Transferência Internacional de Dados Pessoais: Alerta sobre o Prazo Fatal para Adequação Contratual à Resolução CD/ANPD nº 19/2024

Introdução

Com o avanço da regulamentação da proteção de dados no Brasil, especialmente no que se refere ao fluxo transfronteiriço de informações pessoais, as organizações precisam estar atentas às novas exigências da Autoridade Nacional de Proteção de Dados (ANPD). Em 23 de agosto de 2024, foi publicada a Resolução CD/ANPD nº 19/2024, que aprovou o Regulamento de Transferência Internacional de Dados Pessoais. Entre os diversos dispositivos normativos instituídos, destaca-se a obrigatoriedade de adequação contratual mediante a incorporação de cláusulas-padrão aprovadas pela ANPD, até o prazo fatal de 23 de agosto de 2025.

Essa medida busca assegurar que os dados pessoais transferidos do Brasil para outros países estejam protegidos mesmo quando o país de destino não possua legislação equivalente à Lei Geral de Proteção de Dados (LGPD). Diante disso, é fundamental que controladores e operadores revejam seus contratos e processos que envolvam transferências internacionais de dados.

Desenvolvimento

A Resolução CD/ANPD nº 19/2024 estabelece que os agentes de tratamento que se utilizam de cláusulas contratuais como base legal para a transferência internacional de dados pessoais deverão, obrigatoriamente, incorporar aos seus instrumentos jurídicos as cláusulas-padrão aprovadas pela ANPD até 23 de agosto de 2025.

Essas cláusulas-padrão têm como finalidade assegurar a conformidade com a LGPD, abordando temas fundamentais como os direitos dos titulares dos dados, as obrigações dos agentes de tratamento, medidas de segurança e mecanismos de fiscalização. A não incorporação desses dispositivos contratuais no prazo legal poderá configurar infração à legislação, ensejando a aplicação de sanções administrativas previstas nos artigos 52 e seguintes da LGPD.

Sujeição à obrigatoriedade

A exigência aplica-se a todos os controladores e operadores de dados pessoais estabelecidos no Brasil que realizem transferências internacionais com base em cláusulas contratuais. Abaixo, exemplificam-se algumas situações corriqueiras que requerem atenção quanto à adequação:

• Sociedades brasileiras que contratam serviços em nuvem de fornecedores internacionais (como AWS, Google Cloud ou Microsoft Azure) e realizam a transferência de dados pessoais para servidores fora do país;

  
  

• Plataformas de e-commerce, marketplace e/ou serviços online que tenham fornecedores, parceiros ou gateways de pagamento no exterior;

  
  

• Empresas multinacionais que compartilham dados de funcionários, clientes ou parceiros com suas matrizes ou filiais no exterior;

  
  

• Organizações que utilizam ferramentas de analytics, CRM, atendimento ao cliente ou marketing digital que armazenam ou processam dados fora do território nacional.

Importante ressaltar que a obrigatoriedade de adequação não se limita a grandes corporações. Pequenas e médias empresas, inclusindo startups e fintechs, também estão sujeitas às mesmas exigências sempre que realizarem transferência internacional de dados pessoais, ainda que de forma indireta, por meio de ferramentas tecnológicas terceirizadas.

Consequências da não adequação

A inobservância do prazo estabelecido para a adequação contratual poderá acarretar implicações severas, incluindo advertências, aplicação de multas, publicização da infração, bloqueio e até eliminação dos dados pessoais envolvidos na transferência irregular. Além disso, a ausência de instrumentos contratuais compatíveis com as exigências da ANPD compromete a segurança jurídica das operações internacionais e pode impactar negativamente a reputação da organização perante seus parceiros comerciais e consumidores.

Atuação recomendada e suporte jurídico

Considerando a complexidade e o tempo necessário para condução de um processo de revisão e renegociação contratual com parceiros internacionais, recomenda-se iniciar imediatamente os trabalhos de adequação. Para tanto, nossa equipe especializada encontra-se à disposição para oferecer suporte jurídico completo, abrangendo:

• Mapeamento e análise das transferências internacionais de dados realizadas pela organização;

  
  

• Avaliação da real necessidade de adequação contratual à luz das bases legais previstas na LGPD;

  
  

• Revisão dos contratos existentes e inclusão das cláusulas-padrão aprovadas pela ANPD;

  
  

• Elaboração de novos instrumentos contratuais, se necessário, com observância das exigências normativas;

  
  

• Capacitação e suporte jurídico contínuo sobre proteção de dados pessoais e regulamentações correlatas.

Conclusão

A entrada em vigor da Resolução CD/ANPD nº 19/2024 representa um marco importante na consolidação da governança de dados no Brasil, especialmente no que tange à conformidade das transferências internacionais. Diante do prazo fatal de 23 de agosto de 2025, é imprescindível que as organizações iniciem com urgência o processo de revisão contratual, a fim de evitar riscos jurídicos e operacionais relevantes.

Colocamo-nos à disposição para auxiliar sua organização a conduzir esse processo de forma segura, eficiente e plenamente alinhada às exigências da ANPD.