O que fazer após o prazo final para adoção das cláusulas-padrão contratuais de transferências internacionais de dados pessoais?
Com a publicação do Regulamento de Transferência Internacional de Dados ("Regulamento") e do conteúdo das cláusulas-padrão contratuais através da Resolução CD/ANPD nº 19/2024 ("Resolução"), a Autoridade Nacional de Proteção de Dados ("ANPD") estabeleceu um marco definitivo para as transferências internacionais de dados pessoais: até 23 de agosto de 2025, todos os agentes de tratamento que utilizam cláusulas-padrão contratuais em transferências internacionais deverão ter incorporado, em seus contratos, a minuta aprovada pela ANPD e que consta no Anexo II da Resolução.
Esse prazo é improrrogável e, após essa data, transferências internacionais de dados pessoais sem as cláusulas-padrão contratuais aprovadas poderão ser consideradas irregulares quando forem o mecanismo de transferência selecionado para amparar a transferência, sujeitando as organizações que não se adequaram a sanções administrativas e riscos reputacionais.
Por que sua organização deve se adequar?
A inclusão das cláusulas-padrão contratuais não é apenas uma obrigação regulatória, mas um diferencial competitivo e um pilar de confiança junto a clientes, parceiros e titulares de dados. O processo, no entanto, envolve decisões estratégicas e operacionais que merecem atenção especial.
Principais pontos de atenção – Você já refletiu sobre essas questões?
Seus fluxos de dados internacionais estão devidamente mapeados?
Quais dados pessoais sua organização transfere para o exterior? Para quais países e com quais finalidades?
Todos os contratos com fornecedores, parceiros, terceiros ou com outras organizações do grupo no exterior já foram revisados para a apuração da necessidade de adequação?
As cláusulas-padrão contratuais estão sendo adotadas de forma integral e sem alterações?
Os contratos contemplam o texto integral das cláusulas-padrão contratuais aprovadas pela ANPD, sem modificações ou exclusões?
Há cláusulas adicionais ou anexos que, mesmo indiretamente, possam contrariar ou limitar as obrigações previstas nas cláusulas-padrão contratuais?
Como sua organização está tratando eventuais transferências posteriores ("onward transfers")?
O importador de dados pessoais está autorizado a realizar transferências para terceiros? Em caso afirmativo, as condições e salvaguardas estão claramente documentadas e são compatíveis com as exigências da ANPD?
Existe controle e rastreabilidade sobre essas transferências de dados pessoais subsequentes?
As responsabilidades entre exportador e importador estão claramente definidas?
Quem será o controlador responsável por publicar informações da transferência, atender solicitações de titulares e comunicar incidentes de segurança?
Em contratos envolvendo operadores, as instruções do controlador estão formalizadas e as obrigações de assistência mútua estão claras?
As medidas de transparência adequadas estão implementadas?
O site da organização já disponibiliza, em português e com linguagem acessível, todas as informações exigidas sobre as transferências internacionais realizadas?
Existe um canal eficiente para que titulares solicitem cópia das cláusulas-padrão contratuais e exerçam seus direitos?
Como sua organização está lidando com dados pessoais sensíveis, de crianças e adolescentes?
Foram adotadas salvaguardas adicionais para esses dados pessoais, conforme exigido pelas cláusulas-padrão contratuais?
O tratamento desses dados pessoais está alinhado ao melhor interesse do titular e às demais normas aplicáveis?
A legislação do país de destino pode impedir o cumprimento de alguma das obrigações contratuais estabelecidas pelas cláusulas-padrão contratuais?
O importador realizou análise das leis locais para identificar possíveis conflitos com as obrigações assumidas nas cláusulas-padrão contratuais?
Em caso de mudanças legislativas, existe um procedimento para notificação e revisão contratual?
Sua organização está preparada para responder a requisições da disponibilização das cláusulas utilizadas para a realização da transferência internacional em até 15 dias?
Os processos internos garantem o atendimento tempestivo das demandas, inclusive em diferentes fusos horários e idiomas?
As evidências de atendimento nos moldes legais estão registradas caso requisitadas pela ANPD?
Há documentação robusta para demonstrar conformidade?
Sua organização mantém registros das avaliações de risco e as justificativas das decisões relacionadas às transferências internacionais?
Já considerou a realização de um Transfer Impact Assessment (TIA) para fortalecer a governança e mitigar riscos, mesmo não sendo obrigatório no Brasil?
Como sua organização está se preparando para possíveis investigações, monitoramentos e processos administrativos iniciados pela ANPD?
Os contratos e políticas estão atualizados e facilmente acessíveis para pronta apresentação à Autoridade?
- Existe um plano de ação para revisão periódica das transferências internacionais realizadas e atualização das cláusulas-padrão contratuais, caso haja mudanças regulatórias?
Por que esses pontos são controversos ou críticos?
A adoção "integral e sem alteração" das cláusulas-padrão contratuais pode gerar conflitos com práticas contratuais e normas internacionais, especialmente quando há exigências de outros países ou grupos ou conglomerados que atuam no exterior.
A definição de responsabilidades entre exportador e importador pode impactar a gestão de incidentes e o exercício de direitos de titulares, exigindo alinhamento operacional entre as partes.
A transparência exigida pela ANPD vai além do que muitos contratos internacionais preveem, demandando adaptações em políticas de privacidade e comunicação com titulares.
A análise de legislação estrangeira e a obrigação de notificação em caso de impedimentos legais são desafios práticos, especialmente em países com regimes de proteção de dados menos robustos.
- A exigência de resposta para titulares no período de 15 dias pode ser incompatível com prazos praticados em outras jurisdições, exigindo revisão de processos internos.
Próximos passos: sua organização está pronta?
O prazo acabou. Caso não tenham sido implementadas, recomendamos iniciar imediatamente a inclusão das cláusulas-padrão contratuais nos instrumentos cabíveis e adotar as demais obrigações estabelecidas pelo Regulamento.
Ao responder os questionamentos acima, você terá um importante guia que permitirá a mensuração do nível de adequação da sua organização no que tange às transferências internacionais de dados pessoais realizadas.
- Para mais detalhes, acesse o One Page – Guia Prático de Transferências Internacionais de Dados Pessoais, de acordo com o Regulamento da ANPD que publicamos sobre a matéria.
