Em agosto de 2024, foi aprovado pela Autoridade Nacional de Proteção de Dados (ANPD) o regulamento de transferência internacional de dados, tratando, finalmente, um dos temas mais esperados desde a aprovação da Lei Geral de Proteção de Dados Pessoais (LGPD).
Grande parte das empresas e organizações promove a transferência internacional de dados. Sejam em razão de pertencer a um grupo empresarial internacional, fazer negócios com empresas de outros países (contratando ou sendo contratada), ou mesmo por utilizar data centers instalados em outros países ou outros serviços fornecidos por empresas estrangeiras.
Com a aprovação do novo regulamento pela ANPD, mesmo as organizações que já possuem um programa de conformidade contínuo à LGPD precisarão mapear os pontos que precisarão ser adequados de acordo com as novas regras.
Entendendo as novas regras
A LGPD destina à transferência internacional de dados um capítulo com apenas quatro artigos, mas que já previa nove hipóteses em que seria permitido. No entanto, carecia de regulamentação as hipóteses que se mostram como as mais recorrentes, principalmente no mercado de empresas privadas.
Uma prática que já era adotada pelas empresas e que, na ausência de regulamentação pela ANPD, era muito inspirada nas práticas internacionais, era a utilização de cláusulas-padrão contratuais. No entanto, a própria LGPD previa que o conteúdo dessas cláusulas seria definido pela ANPD.
Eis que foram apresentadas as cláusulas-padrão contratuais definidas pela ANPD.
As organizações terão até 12 (doze) meses, contados da publicação da Resolução CD/ANPD nº 19/2024 (agosto de 2024), para incorporar as cláusulas-padrão contratuais aprovadas pela ANPD – caso seja essa a hipótese legal de transferência internacional de dados.
Entretanto, é importante destacar que as cláusulas-padrão fornecidas pela ANPD devem ser incorporadas sem nenhuma alteração ou modificação, Ainda, se o titular cujos dados pessoais sejam transferidos internacionalmente solicitar, o Controlador deverá disponibilizá-lo a íntegra das cláusulas-padrão utilizadas em até 15 (quinze) dias.
O Controlador deverá, também, publicar em sua página na internet documento com informações sobre a realização da transferência internacional de dados, incluindo, pelo menos, informações sobre a transferência internacional de dados – ou adicionar tais informações ao Aviso de Privacidade (ou Política de Privacidade).
Essas são indicações de pontos que deverão ser tratados pelas organizações, mas o Regulamento publicado pela ANPD, também prevê os critérios para reconhecer que outro país ou organismo internacional possua legislação com grau de proteção equivalente (o que serve como alternativa à adoção de cláusulas-padrão contratuais).
A ANPD poderá, também, reconhecer a adequação de cláusulas-padrão contratuais de outros países como equivalentes às nacionais, para que possam ser utilizadas como hipótese a justificar a transferência internacional de dados. Caso as cláusulas-padrão não possam ser utilizadas para viabilizar a transferência, excepcionalmente, a ANPD poderá aprovar cláusulas contratuais específicas, a pedido do Controlador.
Nos casos de transferência internacional entre empresas de um mesmo grupo, a ANPD poderá aprovar as normas corporativas globais para permitir o compartilhamento internacional dos dados pessoais.
Está na hora de promover a adequação
Antes de incorporar as cláusulas-padrão contratuais aprovadas pela ANPD, é importante entender o contexto da organização e verificar a estratégia adequada. Isso porque existem outras hipóteses em que a transferência internacional é permitida e que não dependem de regulamentação da ANPD.
Por isso, mapear os processos que envolvem transferência internacional de dados e identificar a mais adequada hipótese de permissão legal são as primeiras etapas a se concluir. Em seguida, se o caso, adotar as cláusulas adequadas, ou mesmo solicitar aprovação de cláusulas específicas ou normas corporativas globais junto à ANPD, serão atividades de extrema importância.
Ainda, é importante verificar se há necessidade de atualização do Aviso de Privacidade para fornecer informações referentes à transferência internacional de dados, nos termos da nova resolução da ANPD.
A Alves Oliveira possui experiência em matéria de proteção de dados pessoais em empresas pertencentes a grupos multinacionais ou com operações internacionais. Caso tenha qualquer dúvida a respeito de como se adequar às novas regras, nossa equipe estará disponível para conversar.
