅 2026-02-12 🔗 阅读原文

📌 免责声明

请知悉：律咖网（Lvga.com）是跨境创业公开信息与内容分享平台，不提供法律、税务、会计或合规服务。 本文内容基于公开资料，并由人工编辑与 AI 工具协助整理，仅供信息参考之用，不构成任何法律、投资、移民或商业决策建议。 政策可能随时间变化，请以官方渠道与当地持牌专业人士意见为准。 如内容有需要修订之处，欢迎随时与我联系。