A Autoridade Nacional de Proteção de Dados (ANPD) publicou o regulamento definitivo que disciplina a transferência internacional de dados pessoais, estabelecendo critérios técnicos e prazos para a adoção obrigatória das Cláusulas-Padrão Contratuais (CPCs). A determinação regulamenta dispositivos previstos nos artigos 33 a 36 da Lei Geral de Proteção de Dados (Lei nº 13.709/2018) e atinge diretamente empresas instaladas no Brasil que armazenam dados em data centers estrangeiros, utilizam serviços de computação em nuvem sediados fora do país ou integram grupos econômicos multinacionais com tráfego compartilhado de bases cadastrais.
Estrutura das Cláusulas-Padrão e Obrigações Contratuais
Pelas novas diretrizes, controladores e operadores de dados que remetem informações para jurisdições estrangeiras sem decisão de adequação da autoridade brasileira passam a ser obrigados a incluir salvaguardas contratuais idênticas às aprovadas pela ANPD. O texto-padrão não pode ser alterado pelas partes em seu núcleo substancial de garantias, devendo assegurar níveis de proteção e direitos de privacidade equivalentes aos estabelecidos pela legislação brasileira.
As cláusulas padronizadas estipulam responsabilidades solidárias entre o exportador e o importador dos dados, regras estritas para subcontratação de operadores secundários e o dever de notificação imediata à autoridade e aos titulares em caso de incidentes de segurança. Adicionalmente, o instrumento contratual obriga o receptor estrangeiro a conceder acesso facilitado aos titulares brasileiros para exercício de direitos previstos no artigo 18 da LGPD, como confirmação de tratamento, correção e revogação de consentimento.
Impacto Operacional em Ambientes de Nuvem e SaaS
A consolidação das regras de transferência internacional exige uma revisão abrangente em contratos de prestação de serviços de tecnologia da informação. Setores intensivos em dados, como serviços financeiros, comércio eletrônico, saúde e desenvolvimento de software, frequentemente utilizam arquiteturas de nuvem distribuídas e plataformas SaaS cujas instâncias de processamento e redundância operam em diferentes continentes.
Especialistas em direito digital apontam que a conformidade não depende apenas da assinatura formal dos aditivos contratuais, mas de um mapeamento técnico rigoroso do fluxo de dados (data mapping). Organizações precisam identificar a localização física exata dos servidores de processamento e backup, os caminhos de roteamento das informações e a existência de eventuais leis de acesso governamental coercitivo nos países de destino que possam comprometer as salvaguardas exigidas pelo Brasil.
Prazos de Transição e Mecanismos Alternativos
O regulamento fixou um período de transição de doze meses para que empresas adaptem contratos em vigor que já utilizavam mecanismos contratuais próprios ou cláusulas corporativas provisórias. Novos contratos celebrados após a publicação das diretrizes já devem contemplar a redação oficial das CPCs ou fundamentar a transferência em outros instrumentos válidos reconhecidos pela autoridade reguladora.
Vias de transferência admitidas pela regulação
Além das Cláusulas-Padrão Contratuais, a ANPD prevê outros caminhos jurídicos formais para autorizar a saída de dados pessoais do território nacional:
- Decisões de Adequação: Reconhecimento unilateral pela ANPD de que determinado país ou organismo internacional oferece grau de proteção substancialmente similar ao brasileiro.
- Normas Corporativas Globais (Binding Corporate Rules): Instrumentos internos aplicáveis a transferências intra-grupo para conglomerados multinacionais, sujeitos à homologação prévia da ANPD.
- Cláusulas Contratuais Específicas: Disposições negociadas individualmente que demandam aprovação direta e expressa da autoridade reguladora antes de surtirem efeitos.
- Hipóteses de Exceção Legal: Situações previstas no artigo 33 da LGPD, como cooperação jurídica internacional, execução de contratos a pedido do titular ou cumprimento de obrigação legal.
Transparência com o Titular e Riscos Sancionatórios
Outro ponto de destaque do normativo é o princípio da transparência ativa. Os controladores de dados devem publicar em suas declarações de privacidade informações explícitas sobre a transferência transfronteiriça, indicando a finalidade do envio, o país destinatário e a base legal utilizada. Os titulares passam a ter o direito explícito de solicitar uma cópia simplificada das cláusulas de transferência pactuadas, respeitados eventuais segredos comerciais e de propriedade intelectual.
O não cumprimento das novas exigências sujeita os agentes de tratamento a sanções administrativas previstas no artigo 52 da LGPD, que variam de advertências e publicização da infração a multas de até 2% do faturamento do grupo empresarial no Brasil, limitadas a R$ 50 milhões por infração. A fiscalização da autoridade deve priorizar setores com maior volume de fluxo de dados para fora do país e organizações que operam com tratamento de dados sensíveis.
ANPD
