A transferência internacional de dados pessoais é uma parte fundamental das operações globais e está regulamentada no Brasil pela Lei Geral de Proteção de Dados (LGPD). A LGPD estabelece diversas formas de autorizar essas transferências, como para países que oferecem um nível adequado de proteção, com cláusulas contratuais padrão (SCCs), regras corporativas globais, entre outros mecanismos. No dia 23 de agosto de 2024, a Autoridade Nacional de Proteção de Dados (ANPD) publicou a Resolução nº 19/2024 para regular alguns desses mecanismos, detalhando como as transferências podem ser realizadas de acordo com a lei brasileira.

A transferência internacional de dados ocorre quando uma entidade brasileira (exportadora) transfere dados pessoais para uma entidade estrangeira (importadora). Casos comuns incluem a contratação de prestadores de serviços no exterior ou quando uma empresa local terceiriza o processamento para uma empresa estrangeira. A resolução da ANPD também diferencia transferência internacional de coleta internacional de dados, sendo que esta última, apesar de envolver uma entidade estrangeira coletando dados no Brasil, não segue as mesmas regras de transferência internacional, embora a LGPD ainda se aplique.

Entre os mecanismos regulamentados pela Resolução nº 19/2024, estão as decisões de adequação, que permitem transferências de dados para países que a ANPD reconhece como tendo proteção equivalente à do Brasil, as cláusulas contratuais padrão (SCCs), que são cláusulas contratuais padronizadas que devem ser usadas em transferências para países sem proteção adequada. A resolução também prevê a possibilidade de reconhecimento de SCCs estrangeiras, normas corporativas globais e o uso de cláusulas contratuais específicas em casos excepcionais. No entanto, até o momento, nenhuma decisão de adequação ou cláusula contratual foi oficialmente aprovada pela ANPD.

Mecanismos como selos, certificados e códigos de conduta, bem como acordos de cooperação internacional, ainda não foram regulamentados pela ANPD. A Resolução nº 19/2024 não abordou esses mecanismos, deixando em aberto se eles devem ser usados como recursos complementares ou secundários em relação às cláusulas padrão ou decisões de adequação. A falta de regulamentação adicional sobre esses mecanismos gera incertezas sobre sua aplicação prática.

Por fim, a resolução destaca a importância da transparência, exigindo que os titulares de dados sejam informados sobre as transferências internacionais, incluindo os países de destino nas Políticas de Privacidade. Além disso, setores específicos, como o bancário, podem ter regulamentações adicionais. Para garantir a conformidade com a LGPD, as organizações devem avaliar cuidadosamente suas práticas de transferência de dados, adotar as medidas adequadas de segurança e acompanhar as mudanças nas regulamentações de proteção de dados.

Por: Alan Campos Thomaz, sócio do Campos Thomaz Advogados, escritório especializado em direito e tecnologia