Em 23 de agosto de 2024, a Autoridade Nacional de Prote\u00e7\u00e3o de Dados (\u201cANPD\u201d) publicou a Resolu\u00e7\u00e3o n\u00ba 19, que aprovou o Regulamento de Transfer\u00eancia Internacional de Dados, no qual s\u00e3o estabelecidos os procedimentos e regras das opera\u00e7\u00f5es de transfer\u00eancia internacional de dados e o conte\u00fado das cl\u00e1usulas-padr\u00e3o contratuais, conforme previsto na Lei Geral de Prote\u00e7\u00e3o de Dados brasileira (Lei Federal n\u00ba 13.709\/2018 \u2013 \u201cLGPD\u201d).<\/p>\n
Tal Regulamento prev\u00ea as diretrizes para a transfer\u00eancia internacional de dados para pa\u00edses ou organismos internacionais com grau de prote\u00e7\u00e3o de dados pessoais adequado ao previsto na LGPD, desde que a adequa\u00e7\u00e3o seja reconhecida pela ANPD, ou quando o controlador comprovar garantias de cumprimento da LGPD na forma de cl\u00e1usulas contratuais ou normas corporativas globais. No entanto, o Regulamento n\u00e3o exclui a possibilidade da realiza\u00e7\u00e3o de transfer\u00eancia internacional de dados com base nos demais mecanismos previstos no art. 33 da LGPD, tais como selos, certificados e c\u00f3digos de conduta emitidos regularmente, uma vez que as especificidades do caso concreto e os requisitos legais aplic\u00e1veis sejam observados.<\/p>\n
Especificamente sobre as cl\u00e1usulas-padr\u00e3o contratuais, a ANPD elaborou e aprovou um modelo de cl\u00e1usulas de acordo com a LGPD, que pode integrar um contrato celebrado para reger, de forma espec\u00edfica, sobre transfer\u00eancia internacional de dados, ou um contrato com objeto mais amplo, inclusive mediante assinatura de termo aditivo pelo importador e pelo exportador envolvidos na opera\u00e7\u00e3o (como documento anexo ao contrato geral assinado pelas partes).<\/p>\n
Por\u00e9m, para que esse mecanismo seja v\u00e1lido, \u00e9 necess\u00e1rio que o modelo da ANPD seja utilizado integralmente, sem quaisquer altera\u00e7\u00f5es. O Regulamento estipula, ainda, um prazo de 12 meses, a contar da publica\u00e7\u00e3o do Regulamento, para que as empresas que utilizam as cl\u00e1usulas-padr\u00e3o contratuais ajustem seus contratos a esse novo modelo de cl\u00e1usula.<\/p>\n
Com o intuito de preservar a publicidade, o controlador dever\u00e1 disponibilizar em at\u00e9 15 (quinze) dias ao titular de dados, quando solicitado, a \u00edntegra das cl\u00e1usulas utilizadas para a transfer\u00eancia, sendo respeitados os segredos comercial e industrial. Em paralelo, o controlador tamb\u00e9m dever\u00e1 publicar em seu site documento contendo as informa\u00e7\u00f5es, em portugu\u00eas, sobre a realiza\u00e7\u00e3o de transfer\u00eancia internacional de dados, incluindo, por exemplo, o pa\u00eds de destino dos dados transferidos e a identifica\u00e7\u00e3o e os contatos do controlador, dentre outras informa\u00e7\u00f5es previstas no Regulamento. Alternativamente, tal documento pode ser integrado, de forma destacada e de f\u00e1cil acesso, \u00e0 Pol\u00edtica de Privacidade ou a um instrumento equivalente.<\/p>\n
Ademais, importante destacar que a ANPD poder\u00e1 reconhecer a equival\u00eancia de cl\u00e1usulas-padr\u00e3o contratuais provenientes de outros pa\u00edses ou organismos com as cl\u00e1usulas-padr\u00e3o elaborados pela ANPD por meio de um procedimento que poder\u00e1 ser instaurado por decis\u00e3o do Conselho Diretor, de of\u00edcio, ou a requerimento dos interessados.<\/p>\n
Tamb\u00e9m ser\u00e1 permitido aos controladores solicitarem \u00e0 ANPD a aprova\u00e7\u00e3o de cl\u00e1usulas contratuais espec\u00edficas para realizar a transfer\u00eancia internacional de dados, conforme procedimento previsto no Regulamento, por\u00e9m somente nos casos em que n\u00e3o seja poss\u00edvel utilizar as cl\u00e1usulas-padr\u00e3o contratuais.<\/p>\n
As decis\u00f5es da ANPD referentes ao Regulamento, tais como sobre as cl\u00e1usulas-padr\u00e3o contratuais que s\u00e3o consideradas equivalentes e sobre a adequa\u00e7\u00e3o dos pa\u00edses, ser\u00e3o aprovadas por resolu\u00e7\u00e3o do Conselho Diretor e publicadas no site oficial da ANPD.<\/p>\n
Em rela\u00e7\u00e3o \u00e0s normas corporativas globais, o Regulamento estabelece os requisitos e o procedimento de aprova\u00e7\u00e3o de tais normas que podem ser utilizadas para autorizar as transfer\u00eancias internacionais de dados entre organiza\u00e7\u00f5es do mesmo grupo ou conglomerado de empresas, as quais t\u00eam car\u00e1ter vinculante em rela\u00e7\u00e3o aos membros do grupo que as subscreverem. Essas normas dever\u00e3o estar vinculadas \u00e0 implementa\u00e7\u00e3o de programa de governan\u00e7a em prote\u00e7\u00e3o de dados em conformidade com a LGPD, bem como observar os requisitos m\u00ednimos previstos no Regulamento, tais como a descri\u00e7\u00e3o das transfer\u00eancias internacionais de dados para as quais o instrumento se aplica, incluindo as categorias de dados pessoais, a opera\u00e7\u00e3o de tratamento e suas finalidades, a hip\u00f3tese legal e os tipos de titulares de dados.<\/p>\n
Por fim, a transfer\u00eancia internacional de dados somente poder\u00e1 ser realizada para atender a prop\u00f3sitos leg\u00edtimos, espec\u00edficos, expl\u00edcitos e informados ao titular, sem possibilidade de tratamento posterior de forma incompat\u00edvel com essas finalidades, al\u00e9m de se basear em uma das hip\u00f3teses legais previstas nos artigos 7\u00ba e 11 da LGPD. Nesse sentido, o Regulamento prev\u00ea a responsabilidade do controlador de verificar essas quest\u00f5es e se a opera\u00e7\u00e3o de tratamento caracteriza uma transfer\u00eancia internacional de dados, sem preju\u00edzo do dever do operador de auxiliar o controlador fornecendo as informa\u00e7\u00f5es necess\u00e1rias sobre o assunto.<\/p>\n