Por Henrique Zalaf
Empresas têm até 23 de agosto de 2025 para revisar e adaptar seus contratos que envolvam transferências internacionais de dados pessoais, a fim de incorporar obrigatoriamente as cláusulas-padrão contratuais aprovadas pela ANPD. O prazo foi estabelecido pela Resolução CD/ANPD nº 19, de 23 de agosto de 2024, que regulamenta o conteúdo dessas cláusulas e define procedimentos e regras aplicáveis às operações transfronteiriças de tratamento de dados.
A transferência internacional de dados, prevista na Lei nº 13.709/2018 (Lei Geral de Proteção de Dados – LGPD), consiste no envio ou disponibilização de dados pessoais para outro país ou organismo internacional, abrangendo situações como armazenamento em servidores estrangeiros, processamento por prestadores de serviços externos ou compartilhamento de informações com empresas de outros países. Essa prática é inerente ao cenário econômico globalizado, em que cadeias de fornecimento e infraestrutura tecnológica frequentemente ultrapassam fronteiras nacionais.
A Resolução nº 19 estabelece que tais transferências podem ocorrer: (i) para países ou organismos internacionais reconhecidos pela ANPD como dotados de nível de proteção adequado; ou (ii) quando o controlador demonstrar garantias de cumprimento dos princípios e direitos previstos na LGPD, utilizando para isso cláusulas contratuais específicas, cláusulas-padrão contratuais ou normas corporativas globais. Essa regulamentação busca equilibrar a proteção dos titulares de dados com a fluidez necessária às relações econômicas internacionais.
A exigência de adoção das cláusulas-padrão contratuais traz impactos relevantes. Esses instrumentos, previamente aprovados pela ANPD, estabelecem um padrão mínimo de obrigações, responsabilidades e medidas de segurança a serem observadas por exportadores e importadores de dados. Além de promover maior segurança jurídica, a padronização facilita a fiscalização e garante que os direitos dos titulares sejam preservados mesmo em jurisdições com níveis de proteção distintos.
Com o prazo de adequação se encerrando em agosto de 2025, as organizações devem iniciar, com antecedência, o mapeamento de seus fluxos internacionais de dados e a revisão dos instrumentos contratuais.
Será necessário identificar operações que utilizem cláusulas contratuais como base jurídica e substituí-las ou complementá-las pelas cláusulas-padrão da ANPD, observando também a implementação efetiva das medidas técnicas e organizacionais previstas. O descumprimento do prazo pode ensejar a aplicação de sanções previstas na LGPD, como advertências, multas e suspensão do tratamento.
A Resolução CD/ANPD nº 19 representa um avanço no alinhamento do Brasil a padrões globais de proteção de dados, aproximando-se de modelos consagrados como o Regulamento Geral de Proteção de Dados da União Europeia (GDPR). O empresário deverá manter atenção redobrada aos prazos e exigências da Resolução, a fim de evitar a incidência das sanções previstas na LGPD, que incluem desde advertências e multas expressivas até a suspensão das atividades de tratamento de dados pessoais.