Transferência Internacional de Dados: Cláusulas Padrao e Regulamento ANPD

---

title: "Transferência Internacional de Dados: Cláusulas Padrao e Regulamento ANPD" description: "Transferência Internacional de Dados: Cláusulas Padrao e Regulamento ANPD: guia completo e atualizado para advogados em 2026 com legislação, jurisprudência e aplicação prática." date: "2026-03-01" category: "Direito Digital" tags: ["direito digital", "tecnologia", "transferência internacional", "cláusulas padrao", "ANPD"] author: "BeansTech" readingTime: "14 min" published: true featured: false

A transferência internacional de dados pessoais é um tema central no Direito Digital, especialmente após a vigência da Lei Geral de Proteção de Dados (LGPD - Lei nº 13.709/2018). Com a globalização e a computação em nuvem, a remessa de informações para além das fronteiras brasileiras é uma realidade inafastável para a maioria das empresas, exigindo um arcabouço jurídico robusto e em conformidade com as diretrizes da Autoridade Nacional de Proteção de Dados (ANPD).

O Cenário da Transferência Internacional de Dados sob a LGPD

A LGPD, inspirada no Regulamento Geral sobre a Proteção de Dados (GDPR) europeu, estabelece regras rigorosas para a transferência internacional de dados. O objetivo primordial é garantir que os dados pessoais dos titulares no Brasil continuem protegidos com o mesmo nível de rigor, independentemente de onde sejam armazenados ou processados. O artigo 33 da LGPD elenca as hipóteses em que essa transferência é permitida, sendo a mais comum a utilização de cláusulas contratuais.

Antes da regulamentação específica pela ANPD, as empresas enfrentavam um cenário de incerteza jurídica, valendo-se muitas vezes de adaptações das cláusulas padrão europeias (Standard Contractual Clauses - SCCs) ou de interpretações extensivas dos demais incisos do artigo 33. A edição da Resolução CD/ANPD nº 19, de 23 de agosto de 2024, que aprovou o Regulamento de Transferência Internacional de Dados e as Cláusulas-Padrão Contratuais (CPC), representou um marco fundamental para a segurança jurídica nesse contexto.

As Hipóteses Legais de Transferência Internacional

O artigo 33 da LGPD prevê diversas bases legais para a transferência internacional, incluindo:

1. Países com grau de proteção adequado: Transferência para países ou organismos internacionais que proporcionem grau de proteção de dados pessoais adequado ao previsto na LGPD (Art. 33, I). A avaliação desse grau de adequação cabe à ANPD (Art. 34).
2. Garantias de cumprimento dos princípios e direitos: Quando o controlador comprovar garantias de cumprimento dos princípios, direitos do titular e regime de proteção de dados, por meio de:
   • Cláusulas contratuais específicas para determinada transferência (Art. 33, II, 'a').
   • Cláusulas-padrão contratuais (Art. 33, II, 'b').
   • Normas corporativas globais (Binding Corporate Rules - BCRs) (Art. 33, II, 'c').
   • Selos, certificados e códigos de conduta regularmente emitidos (Art. 33, II, 'd').
3. Cooperação jurídica internacional: Quando a transferência for necessária para a cooperação jurídica internacional entre órgãos públicos (Art. 33, III).
4. Proteção da vida ou incolumidade física: Quando for necessária para a proteção da vida ou da incolumidade física do titular ou de terceiro (Art. 33, IV).
5. Autorização da ANPD: Quando a ANPD autorizar a transferência (Art. 33, V).
6. Compromisso assumido em acordo internacional: Quando resultar de compromisso assumido em acordo de cooperação internacional (Art. 33, VI).
7. Execução de política pública ou atribuição legal: Quando necessária para a execução de política pública ou atribuição legal do serviço público (Art. 33, VII).
8. Consentimento específico e destacado: Quando o titular tiver fornecido o seu consentimento específico e em destaque para a transferência (Art. 33, VIII).
9. Cumprimento de obrigação legal ou regulatória, execução de contrato ou exercício regular de direitos: Quando necessário para o cumprimento de obrigação legal ou regulatória, a execução de contrato ou procedimentos preliminares, ou o exercício regular de direitos em processo judicial, administrativo ou arbitral (Art. 33, IX, c/c Art. 7º, II, V e VI).

O Regulamento de Transferência Internacional de Dados da ANPD (Resolução nº 19/2024)

A Resolução CD/ANPD nº 19/2024 trouxe a tão aguardada regulamentação do artigo 33, com foco especial nas Cláusulas-Padrão Contratuais (CPC) e nas Normas Corporativas Globais (BCRs). O regulamento detalha os procedimentos, requisitos e obrigações para a utilização desses mecanismos.

As Cláusulas-Padrão Contratuais (CPC)

As CPCs, aprovadas como anexo à Resolução nº 19/2024, são modelos de contratos preestabelecidos pela ANPD que garantem o cumprimento das exigências da LGPD na transferência internacional. Elas estabelecem obrigações para o exportador (entidade no Brasil) e para o importador (entidade no exterior) dos dados.

A utilização das CPCs oferece uma presunção de conformidade com a LGPD, facilitando significativamente o processo para as empresas. No entanto, é fundamental compreender que a simples assinatura das cláusulas não é suficiente. As partes devem garantir que as disposições contratuais sejam efetivamente cumpridas na prática.

Estrutura e Obrigações nas CPCs

As CPCs abordam diversos aspectos cruciais, tais como:

• Obrigações do Exportador e do Importador: Definição clara dos papéis e responsabilidades de cada parte em relação ao tratamento dos dados, incluindo medidas de segurança, notificação de incidentes e atendimento aos direitos dos titulares.
• Direitos dos Titulares: Garantia de que os titulares poderão exercer seus direitos (acesso, retificação, exclusão, etc.) perante o exportador e o importador, inclusive prevendo a possibilidade de o titular acionar diretamente o importador em determinadas situações (cláusula de terceiro beneficiário).
• Medidas de Segurança: Exigência de implementação de medidas técnicas e administrativas adequadas para proteger os dados contra acessos não autorizados e situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão.
• Suboperadores: Regras para a contratação de suboperadores pelo importador, exigindo a anuência do exportador e a assinatura de contratos que imponham as mesmas obrigações de proteção de dados.
• Leis Locais do Importador: Obrigação de avaliar se as leis do país de destino afetam negativamente a eficácia das CPCs e, em caso afirmativo, a adoção de medidas suplementares (técnicas, organizacionais ou contratuais) para mitigar os riscos.

Adaptação e Prazo de Transição

Um dos pontos mais importantes da Resolução nº 19/2024 é o estabelecimento de um prazo de transição. Os agentes de tratamento que já realizavam transferências internacionais com base em cláusulas contratuais próprias antes da publicação do regulamento têm o prazo de até 12 (doze) meses, contados da data de publicação (23/08/2024), para substituir os instrumentos contratuais existentes pelas Cláusulas-Padrão Contratuais aprovadas pela ANPD.

Isso significa que as empresas têm até agosto de 2025 para revisar seus contratos e garantir a conformidade com o novo modelo, sob pena de infração à LGPD.

Outros Mecanismos de Transferência

Embora as CPCs sejam o mecanismo mais comum, a Resolução da ANPD também aborda outras formas previstas no artigo 33 da LGPD.

Normas Corporativas Globais (Binding Corporate Rules - BCRs)

As BCRs são regras internas adotadas por empresas do mesmo grupo econômico para reger as transferências internacionais de dados entre elas. Para serem válidas, as BCRs devem ser submetidas à aprovação prévia da ANPD. O regulamento estabelece os requisitos mínimos que as BCRs devem conter, como a estrutura do grupo, a descrição das transferências, os princípios de proteção de dados aplicáveis e os mecanismos de conformidade.

As BCRs são um mecanismo complexo e custoso de implementar, sendo geralmente utilizadas por grandes conglomerados multinacionais que realizam transferências de dados em larga escala e de forma contínua entre suas filiais.

Cláusulas Contratuais Específicas

A ANPD também pode aprovar cláusulas contratuais específicas para uma determinada transferência, caso a caso. Essa opção é menos comum, pois exige um processo de análise individualizado pela Autoridade, sendo mais indicada para situações excepcionais que não se enquadrem nas CPCs ou nas BCRs.

Desafios Práticos e Recomendações

A implementação das regras de transferência internacional exige um esforço significativo por parte das empresas e de seus assessores jurídicos. Alguns dos principais desafios incluem:

1. Mapeamento de Dados: É essencial ter um mapeamento completo e atualizado de todos os fluxos de dados, identificando quais dados são transferidos para o exterior, para quais países, para quais entidades (importadores) e com qual finalidade.
2. Avaliação de Impacto e Riscos: Antes de realizar a transferência, é recomendável realizar uma avaliação dos riscos envolvidos, considerando o país de destino, a natureza dos dados e as medidas de segurança adotadas.
3. Revisão Contratual: A revisão de todos os contratos existentes que envolvam transferência internacional de dados para adequação às CPCs da ANPD até o prazo limite (agosto de 2025).
4. Monitoramento Contínuo: A conformidade com as regras de transferência internacional não é um evento único, mas um processo contínuo que exige monitoramento e atualização constante.