A Autoridade Nacional de Proteção de Dados (ANPD) publicou, em 23 de agosto de 2024, a Resolução CD/ANPD nº 19/2024 ("Resolução"), aprovando o Regulamento de Transferência Internacional de Dados ("Regulamento").
A transferência internacional de dados pessoais está prevista na Lei nº 13.709/2018 (a "LGPD"), como "transferência de dados pessoais para país estrangeiro ou organismo internacional do qual o país seja membro".
Segundo a LGPD, a transferência internacional de dados pessoais somente é permitida nos seguintes casos:
(i) para países ou organismos internacionais que proporcionem grau de proteção de dados pessoais adequado ao previsto LGPD;
(ii) quando o controlador oferecer e comprovar garantias de cumprimento dos princípios, dos direitos do titular e do regime de proteção de dados previstos na LGPD, na forma de (a) cláusulas contratuais específicas para determinada transferência; (b) cláusulas-padrão contratuais; (c) normas corporativas globais; (d) selos, certificados e códigos de conduta regularmente emitidos;
(iii) quando a transferência for necessária para a cooperação jurídica internacional entre órgãos públicos de inteligência, de investigação e de persecução, de acordo com os instrumentos de direito internacional;
(iv) quando a transferência for necessária para a proteção da vida ou da incolumidade física do titular ou de terceiro;
(v) quando a autoridade nacional autorizar a transferência;
(vi) quando a transferência resultar em compromisso assumido em acordo de cooperação internacional;
(vii) quando a transferência for necessária para a execução de política pública ou atribuição legal do serviço público, sendo dada publicidade nos termos da LGPD;
(viii) quando o titular tiver fornecido o seu consentimento específico e em destaque para a transferência, com informação prévia sobre o caráter internacional da operação, distinguindo claramente esta de outras finalidades; ou
(ix) quando necessário para atender hipóteses específicas previstas na LGPD, tais como para o cumprimento de obrigação legal ou regulatória pelo controlador, quando necessário para a execução de contrato ou de procedimentos preliminares relacionados a contrato do qual seja parte o titular, a pedido do titular dos dados e para o exercício regular de direitos em processo judicial, administrativo ou arbitral, nos termos da lei de arbitragem.
Nos termos do Regulamento, os agentes de tratamento que utilizam cláusulas contratuais para realizar transferências internacionais de dados deverão incorporar cláusulas-padrão contratuais aprovadas pela ANPD aos seus respectivos instrumentos contratuais, no prazo de até 12 meses, contados da data de publicação da Resolução.
Diversas diretrizes para a transferência internacional de dados pessoais são incorporadas ao Regulamento, tais como a garantia de cumprimento dos direitos do titular dos dados na forma prevista na legislação nacional, adoção de procedimentos compatíveis com normas e boas práticas internacionais, promoção do desenvolvimento social, econômico e tecnológico, com observância aos direitos dos titulares, responsabilização e prestação de contas.
Diversas medidas visando garantir a transparência na transferência e adoção de medidas de prevenção e segurança são exemplificadas no Regulamento.
Para que seja garantida a observância das diretrizes e procedimentos necessários, o Regulamento reitera que cabe ao controlador verificar se a operação se caracteriza transferência internacional de dados e se está amparada em hipótese legal e em mecanismo de transferência internacional válidos.
Não obstante, o operador prestará auxílio ao controlador mediante o fornecimento das informações necessárias.
Nota-se que a transferência internacional de dados não se confunde com a coleta internacional de dados, nos casos em que o tratamento de dados não está abarcado pela LGPD (provenientes de fora do território nacional e que não sejam objeto de comunicação, uso compartilhado de dados com agentes de tratamento brasileiros ou objeto de transferência internacional de dados com outro país que não o de proveniência, desde que o país de proveniência proporcione grau de proteção de dados pessoais adequado ao previsto na LGPD).
A transferência internacional de dados somente poderá ser realizada para atender a propósitos legítimos, específicos, explícitos e informados ao titular, sem possibilidade de tratamento posterior de forma incompatível com essas finalidades, e desde que amparada em hipóteses legais e mecanismos válidos, tais como mediante a inserção de cláusulas-padrão contratuais, normas corporativas globais e para países ou organismos internacionais com proteção adequada, conforme decisão emitida pela ANPD e conforme padrões trazidos pelo próprio Regulamento.
As cláusulas-padrão contratuais, assim como cláusulas específicas e normas corporativas globais podem ser consultadas no seguinte link, que traz o texto integral do Regulamento: https://www.in.gov.br/en/web/dou/-/resolucao-cd/anpd-n-19-de-23-de-agosto-de-2024-580095396.