II. A Lei Geral de Proteção de Dados Brasileira (LGPD)

II.F Transferência Internacional de dados

Faixa publicada pela IAPP para este tópico: 3 a 5 itens.

II.F Transferência Internacional de dados

O que este tópico cobre

O corpo de conhecimento cobre a definição de transferência internacional, as hipóteses de autorização, os instrumentos contratuais, o papel da autoridade e a articulação com contratos de operador em nuvem.

As disposições que governam o tema

A LGPD define transferência internacional como a transferência de dados pessoais para país estrangeiro ou organismo internacional do qual o país seja membro. O art. 33 admite a transferência: para países ou organismos internacionais que proporcionem grau de proteção de dados pessoais adequado ao previsto na lei; quando o controlador oferecer e comprovar garantias de cumprimento dos princípios, dos direitos do titular e do regime de proteção de dados previstos na lei, na forma de cláusulas contratuais específicas para determinada transferência, cláusulas padrão contratuais, normas corporativas globais ou selos, certificados e códigos de conduta regularmente emitidos; quando a transferência for necessária para a cooperação jurídica internacional entre órgãos públicos de inteligência, de investigação e de persecução, de acordo com os instrumentos de direito internacional; quando necessária para a proteção da vida ou da incolumidade física do titular ou de terceiro; quando a autoridade nacional autorizar a transferência; quando resultar em compromisso assumido em acordo de cooperação internacional; quando necessária para a execução de política pública ou atribuição legal do serviço público; quando o titular tiver fornecido o seu consentimento específico e em destaque para a transferência, com informação prévia sobre o caráter internacional da operação, distinguindo claramente esta de outras finalidades; e quando necessário para atender às demais hipóteses de cumprimento de obrigação legal, execução de contrato e exercício regular de direitos.

A ANPD regulamentou o tema pela Resolução CD/ANPD nº 19, de 2024, que trata das transferências internacionais e aprovou o conteúdo das cláusulas contratuais padrão, além de disciplinar cláusulas específicas e normas corporativas globais. A avaliação de adequação de um país compete à autoridade nacional, que considera, entre outros elementos, as normas gerais e setoriais da legislação em vigor no país de destino, a natureza dos dados, a existência de garantias judiciais e institucionais e as medidas de segurança aplicáveis.

Onde os candidatos erram

O primeiro erro é achar que o consentimento resolve qualquer transferência. Ele é hipótese válida, mas exige consentimento específico e em destaque, com informação prévia sobre o caráter internacional, distinto de outras finalidades. Um consentimento genérico de política de privacidade não cumpre isso.

O segundo é confundir localização de servidor com transferência. Se o dado permanece acessível a partir do exterior por um operador estrangeiro, há tratamento com elemento internacional, mesmo que o disco esteja no Brasil. O inverso também vale: nem toda hospedagem no exterior está proibida.

O terceiro é supor que existe uma lista pronta de países adequados. A adequação depende de decisão da autoridade, e o candidato não deve presumir o resultado dessa avaliação para nenhum país específico.

O que verificar

Verifica-se para onde os dados efetivamente vão, incluindo subcontratados do operador, qual instrumento sustenta cada fluxo e se as cláusulas usadas correspondem às aprovadas pela autoridade. Verifica-se se a informação ao titular menciona o caráter internacional. E verifica-se se o contrato prevê o que acontece com os dados no encerramento do serviço.

Praticar questões de LGPD

CDPO/BR e CIPM são marcas da International Association of Privacy Professionals. A LGPD é lei brasileira e não é produto da IAPP. A Privacy Prep não tem vínculo com a IAPP. Este material é de estudo e não é consultoria jurídica.