Art. 33. a transferência internacional de dados pessoais somente é permitida nos seguintes casos:

A Lei Geral de Proteção de Dados previu inúmeras regras específicas no que diz respeito ao tratamento de dados pessoais. Entre essas regras, está a necessidade de observância a normas e procedimentos relativos à transferência internacional de dados.

Considerando o atual estado das coisas, especialmente com o exponencial desenvolvimento e uso da internet, verifica-se a circulação de informações em grande escala e rapidez. Essas informações transitam pelos mais diversos espaços virtuais, transbordando fronteiras a todo o momento. 

Em razão desse aumento no volume e na agilidade dos intercâmbios de dados, e a necessidade de salvaguarda das informações pessoais dos indivíduos envolvidos nesses fluxos informacionais, é que a LGPD dedicou um capítulo exclusivo à transferência internacional de dados pessoais. 

O que é transferência internacional de dados pessoais?

De acordo com a lei de proteção de dados brasileira, considera-se transferência internacional de dados pessoais a “transferência de dados pessoais para país estrangeiro ou organismo internacional do qual o país seja membro”.

Porém, a transferência descrita na lei não pode ser realizada de forma indiscriminada. Pelo contrário, o controlador deve utilizar algum dos mecanismos previstos na LGPD que autorizam que seja realizada a transferência dos dados pessoais a outro país.

A LGPD deixa clara a obrigatoriedade de observância dos mecanismos elencados no seu artigo 33, ao prever expressamente que a transferência internacional de dados pessoais “somente é permitida” nos casos contemplados pela lei.

Como fazer a transferência internacional de dados

De acordo com a LGPD, os mecanismos de transferência são: (i) grau de proteção de dados pessoais adequados ao previsto no LGPD pelo país ou organismo envolvido na transferência; (ii) cláusulas contratuais específicas; (iii) cláusulas-padrão contratuais; (iv) normas corporativas globais; (v) selos, certificados e códigos de conduta regularmente emitidos; (vi) autorização pela autoridade nacional; (vii) compromisso assumido em acordo de cooperação internacional; (viii) consentimento específico; e quando necessária para (ix) cooperação jurídica internacional entre órgãos públicos de inteligência, de investigação e de persecução, de acordo com os instrumento de direito internacional; (x) proteção da vida ou incolumidade física do titular do dado ou de terceiro; (xi) execução de política pública ou atribuição legal do serviço público; e (xii) atender às hipóteses previstas nos incisos II, V e VI do artigo 7º da LGPD.

Não há relação de hierarquia entre os mecanismos previstos na LGPD, podendo ser escolhido pelo agente de tratamento aquele que entender mais apropriado em cada caso, de acordo com uma análise específica. 

Embora a lei tenha apresentado inúmeros mecanismos de transferência objetivando alcançar a proteção necessária ao trânsito internacional dos dados, sem gerar entraves ao seu fluxo, sucede que grande parte desses mecanismos dependem de regulamentação.

As normas legais estabelecem que compete a Autoridade Nacional de Proteção de Dados (ANPD) (i) avaliar o nível de proteção de dados do país estrangeiro ou do organismo internacional envolvido na transferência; (ii) definir o conteúdo das cláusulas-padrão contratuais; (iii) verificar as cláusulas contratuais específicas para determinada transferência; (iv) verificar as normas corporativas globais; e (v) verificar os selos, certificados e códigos de conduta.

Limbo regulatório

A situação poderia ser mais promissora caso a ANPD não tivesse estabelecido em sua agenda regulatória (Portaria n.º 11, 27 de janeiro de 2021), tornada pública em 28.01.2021, que a regulamentação dos mecanismos de transferência internacional de dados pessoais somente ocorreria em uma segunda fase (fase 2), com previsão de início do processo de regulamentação do tema apenas para o primeiro semestre de 2022, ou seja, quase dois anos após a entrada em vigor da lei.

Considerando que a regulamentação das transferências internacionais de dados pessoais não foi priorizada pela ANPD, os agentes de tratamento passaram a conviver, desde a vigência da lei, com a incerteza e a insegurança acerca do adequado cumprimento da LGPD quando das transferências internacionais realizadas. 

A questão que surgiu é como garantir, durante este período de limbo regulatório, a adoção, pelos agentes de tratamento, das precauções necessárias à realização de transferências internacionais de dados pessoais, em vista à proteção adequada desses dados?

Realizando uma breve análise de cada um desses mecanismos, é possível chegar à conclusão de que o uso do mecanismo relativo ao nível de proteção adequado, por exemplo, não é recomendado, uma vez que depende da ANPD a avaliação e publicação de informações acerca dos países e organismos internacionais que apresentam tal nível de adequação.

Análise dos mecanismos legais para transferência de dados

O consentimento, por sua vez, embora possível, pode gerar riscos ao negócio, tendo em vista a possibilidade de sua revogação a pedido do titular dos dados, e mesmo a eliminação desses dados, também quando solicitado pelo titular, conforme direitos legalmente previstos na LGPD. Portanto, deve haver uma avaliação cautelosa ao se optar pela sua utilização, observando-se tais pontos.

As cláusulas contratuais específicas, além de dependerem de verificação e aprovação por parte da ANPD, conforme prevê a LGPD, e não haver maiores informações na lei acerca de como ocorrerá essa análise por parte do órgão, devem ser utilizadas para “determinada transferência”, não servindo ao uso regular. Ainda, em caso de qualquer alteração, precisa haver a comunicação à ANPD para sua reavaliação. Esses fatores podem gerar entraves aos processos de transferência internacional de dados, ao menos enquanto não esclarecido como será realizado, e em que tempo o processo de aprovação e eventual reavaliação dessas cláusulas.

Já a transferência internacional realizada para o cumprimento de obrigação legal ou regulatória será possível apenas em hipóteses bastante específicas, isto é, quando de fato a transferência dos dados internacionalmente for necessária para o cumprimento de tais obrigações.

O mesmo pode ser dito em relação aos mecanismos da execução de contrato ou exercício regular de direitos em processo judicial, administrativo ou arbitral. Esses mecanismos não são para uso regular por parte dos controladores, já que o primeiro se aplica tão somente às hipóteses em que a transferência internacional for necessária para o cumprimento de um contrato entre o controlador e o titular dos dados, ou medidas contratuais preliminares solicitadas também pelo titular, e o segundo, apenas para exercício de direitos, podendo ser preparatórios (ex: investigações) e em processos.

As normas corporativas globais, por sua vez, apenas são cabíveis para os casos de transferência internacional de dados pessoais dentro de um mesmo Grupo Econômico, não sendo possível a sua utilização para contratos com terceiros. 

Quanto aos selos, certificados e códigos de conduta, não é possível cogitar de sua utilização neste momento, uma vez que ainda não existe e sua verificação e reconhecimento está a cargo da ANPD, que ainda não se manifestou a respeito.

Além dos mecanismos acima tratados, hipóteses como cooperação jurídica internacional, proteção da vida ou incolumidade física do titular do dado ou de terceiro, execução de políticas públicas, são bastante restritas a situações específicas, ficando relegadas apenas aos casos particulares nos quais se enquadram.

Da mesma forma, depender de autorização da ANPD para a transferência internacional de dados também poderia ocasionar entraves aos negócios, já que a LGPD não tratou da forma como será realizada essa avaliação, e ainda não se verificam diretrizes do órgão neste sentido.

A utilização do mecanismo do acordo de cooperação internacional, bastante específico, somente será cabível quando a transferência internacional dos dados decorrer de compromisso assumido em acordo de cooperação internacional.

Por fim, as cláusulas-padrão contratuais, que serão modelos de cláusulas-padrão disponibilizados pelo ANPD, bastante úteis para transferências regulares, ainda não foram publicadas pelo órgão, o que impossibilitaria a sua utilização.

Transferência internacional de dados: conclusão

Após a análise dos mecanismos legais, verifica-se que, para regular a transferência internacional de dados pessoais, a hipótese legal mais recomendável, ainda pendente das regulamentações necessárias, seria as cláusulas-padrão contratuais.

Porém, considerando o atual cenário legal e regulatório, resta aos agentes de tratamento, para se resguardar quanto ao atendimento à proteção adequada dos dados pessoais objeto de transferências internacionais, a celebração de contratos de tratamento de dados pessoais (Data Processing Agreement – DPA), com cláusula de transferência internacional de dados, por meio da qual as partes comprometem-se a adotar um dos mecanismos previstos no artigo 33 da LGPD até a edição das cláusulas-padrão contratuais (SCCs) pela ANPD. 

Alternativamente, há a possibilidade de tradução das SCCs publicadas pela Comissão Europeia, atualizadas em 2021, adaptando-as ao cenário nacional, conforme tem sido realizado por algumas empresas, adotando, assim, um comportamento mais conservador.

A LGPD, com os mecanismos de transferência internacional de dados pessoais, busca o equilíbrio entre a proteção dos dados pessoais e a continuidade dos fluxos internacionais desses dados de forma segura. Espera-se, portanto, que a ANPD não tarde muito a regulamentar esses relevantes pontos da lei, cruciais para muitas empresas, especialmente em um cenário extremamente globalizado e multiconectado.

Leia outro artigo dos autores: LGPD e os desafios do compliance de dados pessoais

* André Zonaro Giacchetta é sócio de Pinheiro Neto Advogados. Atua em litígios e consultivo relacionados ao mercado de tecnologia, com reconhecida expertise em temas de privacidade, proteção de dados e responsabilidade civil de plataformas de internet; atuação perante o STF em recursos com repercussão geral e audiências públicas de temas relevantes sobreTransferência Internacional de Dados Pessoais na LGPD tecnologia e relacionados; assim como perante órgãos reguladores e Ministério Público. Em mais de 20 anos de atuação, possui experiência acumulada com grandes emprTransferência Internacional de Dados Pessoais na LGPDesas internacionais e também nacionais de tecnologia, possibilitando uma visão multidisciplinar e ampla do segmento.

** Daniela Seadi Kessler é advogada e mestre em Direito pela UFRGS. Pós-graduada (L.L.M) em Direito dos Negócios pela UNISINOS. Professora convidada para ministrar aulas em cursos livres e cursos de Direito em universidades nacionais. Palestrante em eventos nacionais e internacionais. Coautora do livro Direito à Portabilidade na Lei Geral de Proteção de Dados.

Em quais casos é permitida a transferência internacional de dados pessoais?

Qual situação em que dados pessoais não podem ser transferidos?

São exemplos de atividades que podem envolver transferência internacional de dados?

Em quais hipóteses o tratamento de dados pessoais poderá ser realizado de acordo com a LGPD?