# 跨境电商出海巴西，AI做客户画像踩了几个雷？——一位涉外律师的实操清单

上周三晚上十点，我收到一封客户邮件。一家做小家电的跨境电商团队，准备把生意从亚马逊美区搬到巴西站，已经用某款 AI 工具跑了三个月的客户画像，结果客户法务部一句"你们 LGPD 合规吗"，把整个项目按下了暂停键。

这是我今年第七个类似询问。作为一名常年处理跨境合同与外企合规的涉外律师，我把这类问询的共性问题，整理成下面这份实操清单。

一、为什么巴西突然成了"数据合规高压区"

巴西《通用数据保护法》（LGPD）2020 年 8 月正式生效，监管机构 ANPD（国家数据保护局）2022 年才真正长出"牙齿"——开始按 LGPD 第 52 条罚款，单次违规最高 5000 万雷亚尔（约 7000 万人民币），且按日累计。

更让中国卖家头疼的是：LGPD 与欧盟 GDPR 同构度极高，但加了"巴西特色"——所有跨境数据流动必须能向 ANPD 出示"对等保护"证明，而中国目前不在巴西认定的"对等国家"白名单上。换句话说，你的数据合规链条必须自证，不能"等同推定"。

二、AI 客户画像，到底踩了哪三个雷

我把这类项目的合规风险拆成三层：

第一层：数据收集端——用户在你的独立站、社媒落地页留下的邮箱、电话、浏览行为，LGPD 第 7 条要求必须有明示同意且目的特定。你勾的那个"我同意接收营销信息"，在巴西法院的实务判决里，对应不到"用于 AI 训练与画像"这个目的，是无效同意。

第二层：AI 处理端——LGPD 第 20 条赋予用户自动化决策审查权。也就是说，如果你的 AI 决定了"这个用户是低价值客户，不推送优惠券"，用户有权要求复核（注意：LGPD 2019 修法后不强制由自然人复核）。中国国内 PIPL 第 24 条有类似规定，但执行尺度宽得多。

第三层：数据出境端——AI 模型如果跑在中国服务器，巴西用户数据一过境就触发 LGPD 第 33 条。同时，中国《数据出境安全评估办法》也可能反向触发——如果你年累计处理超 100 万人个人信息，安全评估申报跑不掉。

三、PIPL 与 LGPD 的核心差异（律师视角）

我办过的几个跨境电商案子，最容易被忽视的差异有三：

| 维度 | 中国 PIPL | 巴西 LGPD |
|---|---|---|
| 法律基础 | 6 类合法性基础（同意为主） | 10 类合法性基础（合法利益可用） |
| 出境路径 | 安评 / 标准合同 / 认证 三选一 | 充分性决定 / 标准合同 / 同意 |
| 处罚上限 | 5000 万 RMB 或营业额 5% | 5000 万 BRL/次 + 业务暂停 |
| 自动化决策 | 用户可拒绝 | 可要求复核(不强制人工) |
| 儿童数据 | 14 岁以下需监护人同意 | 12 岁以下需监护人明示同意 |

实务里最容易翻车的：很多卖家把国内 PIPL 那套"打勾同意"模板直接翻译成葡语，直接无效。LGPD 要求同意必须"自由、明确、知情、特定"，复合同意条款会被一并撤销。

四、给跨境电商团队的四点可执行建议

1. 隐私政策必须本地化重写，不是翻译。葡语版本应当由懂 LGPD 的本地律师审定，不要让 ChatGPT 翻就上线。
2. AI 工具供应商合同重谈——加入 LGPD 处理者义务条款（第 39 条），明确数据处理目的、保留期、子处理者通知义务。
3. 指定 DPO（数据保护官）——LGPD 第 41 条要求，可委派给在巴西有实体的服务商，预算约 2000-5000 雷亚尔/月。
4. 中国侧同步评估 PIPL 出境路径——年累计超 10 万人个人信息建议走标准合同备案，超 100 万走安评。

---

这类项目的合规链条横跨大陆法系两个法域，单靠一方律师都不够。我作为大湾区涉外律师，常年配合巴西、墨西哥、阿根廷本地律所联合出方案，西语、英语、葡语项目都能直接读原文判决，避免翻译损耗。

如果你正在或即将拓展拉美市场，欢迎预约一次 30 分钟的免费摸底咨询。

———
吴展鵾律师 · 广东竞琅律师事务所 · 执业号 144012510953782
涉外法律 · 跨境合同 · 中/英/西/日 4 语执业
主站：wzklaw.com · 预约咨询：wzklaw.com/booking.php
资质核验：credit.acla.org.cn