运输企业 LGPD 合规检查清单

每一家运输企业都以为自己不涉及敏感个人数据——直到看向自己的车辆追踪面板。地图上的每一个点，都是一名自然人的实时定位。每一名驾驶员都有 CNH、CPF、工时、遥测生物特征，而毒理检查中往往还包含健康数据。每一家托运客户都会交出联系方式、地址，在最后一公里环节还有最终收件人的姓名和电话。LGPD 没有为这个行业开设例外：它贯穿您整条供应链，从头到尾都适用。

这是一份可落地执行的检查清单——而非法律条文摘要。它涵盖了一位运营总监必须解决的六个要点：梳理个人数据存在于何处，为每一项处理活动确立法律依据，在风险高的地方评估风险（车辆追踪正属此类），定义数据留存，落实技术安全，并制定一套在数据泄露时可用的响应预案。隐私源于设计，而非事后补丁。

这个行业恰恰集中了 ANPD 最为关注的几类数据。值得弄清楚您在不知不觉中已经处理了哪些数据：

• 自然人的地理位置。车辆追踪（SASCAR、Autotrac、Omnilink、Onixsat、Cobli、Geotab）追踪的不是卡车——而是驾驶卡车的那个人。对一名已识别个人的持续定位属于个人数据，而其行程历史更会揭示出生活规律。
• 驾驶员数据。CPF、CNH、照片、工时、行为遥测（刹车、车速、疲劳），以及毒理检查和 ASO 中的敏感健康个人数据——后者有其自身更为严格的规则。
• 客户与收件人数据。在 B2B 中您掌握托运方的联系人；在最后一公里环节，还有那些从未直接与您签约的人的姓名、地址和电话。
• 影像与声音。驾驶室摄像头（DMS/ADAS）、门岗以及客服中心的通话录音。

再加上这些数据并非静止不动：它们在遥测设备、TMS（RODOPAR）、ERP（SAP、TOTVS、Sankhya、Omie）以及中途的各类电子表格之间流转。每一次跳转，都是合规可能断裂的一个环节。

看不见的东西，您无法保护。第一项——也是最多企业跳过的一项——就是个人数据清册（即 ROPA，处理活动记录）。对每一条数据流，请回答：

• 哪些数据？CPF、CNH、位置、遥测、收件人联系方式。
• 属于谁？驾驶员、客户、收件人、应聘者。
• 存放在哪里？追踪平台、TMS、ERP、BI，以及——请诚实面对——哪些电子表格和邮件里。
• 保存多久？又有谁拥有读取权限？
• 流向何处？与保险公司、托运方、ANTT、风险管理机构、集成商之间的共享。

在实践中，盲区几乎总是集中在集成环节：从 SASCAR 流出、经由某个无人记录的脚本进入 RODOPAR 的数据，或者某人导出到 WhatsApp 的 BI 报表。梳理数据的同时，也正是清除不必要数据的时机——中途的那张电子表格，既是运营风险，也是 LGPD 风险。

每一项处理活动都需要在第 7 条列出的十项依据中选定一项法律依据。常见的错误是把一切都建立在同意之上——而同意是脆弱的、可撤销的，在雇佣关系情境下更是在法律上存疑。对运输企业而言，真正支撑运营的依据通常是：

• 合同履行——为完成交付而追踪货物并处理收件人数据。
• 法律/法规义务——ANTT 的要求，以及税务和劳动方面的要求。
• 正当利益——财产安全、货物防盗、车队管理。这里的规则很明确：正当利益需要一份书面的平衡测试（LIA），证明该目的不会凌驾于驾驶员的权利之上。
• 生命保护——在紧急情况下（事故、车辆劫持）。

健康敏感数据（毒理检查、ASO）有其专属规则，通常不能以正当利益为依据。为每一条数据流梳理出正确的依据，正是稳固的抗辩与一笔罚款之间的分水岭。

数据保护影响评估报告（DPIA / RIPD）就是您书面的风险评估。它并非对所有情况都强制要求——而是在处理活动属于高风险时才被要求（且被强烈建议）。在运输企业中，以下情形会触发这一要求：

• 对驾驶员位置进行系统性、持续性的监控。
• 推断人员状态的行为遥测和疲劳摄像头。
• 大规模处理健康敏感数据。

一份优秀的 DPIA 会描述处理活动，评估其必要性与相称性，列出对数据主体的风险，而最重要的是——记录缓解措施。这是 ANPD 在执法检查中最先索取的文件。在事件发生前就把它准备好，胜过网站页脚里任何一份漂亮的政策。

个人数据不是死档：超出目的地保存它，本身就是一种违规。原则在于必要性——只保存必要的时长，之后予以删除或匿名化。请按类别定义清晰的期限：

• 追踪历史——逐点定位数据需要存在多久？超过运营/法律期限后，予以聚合或匿名化。
• 未录用应聘者数据——流程结束后即销毁，除非获得纳入人才库的同意。
• 离职驾驶员数据——仅保留劳动法规所要求的部分；其余一律删除。

理想状态是销毁自动化，由系统自身执行——从采集到销毁，无需依赖某个人记得去删掉一张电子表格。为了「以防万一」而留存，恰恰与隐私源于设计背道而驰。

LGPD 要求采取「足以保护」数据的技术与管理措施。落到运营中，这意味着：

• 基于角色的访问控制。操作场区的人无需查看所有驾驶员的位置历史。始终坚持最小权限。
• 加密——传输中与静态存储中皆需加密，包括追踪器、TMS 与 ERP 之间的集成。
• 日志与审计追踪。知道谁在何时访问了什么，并非奢侈之举：这是在执法检查中证明尽职的凭据。
• 匿名化与假名化——用于 BI 与测试环境，指标看板极少需要 CPF。
• 供应商（处理者）管理。追踪平台与集成商都是处理者；合同中必须约定其保护义务。责任并不止步于您的门口。

正是在这里，数据安全与数据治理交汇——也是渗透测试能揭示出纸面政策所看不到之处的地方。

数据泄露并非遥远的假设；而是何时发生的问题。当事件可能引发重大风险时，LGPD 要求在合理期限内向 ANPD 及数据主体通报。没有预案，企业只能在最糟糕的时刻临时应对。最低限度需要：

• 谁触发谁——IT、法务、负责人与管理层之间清晰的流程。
• 已任命并公示的负责人（DPO）——面向数据主体行使权利的可见联系渠道。
• 通报模板已备好，以免在压力之下临时起草。
• 确定影响范围的能力——哪些数据主体、哪些数据受到影响。若没有第 1 项的清册，这一点根本无从做到。

这六项彼此支撑：数据梳理为 DPIA 提供输入，安全保护着已被梳理出的数据，而响应预案唯有在您清楚自己拥有什么时才能奏效。这是一个系统，而非一份零散的任务清单。

运输企业的合规几乎总是卡在同一个点上：个人数据散落在追踪器、TMS、ERP 与电子表格之间，没有人掌握完整的地图。而这恰恰是我们将两条战线合而为一的领域——集成工程与网络安全。

我们的安全方法论源自科学训练（USP 博士、ITA 工程）以及以色列进攻性网络安全学派（Ben-Gurion）：我们像攻击者那样测试您的运营，赶在别人替您测试之前。在数据这条战线上，我们完成数据梳理（ROPA）、法律依据的确立、高风险数据流的 DPIA、带自动化销毁的留存政策，以及集成环节的技术加固——包括终结那些中途的电子表格。隐私源于设计，而非事后补丁。

一切始于一次48 小时的免费诊断：我们审视您真实的个人数据流，指出具体的风险所在——没有空泛的承诺，只有管理层看得懂的证据。