A Autoridade Nacional de Proteção de Dados (ANPD) publicou, em 23 de agosto de 2024, a Resolução CD/ANPD nº 19, que aprova o Regulamento de Transferência Internacional de Dados e o conteúdo das cláusulas-padrão contratuais.
Quais são os impactos do novo Regulamento?
O novo Regulamento é aplicável tanto para transferências entre organizações de um mesmo grupo quanto para o compartilhamento de dados pessoais com outras organizações. Por exemplo, o uso de softwares e/ou serviços de hospedagem de dados no exterior, como armazenagem e processamento em nuvem.
Os agentes de tratamento de dados pessoais que realizam transferência internacional de dados pessoais precisarão implementar mecanismos específicos contratuais ou mecanismos pré-aprovados de governança.
O prazo para os agentes de tratamento adequarem seus mecanismos de transferência internacional ao Regulamento é de 12 meses.
Quando haverá transferência internacional de dados?
Haverá transferência internacional de dados quando o agente de tratamento (controlador ou operador) situado no Brasil transferir dados pessoais para país estrangeiro ou organismo internacional.
Não é considerada transferência internacional a coleta de dados pessoais do titular efetuada diretamente pelo agente de tratamento localizado no exterior.
Como realizar a transferência internacional de dados?
Os agentes de tratamento devem atualizar seu programa de governança e seus avisos de privacidade para garantir os direitos dos titulares.
Com a Resolução, é obrigatório adotar um dos mecanismos previstos na LGPD para permitir a transferência de dados para outras jurisdições, como as cláusulas-padrão contratuais (chamadas de Standard Contractual Clauses sob o Regulamento Geral de Proteção de Dados – GDPR).
A transferência internacional deverá ser amparada necessariamente em uma das bases legais previstas na Lei Geral de Proteção de Dados – LGPD e em um dos seguintes mecanismos:
- Decisão de adequação: a transferência poderá ser realizar para países ou organismos internacionais reconhecidos por decisão de adequação da ANPD, de acordo com os critérios previstos no Regulamento.
- Cláusulas-padrão contratuais: caso a transferência internacional seja realizada com base em cláusulas-padrão contratuais, os agentes de tratamento deverão utilizar o modelo previsto no Anexo II do Regulamento. Exceto pelo preenchimento dos campos correspondentes, com informações sobre as partes envolvidas e sobre a transferência, nenhuma alteração pode ser feita.
- Cláusulas contratuais específicas: caso comprove que a transferência internacional não pode ser feita por meio de cláusulas-padrão contratuais, o agente de tratamento poderá utilizar cláusulas contratuais específicas. Este mecanismo deve ser aprovado pela ANPD, nos termos do Regulamento.
- Normas corporativas globais: para transferência internacional entre organizações do mesmo grupo ou conglomerado, os agentes de tratamento poderão utilizar normas corporativas globais. Este mecanismo também deve ser aprovado pela ANPD, nos termos do Regulamento.
Além dos itens acima, a LGPD prevê outros mecanismos para transferência internacional que devem ser verificados caso a caso.
Quais direitos dos titulares devem ser garantidos?
De acordo com o Regulamento, o titular possui o direito de solicitar o acesso à íntegra das cláusulas utilizadas para transferência internacional de dados.
O Regulamento também prevê que o controlador deve publicar em sua página na Internet documento com linguagem simples, clara, precisa e acessível, incluindo:
- a forma, a duração e a finalidade específica da transferência internacional;
- o país de destino dos dados transferidos;
- a identificação e os contatos do controlador;
- o uso compartilhado de dados pelo controlador e a finalidade;
- as responsabilidades dos agentes de tratamento e as medidas de segurança adotadas; e
- os direitos do titular e os meios para o seu exercício.