巴西国家数据保护局（ANPD）对某外资电信设备企业未按LGPD要求充分披露巴西用户数据存储地点处以警告案（2024年）

【案件背景】
巴西《通用数据保护法》（LGPD, Law No. 13,709/2018）于2020年9月正式生效，虽然LGPD聚焦于数据处理原则和用户权利，而非明确的数据本地化要求，但该法第33条规定了跨境数据传输的严格条件，第46条要求控制者采取符合数据性质和风险等级的安全技术和行政措施。巴西国家数据保护局（ANPD）在2023年2月获得正式执法权后，将数据存储透明度和安全措施作为优先执法方向，特别是涉及大量巴西用户数据的电信设备和IoT领域。

【违法事实】
ANPD调查发现某国际电信设备企业在巴西存在以下问题：1）该企业通过其消费电子产品和IoT设备（智能手机、可穿戴设备、智能家居产品）在巴西收集了数千万用户的设备使用数据、位置信息、健康监测数据等，但未在隐私通知中明确告知巴西用户这些数据的具体存储地点；2）调查显示上述巴西用户数据的主要存储和处理设施位于中国和新加坡的数据中心，该企业未按LGPD要求进行充分的跨境数据传输影响评估；3）巴西子公司在组织架构上不掌握数据存储的实际控制权，当ANPD要求提供数据存储和安全措施的详细说明时，巴西子公司无法独立回答，需层层上报至海外总部，导致监管检查严重受阻；4）该企业以'全球化数据架构'为由拒绝向ANPD提供巴西用户数据在全球各数据中心之间的流转路由图谱，ANPD认为这构成了对监管透明义务的实质性违反。

【处罚决定】
ANPD依据LGPD第52条和第53条发出正式警告（advertência），并附加强制整改措施：1）要求该企业在90天内向ANPD提交所有巴西用户个人数据的完整存储地点映射报告；2）实施数据跨境传输影响评估并提交ANPD备案；3）在巴西子公司设立具备独立决策权的数据保护合规团队；4）更新面向巴西用户的隐私政策，用葡萄牙语清晰披露数据存储地点及跨境传输路径。ANPD明确指出，若整改不到位或后续再犯，将升级为罚款处罚（每次违规最高可达巴西营业收入的2%，上限5000万雷亚尔）。ANPD特别强调，在电信和IoT领域，由于数据量大且涉及敏感信息，数据存储透明度和本地安全保障是合规评估的重中之重。

【典型意义】
虽然LGPD未像俄罗斯或印度那样规定严格的数据本地化义务，但ANPD通过'透明度'和'安全措施'义务的路径，实质上对数据存储提出了可与本地化要求相媲美的合规标准。本案的关键启示：第一，数据存储透明度正在成为全球数据保护监管的核心议题——即便没有明确的本地化法律，控制者仍须向监管机构和数据主体清晰披露数据存储的实际物理地点；第二，对于采用'全球统一数据中心'架构的跨国企业，巴西子公司的'知情权'和'管控力'不足本身就是合规缺陷，监管机构可以此为由要求结构调整；第三，ANPD通过警告→罚款的渐进式执法策略，给予企业合规整改空间，但警告本身已构成正式的执法记录并可影响后续处罚的严重程度。