Prazo concedido pela Autoridade Nacional de Proteção de Dados finda em 23/08/2025. Entenda.
Por que os contratos internacionais devem ser adequados?
A Lei Geral de Proteção de Dados Pessoais (LGPD) impõe obrigações relativas ao tratamento de dados pessoais — isto é, informações referentes a pessoas naturais identificadas ou identificáveis — principalmente às empresas brasileiras.
Entre essas obrigações, o art. 33 da LGPD estabelece as hipóteses legais que autorizam a transferência internacional de dados pessoais, ou seja, o envio desses dados a país estrangeiro ou organismo internacional.
Dentre essas hipóteses, destacam-se duas:
- a utilização de cláusulas-padrão contratuais; ou,
- a adoção de cláusulas contratuais específicas para determinada transferência.
Essas possibilidades foram regulamentadas pela Resolução CD/ANPD n. 19/2024, editada pela Autoridade Nacional de Proteção de Dados (ANPD).
O que diz a resolução?
A Resolução CD/ANPD n. 19/2024 define o conteúdo das cláusulas-padrão contratuais, que devem ser inseridas integralmente e sem alterações nos contratos internacionais que envolvam transferência de dados, a fim de garantir a conformidade com a LGPD.
A norma também esclarece que o uso das cláusulas-padrão não é obrigatório nas seguintes situações:
- quando a transferência for destinada a país estrangeiro ou organismo internacional com nível de proteção de dados pessoais equivalente ao do Brasil, assim reconhecido pela ANPD;
- quando forem utilizadas cláusulas contratuais específicas, previamente aprovadas pela ANPD; ou,
- quando forem utilizadas normas corporativas globais destinadas às transferências internacionais de dados entre organizações do mesmo grupo ou conglomerado de empresas, também previamente aprovadas pela ANPD.
Entretanto, até o momento, a ANPD não reconheceu nenhum país ou organismo com nível de proteção equivalente, tampouco aprovou cláusulas contratuais específicas ou normas corporativas globais que substituam as cláusulas-padrão.
Por que o prazo termina em 1 mês?
A Resolução CD/ANPD n. 19/2024 determinou que as cláusulas-padrão contratuais devem ser incorporadas aos contratos internacionais no prazo de 12 (doze) meses, contados da data de sua publicação — ou seja, até 23 de agosto de 2025.
Como saber quando há transferência internacional de dados pessoais?
Nos termos do art. 5º, inciso XV, da LGPD, considera-se transferência internacional de dados pessoais o envio de dados a país estrangeiro ou organismo internacional do qual o Brasil seja membro.
Casos comuns incluem:
- Contratação de serviços de nuvem com servidores no exterior (como AWS, Google Cloud e Microsoft Azure);
- Compartilhamento de dados com filiais, controladoras ou subsidiárias internacionais;
- Envio de informações a plataformas, fornecedores ou parceiros comerciais estrangeiros, incluindo gateways de pagamento.
Quem precisa se adequar?
A obrigatoriedade de adequação atinge todas as empresas que realizam transferência internacional de dados pessoais, como, por exemplo:
- Multinacionais que compartilham dados com unidades no exterior;
- Empresas que utilizam serviços de armazenamento ou processamento em nuvem sediados fora do Brasil;
- Plataformas digitais, e-commerces e marketplaces com parceiros, fornecedores ou processadores de pagamento no exterior.
Como se adequar?
A empresa deve seguir as seguintes etapas:
- Identificar os processos de tratamento de dados pessoais que envolvam transferência internacional;
- Verificar qual a base legal para a transferência, conforme o art. 33 da LGPD;
- Identificar os contratos relacionados com os processos de transferência internacional;
- Incorporar as cláusulas-padrão contratuais previstas na Resolução CD/ANPD n. 19/2024 até 23/08/2025, se for o caso, conforme análise jurídica;
- Identificar se deve solicitar à ANPD alternativas à utilização das cláusulas-padrão contratuais, como a aprovação de cláusulas contratuais específicas ou de normas corporativas globais.
Por que é importante?
A realização de transferência internacional de dados pessoais sem observar os regramentos vigentes constitui violação da LGPD, permitindo a aplicação de sanções administrativas, como multas de até 2% (dois por cento) do faturamento, sem prejuízo da responsabilização pelas perdas e danos causados.
Mais informações
A Moreno Moro Advogados está à disposição para fornecer maiores informações sobre o tema. Entre em contato pelo e-mail <contato@morenomoro.com.br>.