Transferência Internacional de Dados

Decisões emitidas pela ANPD que reconhecem determinados países ou organismos internacionais como possuidores de um nível de proteção de dados pessoais equivalente ao exigido pela legislação brasileira. Quando uma decisão de adequação é emitida, as transferências internacionais de dados para esses países ou organizações podem ocorrer sem a necessidade de mecanismos adicionais de transferência internacional.

São cláusulas contratuais predefinidas pela ANPD, que podem ser incorporadas a contratos já existentes. Elas estabelecem garantias mínimas para que, mesmo em países onde o regime de proteção de dados é diferente do Brasil, os dados pessoais continuem protegidos conforme os padrões exigidos pela LGPD. A implementação dessas cláusulas deve ser feita sem modificações (Anexo II do Regulamento), em até 12 meses da publicação do Regulamento (Art. 2º, parágrafo único).

Referem-se a cláusulas-padrão contratuais aprovadas por países estrangeiros ou organismos internacionais que podem ser reconhecidos pela ANPD como equivalentes às cláusulas-padrão contratuais brasileiras Uma vez consideradas equivalentes, e observadas eventuais condicionantes estabelecidas pela ANPD, agentes de tratamento podem utilizar essas cláusulas em suas transferências internacionais de dados sem a necessidade de utilização das cláusulas-padrão contratuais do Anexo II do Regulamento.

Podem ser utilizadas em situações excepcionais, nas quais se mostra comprovadamente inviável utilizar as cláusulas-padrão contratuais. Essas cláusulas devem oferecer um nível de proteção de dados equivalente ao garantido pelas cláusulas-padrão contratuais nacionais e precisam ser adaptadas às circunstâncias particulares de determinadas operações de transferência. A aprovação prévia pela ANPD é necessária para validar a utilização desse mecanismo.

Conjunto de regras internas adotadas por organizações do mesmo grupo ou conglomerado de empresas para regular a transferência internacional de dados pessoais entre suas diferentes entidades. Essas normas, que devem ser previamente aprovadas pela ANPD, garantem que todas as empresas do grupo, independentemente da jurisdição onde operam, respeitem o nível de proteção de dados exigido pela LGPD. Essas normas são especialmente úteis para empresas que operam em vários países e desejam manter uma abordagem uniforme de proteção de dados pessoais em suas operações internacionais.

Iniciado por decisão do Conselho Diretor (de ofício) ou por solicitação de entidades públicas (parágrafo único do art. 1º da Lei nº 12.527, de 18 de novembro de 2011), o processo é conduzido pela área técnica da ANPD (CAI/CGRII), que analisa o contexto jurídico, as normas, as medidas de segurança e as garantias institucionais do país ou organismo em questão. A Procuradoria Federal Especializada da ANPD emite um parecer sobre a adequação, e o Conselho Diretor delibera sobre sua aprovação. Se aprovada, a decisão é formalizada e publicada no site da ANPD. As decisões podem ser revisadas ou revogadas conforme mudanças nas condições do país ou organismo internacional, garantindo contínua conformidade com a LGPD. Até o momento, a União Europeia foi considerada como organismo internacional adequado pelo Conselho Diretor da ANPD por meio da publicação da Resolução nº 32/2026.

Seu trâmite pode ser iniciado pelo Conselho Diretor (de ofício), ou a requerimento das partes interessadas. A área técnica da ANPD (CGRII/CAI) realiza uma análise detalhada sobre a compatibilidade das cláusulas estrangeiras com as normas brasileiras e a LGPD. A Procuradoria Federal Especializada da ANPD emite um parecer e o processo é submetido para a deliberação final pelo Conselho Diretor. A ANPD pode ainda realizar consultas à sociedade ou ouvir manifestações de outros órgãos da administração pública com competências afins. Caso aprovadas, as cláusulas serão reconhecidas por meio de resolução e publicadas no site da ANPD, tornando-se válidas para transferências internacionais de dados, desde que observadas as condições estabelecidas pela decisão do Conselho Diretor. Até o momento, nenhuma cláusula-padrão contratual equivalente foi reconhecida pelo Conselho Diretor da ANPD.

O controlador deve submeter à ANPD a íntegra das cláusulas que pretende utilizar, comprovando que elas oferecem e comprovam garantias de cumprimento dos princípios, dos direitos do titular e do regime de proteção de dados previstos pela LGPD. Sua aprovação pelo Conselho Diretor é necessária para que a transferência internacional de dados ocorra com base nesse mecanismo. A aprovação de cláusulas específicas somente ocorrerá em situações excepcionais, isto é, quando, por razões de fato ou de direito devidamente comprovadas pelo interessado, for inviável utilizar as cláusulas-padrão contratuais. O processo inclui a análise detalhada das disposições propostas pela CAI/CGRII e pela Procuradoria Federal Especializada, levando em consideração a compatibilidade com a legislação brasileira e os riscos e benefícios envolvidos. Até o momento, nenhuma cláusula contratual específica foi aprovada pelo Conselho Diretor da ANPD.

Devem ser submetidas para aprovação da ANPD, acompanhadas de uma descrição detalhada das transferências que cobrem, os países envolvidos, e as medidas de segurança implementadas. Além disso, essas normas devem estar vinculadas a um programa de governança em privacidade que esteja de acordo com as exigências da LGPD (art. 50). Após análise pela CAI/CGRII e pela Procuradoria Federal Especializada, as normas corporativas globais serão objeto de deliberação pelo Conselho Diretor. Até o momento, nenhuma norma corporativa global foi aprovada pelo Conselho Diretor da ANPD.

A Resolução CD/ANPD Nº 19/2024 é o Regulamento de Transferência Internacional de Dados emitido pela ANPD que estabelece os mecanismos para a transferência internacional de dados pessoais em conformidade com a LGPD. Este Regulamento dispõe sobre as cláusulas-padrão contratuais, as cláusulas-padrão contratuais equivalentes, as cláusulas contratuais específicas, as normas corporativas globais e as decisões de adequação.

As cláusulas contratuais específicas somente podem ser utilizadas se previamente aprovadas pela ANPD. Tal aprovação apenas ocorrerá em situações excepcionais, quando, por razões de fato ou de direito devidamente comprovadas pelo interessado, for inviável utilizar as cláusulas-padrão contratuais. Essas circunstâncias excepcionais e as cláusulas devem ser submetidas à apreciação da ANPD, acompanhadas da documentação pertinente, conforme o previsto no Regulamento.

Os pedidos de aprovação devem ser feitos por meio do Sistema Eletrônico de Informações (SEI) da ANPD. A documentação exigida para instrução do pedido está detalhada no Regulamento e inclui, entre outros documentos, a íntegra das cláusulas ou normas propostas, bem como informações adicionais que comprovem a conformidade com os requisitos da LGPD.

A ANPD publicará neste site uma lista dos países e organismos internacionais que receberam decisões de adequação pelo Conselho Diretor. Esta lista será constantemente atualizada, permitindo que os agentes de tratamento verifiquem se a transferência internacional de dados pessoais para um determinado país está coberta por uma decisão de adequação. coberta por uma decisão de adequação. Até o momento, a União Europeia foi considerada como organismo internacional adequado pelo Conselho Diretor da ANPD por meio da publicação da Resolução n. 32/2026. Para isso, é necessário um trâmite específico, previsto pelo Regulamento. Conforme outras decisões como essa forem emitidas, este site será atualizado para conter a listagem dos países considerados adequados.

A ANPD publicará neste site uma lista das cláusulas-padrão contratuais equivalentes, cláusulas específicas e normas corporativas globais aprovadas pelo Conselho Diretor. Assim como no caso das decisões de adequação, esta lista será constantemente atualizada. Até o momento, nenhum desses mecanismos foi aprovado pelo Conselho Diretor da ANPD. Para isso, é necessário um trâmite específico, previsto pelo Regulamento.

Decisões de adequação emitidas por outros países não são válidas para o Brasil. Não obstante, informações e análises que constam dessas decisões poderão eventualmente ser consideradas como subsídio para a emissão de decisões de adequação pela ANPD.

Os agentes de tratamento que realizam transferências internacionais de dados pessoais devem garantir que essas operações estejam em conformidade com a LGPD e com o Regulamento de Transferência Internacional de Dados, adotando os mecanismos previstos pela norma e as salvaguardas apropriadas ao caso. Entre outras obrigações, os agentes de tratamento devem garantir o exercício de direitos e fornecer informações claras aos titulares sobre a transferência.

O Regulamento prevê quem são os legitimados para realizar o pedido de análise pela ANPD para cada mecanismo de transferência internacional de dados. No caso de cláusulas contratuais específicas, quem solicita sua análise é o controlador (art. 21), enquanto para cláusulas-padrão contratuais equivalentes o pedido pode ser apresentado por qualquer interessado (art. 18). Para as normas corporativas globais, o pedido pode ser apresentado por organizações do mesmo grupo ou conglomerado de empresas (art. 25). Finalmente, a emissão de decisões de adequação (art. 13) somente pode ser solicitada por órgãos ou entidades públicas. Vale mencionar que os procedimentos de emissão de decisão de adequação (art. 13) ou de aprovação de cláusulas equivalentes (art. 18) também poderão ser instaurados de ofício pela ANPD, por decisão do Conselho Diretor.