A transferência internacional de dados pessoais ocorre sempre que uma empresa envia. Além disso, armazena ou processa informações de brasileiros em servidores ou por meio de empresas situadas fora do Brasil. Essa prática é comum quando um negócio usa ferramentas de nuvem. Assim, plataformas de marketing ou fornecedores de tecnologia sediados no exterior. A Lei Geral de Proteção de Dados (LGPD) permite essa transferência, mas impõe condições específicas. Portanto, antes de contratar qualquer serviço internacional. Por isso, a empresa precisa verificar se a operação se encaixa em uma das hipóteses legais autorizadas.
O que caracteriza a transferência internacional de dados pessoais
De forma simples, a transferência internacional de dados pessoais acontece quando informações coletadas no Brasil saem do território nacional. Nesse sentido, ainda que temporariamente, para serem tratadas por outra pessoa ou empresa em outro país. Não importa se o dado fica armazenado por poucos segundos ou de forma permanente. Assim, uma empresa brasileira que usa um servidor de e-mail marketing hospedado nos Estados Unidos já realiza esse tipo de transferência.
Esse conceito também abrange situações menos evidentes, como o uso de aplicativos de suporte ao cliente. Em seguida, sistemas de folha de pagamento em nuvem ou até ferramentas de análise de tráfego de sites. Por isso, muitas empresas transferem dados internacionalmente sem perceber. Dessa forma, o que aumenta o risco de descumprimento da Lei nº 13.709/2018.
O que a LGPD exige para autorizar a transferência internacional de dados pessoais
A LGPD dedica um capítulo específico ao tema. Além disso, tratando das hipóteses em que a transferência internacional de dados pessoais é permitida. A regra geral estabelece que o envio de dados para outro país só pode ocorrer quando existir garantia adequada de proteção às informações. No entanto, a lei prevê caminhos alternativos para viabilizar operações legítimas mesmo quando o país de destino não possui legislação equivalente.
Hipóteses que permitem a transferência internacional de dados pessoais
Entre as situações previstas na lei, destacam-se:
- transferência para países ou organismos internacionais que a Autoridade Nacional de Proteção de Dados (ANPD) considere com grau de proteção adequado;
- uso de cláusulas contratuais específicas, normas corporativas globais ou selos e certificados reconhecidos pela ANPD;
- necessidade de cooperação jurídica internacional entre órgãos públicos;
- proteção da vida ou da incolumidade física do titular ou de terceiro;
- consentimento específico e destacado do titular para aquela transferência em particular;
- cumprimento de obrigação legal ou execução de política pública.
Na prática, a maioria das empresas privadas recorre às cláusulas contratuais ou ao consentimento específico. Assim, já que o reconhecimento formal de países com proteção adequada ainda é limitado.
Países e organismos com grau de proteção adequado
A ANPD é responsável por avaliar e reconhecer quais países ou organismos internacionais oferecem nível de proteção equivalente ao da legislação brasileira. Enquanto essa análise não abrange determinado destino, a empresa deve buscar outra base legal, como as cláusulas contratuais padrão. Consequentemente, o mapeamento prévio dos fornecedores internacionais é essencial para saber qual fundamento jurídico será utilizado em cada operação.
Cláusulas contratuais e mecanismos de garantia na transferência internacional
As cláusulas contratuais padrão funcionam como um instrumento jurídico que impõe obrigações de proteção de dados ao destinatário estrangeiro. Por isso, ainda que a legislação local seja menos rigorosa. Elas costumam definir responsabilidades, medidas de segurança e direitos dos titulares. Nesse sentido, grupos econômicos multinacionais podem adotar normas corporativas globais. Em seguida, aplicáveis a todas as unidades do grupo, desde que aprovadas pela autoridade competente.
Esses mecanismos se aproximam do modelo utilizado pelo Regulamento Geral de Proteção de Dados europeu, o GDPR. Dessa forma, que também prevê cláusulas contratuais e decisões de adequação para transferências fora da União Europeia. Essa semelhança facilita a vida de empresas que já operam sob padrões internacionais de compliance.
Papel da ANPD na transferência internacional de dados pessoais
A ANPD detém competência para editar normas complementares sobre o tema. Além disso, incluindo modelos de cláusulas contratuais e critérios para reconhecimento de países adequados. Por isso, é recomendável acompanhar periodicamente as publicações do órgão, disponíveis na página oficial de regulamentação da ANPD. Dessa forma, a empresa consegue ajustar seus contratos internacionais conforme novas exigências surgem.
Vale lembrar que a ANPD também fiscaliza o cumprimento das regras e pode aplicar sanções em caso de descumprimento. Assim, conforme já explicamos em detalhes no artigo sobre sanções previstas na LGPD. Portanto, ignorar as exigências relacionadas à transferência de dados para o exterior representa um risco real de autuação.
Riscos na transferência internacional de dados pessoais
Muitas empresas cometem falhas por desconhecimento técnico ou por pressa na contratação de fornecedores estrangeiros. Alguns erros frequentes incluem:
- contratar serviços de nuvem estrangeiros sem verificar onde os servidores estão localizados;
- assinar contratos internacionais sem cláusulas específicas de proteção de dados;
- não informar os titulares sobre a envio internacional de informações na política de privacidade;
- deixar de atualizar o relatório de impacto quando a operação envolve dados sensíveis.
Por exemplo, uma clínica que utiliza um sistema de agendamento hospedado no exterior. Por isso, sem avaliar previamente as garantias contratuais, pode ficar exposta em caso de incidente de segurança. Nesse cenário, o vazamento de dados médicos gera consequências muito mais sérias. Nesse sentido, como já abordamos no artigo sobre vazamento de dados pessoais.
Boas práticas na transferência internacional de dados pessoais
Para reduzir riscos, algumas medidas ajudam a estruturar operações internacionais com mais segurança jurídica:
- mapear todos os fornecedores e parceiros que armazenam ou processam dados fora do Brasil;
- revisar contratos para incluir cláusulas específicas sobre proteção de dados;
- atualizar a política de privacidade informando claramente sobre a transferência internacional;
- designar um encarregado de dados (DPO) para acompanhar essas operações, como explicamos no artigo sobre o DPO na LGPD;
- documentar a base legal utilizada para cada transferência, evitando decisões informais.
Em seguida, é importante revisar periodicamente os princípios que orientam o tratamento de dados, tema já detalhado no artigo sobre os princípios da LGPD. Dessa forma, já que a transferência internacional também deve respeitar necessidade, finalidade e transparência.
Perguntas frequentes sobre operação transfronteiriça de dados
Toda empresa que usa serviços de nuvem faz envio internacional de informações?
Não necessariamente. Isso depende de onde os servidores do fornecedor estão localizados. Se o provedor mantém data centers apenas no Brasil, pode não haver transferência internacional. No entanto, muitos serviços globais utilizam infraestrutura distribuída em diversos países, o que caracteriza a transferência.
O consentimento do titular sempre autoriza a essa operação?
O consentimento é uma das bases legais previstas na LGPD. Além disso, mas precisa ser específico para aquela finalidade e destacado das demais autorizações. Ou seja, um consentimento genérico dado no cadastro do site pode não ser suficiente para respaldar juridicamente a operação.
Empresas de outros países precisam seguir a LGPD?
Sim, quando tratam dados de pessoas localizadas no Brasil ou coletam informações com o objetivo de oferecer produtos e serviços a brasileiros. A LGPD adota critério semelhante ao aplicado pelo GDPR europeu, alcançando operações realizadas fora do território nacional.
Quais documentos comprovam a regularidade da transferência internacional?
Contratos com cláusulas específicas de proteção de dados, registros de consentimento. Assim, políticas de privacidade atualizadas e, quando aplicável, relatórios de impacto à proteção de dados. Esses documentos ajudam a demonstrar boa-fé e diligência em caso de fiscalização.
É necessário elaborar relatório de impacto para transferências internacionais?
Em muitos casos, sim, especialmente quando a operação envolve dados sensíveis ou grande volume de informações. Para entender melhor esse documento, vale consultar o conteúdo sobre o relatório de impacto à proteção de dados.
Conte com o suporte da Rocco & Canonica – Advogados
A operação transfronteiriça de dados exige análise jurídica cuidadosa. Por isso, especialmente diante da diversidade de fornecedores estrangeiros utilizados por empresas brasileiras no dia a dia. Cada contrato, cada base legal escolhida e cada fluxo de dados merecem avaliação individualizada, evitando exposição a riscos regulatórios. Para compreender o panorama completo da LGPD, recomendamos a leitura do nosso guia completo sobre a LGPD.
A equipe da Rocco & Canonica – Advogados acompanha empresas na estruturação de contratos internacionais. Nesse sentido, políticas de privacidade e adequação às exigências da ANPD. Se a sua empresa realiza ou pretende realizar envio internacional de informações. Em seguida, converse com nossos especialistas e conheça nossos serviços de consultoria em LGPD.
