LGPD（巴西一般資料保護法）

LGPD（Lei Geral de Proteção de Dados）是巴西於2018年頒布、2020年12月正式生效的個人資料保護法，其核心精神與歐盟GDPR（General Data Protection Regulation）高度一致。LGPD第18條明確規定了資料主體的八項基本權利，包括確認資料處理存在、要求刪除、撤回同意、要求攜帶權等。在風險管理框架中，LGPD要求企業建立「隱私設計（Privacy by Design）」原則，將資料保護嵌入產品開發與業務流程的初始階段。相較於台灣個資法（個人資料保護法），LGPD的罰則上限更高，最高可達企業年度營業額的2%，且對資料處理的合法基礎（如：合法利益、契約履行、同意等）有更嚴格的分類要求，要求企業在處理前必須完成DPIA（資料保護衝擊評估）。

實務導入LGPD通常分為三個階段：第一階段為「現況盤點與差距分析」，企業需對照LGPD第7條的合法處理基礎（六項合法基礎）與第11條的敏感資料規定，盤點現有資料流向與處理活動；第二階段為「控制措施建立」，參考ISO 27701第6章的控制措施，建立資料處理活動紀錄（ROPA）、資料主體請求處理流程及資料外流協議（DPA）；第三階段為「持續監控與稽核」，建立監控指標（KPI）如：資料外洩事件回應時間、資料主體請求處理率等。以一家跨國電商為例，導入LGPD後透過ISO 27701框架將資料處理風險降低40%，並在2023年GDPR稽核中因提前建立LGPD合規機制而通過率提升25%，有效避免了因資料處理不當可能面臨的營運中斷風險。

台灣企業導入LGPD主要面臨三大挑戰：第一，法規差異挑戰，台灣個資法與LGPD在資料主體權利範圍及罰則機制上存在顯著差異，建議採用ISO 27701作為統一管理框架，以同時滿足多重法規要求；第二，資料主體權利回應能力不足，特別是資料攜帶權（Data Portability）的技術實現，企業需建立標準化的資料輸出格式與驗證機制；第三，資料處理者（Data Processor）管理難度，LGPD要求企業對委託處理者負連帶責任，需在委託合約中明確界定責任邊界。建議企業採取「分階段導入策略」：前6個月完成法規映射與政策建立，後6個月實施技術控制與人員培訓，並設定每季一次的合規性檢核點，以確保持續合規。

積穗科研股份有限公司（Winners Consulting Services Co., Ltd.）專注台灣企業LGPD相關議題，擁有豐富實戰經驗，協助企業在90天內建立符合國際標準的個人資料保護管理機制，已服務超過100家台灣企業。申請免費機制診斷：https://winners.com.tw/contact