Os agentes de tratamento têm até agosto de 2025 para adequar os contratos às cláusulas-padrão sobre a transferência internacional de dados pessoais, aprovadas pela ANPD na Resolução 19/2024. Essas transferências ocorrem quando um agente de tratamento no Brasil (exportador) transmite, compartilha ou disponibiliza acesso a dados pessoais coletados no território nacional a outro agente localizado no exterior (importador), como no uso de serviços de nuvem com servidores fora do país.

O que a Resolução ANPD 19/2024 regulamenta?

A Resolução define os mecanismos autorizados para a transferência, como cláusulas-padrão contratuais, cláusulas específicas e normas corporativas globais, além de disciplinar critérios para o reconhecimento de países e organismos internacionais com grau de proteção adequado, questão ainda não endereçada pela ANDP.

Para dar segurança jurídica ao tema, a resolução estabelece regras para a transferência internacional em duas situações:

• Quando os dados forem enviados para países com nível de proteção considerado adequado pela ANPD;
• Quando a empresa garantir o cumprimento dos princípios, direitos e do regime de proteção de dados previsto na LGPD.

Quais são os requisitos para a transferência internacional de dados pessoais?

A Resolução 19 prevê mecanismos para permitir a transferência internacional de dados:

• Normas corporativas globais (Binding Corporate Rules): principal caminho para grupos econômicos internacionais, as BCRs devem estar vinculadas a um programa de governança em privacidade que atenda aos requisitos da LGPD e conter, entre outros:
  • descrição detalhada das transferências e das categorias de dados pessoais envolvidas;
  • identificação dos países de destino;
  • estrutura e responsabilidades do grupo econômico;
  • regras para revisão das normas e comunicação obrigatória à ANPD em caso de alterações ou impedimentos legais em algum país do grupo.

Essas normas devem ser submetidas e aprovadas pela ANPD até agosto de 2025.

• Cláusulas contratuais específicas: aplicáveis quando os modelos-padrão não se adequam a determinados casos, exigindo análise e aprovação pela ANPD até agosto de 2025;
• Cláusulas-padrão contratuais: exigências mínimas propostas pela ANPD a serem incluídas em contratos que envolvam transferência de dados;
• Dever de transparência: além das cláusulas contratuais, as empresas que realizam transferência internacional deverão publicar, no site institucional e em língua portuguesa, um documento claro e acessível ao público com informações como a forma, duração e finalidade específica da transferência, o país de destino dos dados e a identificação e contatos do controlador.

Ações necessárias para adequação

• Mapear todas as transferências internacionais de dados realizadas;
• Verificar a base legal utilizada para cada transferência (contrato, adequação, consentimento);
• Revisar e/ou elaborar normas corporativas globais entre organizações de mesmo grupo de empresas ou cláusulas específicas de transferência internacional de dados com parceiros;
• Submeter cláusulas específicas ou normas corporativas globais para aprovação, se for o caso.