A Autoridade Nacional de Proteção de Dados (ANPD) publicou em 23 de agosto de 2024 a Resolução CD/ANPD n° 19/2024, que disciplina a Transferência Internacional de Dados e o conteúdo das cláusulas-padrão contratuais. A nova norma tem como objetivo regulamentar as diretrizes gerais que autorizam a transferência de dados pessoais para países ou organismos internacionais, estabelecidas nos artigos 33 a 36 da Lei Geral de Proteção de Dados (LGPD).
A nova Resolução impacta diretamente as organizações que realizam transferências internacionais de dados, exigindo maior transparência e responsabilidade no tratamento desses dados. A norma determina: (i) a atualização de contratos para incorporar os mecanismos válidos de transferência em contratos; (ii) a divulgação das transferências internacionais de dados na Política de Privacidade ou outro documento equivalente; e (iii) o fornecimento das informações aos titulares sobre o tema, quando houver solicitação.
Preliminarmente, destaca-se que as disposições sobre transferências internacionais de dados se aplicam a todos os tratamentos de dados pessoais realizados em território nacional, bem como aqueles que tenham como objetivo oferecer bens ou serviços a indivíduos no Brasil, ou que envolvam dados de indivíduos localizados no território nacional, salvo as exceções previstas em lei.
Hipóteses legais
Para que a transferência internacional de dados seja considerada válida, é preciso que ela tenha um propósito legítimo, específico e informado ao titular, sem possibilidade de uso posterior para fins diferentes. Essa transferência também deve estar fundamentada em uma das hipóteses legais previstas na LGPD (art. 7º ou 11) e estar associada a um dos mecanismos de transferência internacional válidos.
Mecanismos para transferência internacional
A transferência internacional de dados, além de cumprir a LGPD, deve ser proporcional e adequada à finalidade a ser alcançada. Ou seja, somente os dados estritamente necessários devem ser transferidos, e essa transferência deve estar respaldada por um dos mecanismos de proteção estabelecidos pela ANPD.
De acordo com a Resolução CD/ANPD n° 19, de 23/08/2024, as transferências internacionais de dados devem observar um dos seguintes mecanismos:
- Decisão de adequação da ANPD: A transferência de dados pessoais e sensíveis poderá ser realizada para países e organismos que oferecerem proteção equivalente à da LGPD. A ANPD é responsável por reconhecer quais países e organizações atendem a esses requisitos.
- Normas corporativas globais: transferências internacionais dentro do mesmo grupo ou conglomerado de empresa, podem seguir normas corporativas globais. As normas deverão ser submetidas à aprovação da ANPD;
- Cláusulas-padrão contratual: A transferência internacional de dados, quando fundamentada em cláusulas-padrão contratuais, somente será válida se houver a adoção integral e sem qualquer modificação do texto padrão disponibilizado pela ANPD (Anexo II da Resolução);
- Cláusulas-padrão Contratuais Equivalentes: A ANPD pode reconhecer a equivalência das cláusulas-padrão contratuais de outros países ou organismos internacionais com as cláusulas-padrão estabelecidas no Anexo II da Resolução;
- Cláusulas-padrão específicas para determinadas transações: Cláusulas elaboradas individualmente por controladores que precisam ser submetidas à aprovação da ANPD.
Prazos para Adoção de Cláusulas-Padrão
As empresas que realizam transferências internacionais de dados devem, até 23 de agosto de 2025, incorporar as cláusulas-padrão da ANPD aos seus contratos, garantindo assim a conformidade com a legislação.
Este artigo foi preparado com propósito meramente informativo; não pode ser tratado como aconselhamento legal e as informações nele contidas não devem ser seguidas sem orientação profissional.