Transferência Internacional de Dados na LGPD: Regras e Mecanismos
Entenda as regras para transferência internacional de dados pessoais sob a LGPD, incluindo mecanismos permitidos e cuidados necessários.
Transferência Internacional de Dados: Navegando as Regras da LGPD#
Em um mundo digital globalizado, dados pessoais cruzam fronteiras constantemente — um e-mail enviado por servidor estrangeiro, dados armazenados em nuvem com servidores em outro continente, um serviço de CRM hospedado nos Estados Unidos. A LGPD (arts. 33 a 36) estabelece regras específicas para a transferência internacional de dados pessoais, buscando garantir que a proteção conferida pela lei brasileira não seja esvaziada pela remessa de dados a países com padrão de proteção inferior.
Ronaldo Lemos observa que a regulação da transferência internacional de dados é um dos temas mais complexos do Direito Digital contemporâneo, pois envolve soberania, comércio internacional, cooperação entre autoridades e a realidade técnica de uma internet sem fronteiras. Para empresas brasileiras que utilizam serviços globais — praticamente todas —, compreender essas regras é imperativo.
O Que Constitui Transferência Internacional#
Definição#
A LGPD não define expressamente o conceito, mas entende-se por transferência internacional qualquer operação em que dados pessoais são enviados ou tornados acessíveis a entidade localizada fora do território brasileiro:
- Armazenamento em nuvem com servidores no exterior (AWS, Google Cloud, Azure)
- Compartilhamento com subsidiárias, matrizes ou parceiros em outros países
- Uso de ferramentas SaaS com processamento em servidores estrangeiros (Salesforce, HubSpot, Slack)
- Subcontratação de operadores de dados localizados no exterior
- Acesso remoto a dados brasileiros por colaboradores em outros países
Relevância Prática#
A transferência internacional afeta virtualmente todas as empresas que utilizam serviços digitais globais. É raro encontrar uma empresa brasileira cujos dados não cruzem fronteiras em algum momento.
Mecanismos Permitidos pela LGPD (Art. 33)#
A LGPD prevê hipóteses específicas que autorizam a transferência:
I — Países com Nível Adequado de Proteção#
A transferência é permitida para países ou organismos internacionais que proporcionem grau de proteção de dados pessoais adequado ao previsto na LGPD. A ANPD é responsável por avaliar e publicar a lista de jurisdições com nível adequado.
Até o momento, a ANPD tem trabalhado na regulamentação desse mecanismo. A expectativa é que países com legislação robusta de proteção de dados (como os membros da UE, com o GDPR) sejam reconhecidos.
II — Garantias Oferecidas pelo Controlador#
Na ausência de decisão de adequação, o controlador pode demonstrar garantias suficientes:
- Cláusulas contratuais padrão (Standard Contractual Clauses — SCCs): cláusulas aprovadas pela ANPD que vinculam o importador de dados a obrigações equivalentes às da LGPD
- Normas corporativas globais (Binding Corporate Rules — BCRs): políticas internas de grupos empresariais multinacionais aprovadas pela ANPD
- Selos, certificados e códigos de conduta regularmente emitidos e reconhecidos
III — Consentimento Específico#
O titular pode consentir especificamente com a transferência, desde que:
- Seja informado sobre os riscos da transferência para país sem proteção adequada
- O consentimento seja destacado das demais finalidades
- Seja livre, informado e inequívoco
IV — Outras Hipóteses#
- Cooperação jurídica internacional entre órgãos públicos
- Proteção da vida ou incolumidade física do titular ou de terceiro
- Execução de política pública ou atribuição legal de serviço público
- Cumprimento de obrigação legal ou regulatória
- Execução de contrato quando a transferência é necessária
- Exercício regular de direitos em processo judicial, administrativo ou arbitral
Bruno Bioni destaca que a escolha do mecanismo de transferência deve considerar não apenas a conformidade legal, mas a viabilidade operacional e a capacidade de demonstrar accountability perante a ANPD.
Implementação Prática#
Mapeamento de Transferências#
O primeiro passo é identificar todas as transferências internacionais que a organização realiza:
- Inventarie todos os serviços e fornecedores que processam dados fora do Brasil
- Identifique para quais países os dados são transferidos
- Classifique os tipos de dados transferidos (comuns, sensíveis, de menores)
- Avalie a finalidade e a necessidade de cada transferência
- Documente no ROPA todas as transferências identificadas
Escolha do Mecanismo Adequado#
Para cada transferência identificada, selecione o mecanismo mais adequado:
- País com adequação reconhecida → transferência livre (quando a ANPD publicar a lista)
- Grupo empresarial multinacional → BCRs (se aprovadas pela ANPD)
- Contrato com fornecedor estrangeiro → cláusulas contratuais padrão (SCCs)
- Necessidade contratual → base legal de execução de contrato
- Ausência de alternativa → consentimento específico do titular
Cláusulas Contratuais Específicas#
Contratos com fornecedores estrangeiros que processam dados devem incluir:
- Obrigação de cumprimento de padrão de proteção equivalente à LGPD
- Medidas de segurança técnicas e organizacionais adequadas
- Limitação de finalidade: dados usados apenas para os fins contratados
- Direito de auditoria pelo controlador brasileiro
- Obrigação de notificação de incidentes de segurança
- Cooperação para atendimento de direitos dos titulares
- Devolução ou eliminação dos dados ao término do contrato
Patricia Peck enfatiza que a adequação contratual é necessária mas não suficiente — é preciso verificar se o fornecedor estrangeiro realmente cumpre as obrigações assumidas, através de auditorias e monitoramento.
Desafios Práticos#
Cloud Computing#
Praticamente toda empresa utiliza serviços de nuvem com componentes internacionais:
- Localização dos dados: verificar onde exatamente os dados são armazenados e processados
- Replicação: dados podem ser replicados em múltiplas regiões automaticamente
- Sub-processadores: o provedor de nuvem pode usar sub-processadores em outros países
- Leis locais: dados armazenados em servidores estrangeiros estão sujeitos à legislação local (ex.: CLOUD Act nos EUA)
Grupos Empresariais Multinacionais#
Empresas com operações em múltiplos países enfrentam complexidade adicional:
- Múltiplas legislações de proteção de dados (LGPD, GDPR, CCPA, etc.)
- Fluxos de dados complexos entre subsidiárias
- Governança centralizada vs. compliance local
- BCRs como solução integrada para o grupo
Startups e PMEs#
Empresas menores frequentemente utilizam ferramentas globais sem perceber as implicações:
- SaaS internacionais: e-mail marketing, CRM, analytics, armazenamento
- Muitas vezes sem avaliação da transferência internacional
- Recursos limitados para implementação de mecanismos robustos
Perspectivas Regulatórias#
A ANPD está em processo de regulamentação detalhada da transferência internacional:
- Lista de países com nível adequado de proteção (em elaboração)
- Cláusulas contratuais padrão aprovadas pela autoridade
- Regulamento de BCRs para grupos empresariais
- Orientações práticas para pequenas e médias empresas
Ricardo Campos observa que a posição do Brasil no cenário global de proteção de dados depende em parte da qualidade da regulamentação de transferência internacional. Uma regulamentação equilibrada facilita o comércio digital internacional sem comprometer a proteção dos titulares.
O Papel do Advogado#
O advogado que assessora empresas em transferência internacional de dados deve:
- Mapear todas as transferências existentes e suas bases legais
- Negociar cláusulas contratuais adequadas com fornecedores estrangeiros
- Avaliar a legislação de proteção de dados dos países de destino
- Implementar mecanismos de transferência conforme a regulamentação da ANPD
- Monitorar mudanças regulatórias que possam afetar transferências existentes
- Documentar todas as avaliações e decisões para fins de accountability
Perguntas Frequentes#
Usar serviços de nuvem como AWS ou Google Cloud constitui transferência internacional?#
Depende de onde os dados são efetivamente armazenados e processados. Se os servidores estão no Brasil (como a região São Paulo da AWS), pode não haver transferência internacional. Se os dados são processados em servidores no exterior, há transferência.
A empresa precisa de consentimento do titular para cada transferência internacional?#
Não necessariamente. O consentimento é apenas uma das bases legais. Se há outra hipótese aplicável (execução de contrato, obrigação legal, cláusulas contratuais padrão), o consentimento específico não é necessário.
O que acontece se a ANPD considerar que um país não tem nível adequado de proteção?#
Para transferências a esse país, será necessário utilizar outros mecanismos: cláusulas contratuais padrão, BCRs ou consentimento específico do titular com informação sobre os riscos.
A transferência internacional afeta apenas empresas grandes?#
Não. Qualquer empresa que use ferramentas digitais com componentes internacionais (e-mail, armazenamento em nuvem, CRM, analytics) pode estar realizando transferência internacional de dados, independentemente do porte.
Domine a transferência internacional de dados nos labs do Portal do Advogado.AI — cenários práticos de adequação com feedback especializado em proteção de dados.