L’adoption des Clauses Contractuelles Standard concernant les Transferts Internationaux de Données Personnelles est impérative depuis le 23/08/2025

Avec la publication du Règlement sur les Transferts Internationaux de Données ("Règlement") et du contenu des clauses contractuelles standard par le biais de la Résolution CD/ANPD nº 19/2024 ("Résolution"), l'Autorité Nationale de la Protection des Données ("ANPD") a établi un cadre définitif pour les transferts internationaux de données personnelles: depuis le 23 août 2025, tous les agents de traitement utilisant des clauses contractuelles standard pour des transferts internationaux doivent avoir intégré dans leurs contrats l'acte approuvé par l'ANPD figurant dans l'Annexe II de la Résolution.

Depuis cette date, les transferts internationaux de données personnelles sans les clauses contractuelles standard approuvées peuvent être considérés comme irréguliers, exposant les entreprises non conformes à des sanctions administratives et à des risques pour leur réputation.

Pourquoi votre entreprise doit s'y conformer?

L'inclusion des clauses contractuelles standard n'est pas seulement une obligation réglementaire. Elle constitue aussi un avantage concurrentiel et un pilier de confiance auprès des clients, des partenaires et des propriétaires de données. Ce processus implique toutefois des décisions stratégiques et opérationnelles qui méritent une attention spéciale.

Principaux points d'attention – Avez-vous déjà réfléchi à ces questions?

1. Vos flux de données internationales sont-ils correctement répertoriés?

• Quelles données personnelles votre entreprise transfert-elle à l'étranger? Vers quels pays, et dans quels buts?

• Tous les contrats avec les fournisseurs, les partenaires, les tiers ou les autres filiales du groupe à l'étranger ont-ils déjà été vérifiés afin de déterminer s'ils doivent être adaptés?

2. Les clauses contractuelles standard ont-elles été adoptées intégralement et sans modifications?

• Les contrats incluent-ils le texte intégral des clauses contractuelles standard approuvées par l'ANPD, sans modifications ni exclusions?

• Y-a-t-il des clauses supplémentaires ou annexes susceptibles, même indirectement, de contrarier ou limiter les obligations prévues par les clauses contractuelles standard ?

3. Comment votre entreprise traite-t-elle les éventuels transferts ultérieurs ("onward transfers")?

• L'importateur de données personnelles est-il autorisé à effectuer des transferts à des tiers ? Si oui, les conditions et les mesures de protection sont-elles clairement documentées et compatibles avec les exigences de l'ANPD?

• Y-a-t-il un contrôle et une traçabilité de ces transferts de données personnelles?

4. Les responsabilités entre exportateur et importateur sont-elles clairement définies?

• Qui sera le contrôleur chargé de publier les informations relatives au transfert, de répondre aux sollicitations des propriétaires et de signaler les incidents de sécurité ?

• Dans les contrats concernant des opérateurs, les instructions du contrôleur sont-elles formalisées, et les obligations d'assistance mutuelles sont-elles claires?

5. Les mesures de transparence appropriées sont-elles appliquées?

• Le site de l'entreprise disponibilise-t-il, en portugais et dans un langage accessible, toutes les informations exigées sur les transferts internationaux effectués?

• Y-a-t-il un moyen efficace pour que les propriétaires puissent demander une copie des clauses contractuelles standard et exercer leurs droits ?

6. Comment votre entreprise traite-t-elle les données personnelles sensibles, des enfants et des adolescents?

• Des mesures de protection supplémentaires pour ces données personnelles ont-elles été adoptées, conformément aux exigences des clauses contractuelles standard?

• Le traitement des ces données personnelles est-il en adéquation avec les intérêts du propriétaire et les autres normes applicables ?

7. La législation du pays de destination peut-elle empêcher le respect d'une obligation contractuelle établie par les clauses contractuelles standard?

• L'importateur a-t-il analysé les lois locales pour identifier d'éventuels conflits entre celles-ci et les obligations comprises dans les clauses contractuelles standard ?

• En cas de changements législatifs, y-a-t-il une procédure de notification et de révision des contrats ?

8. Votre entreprise est-elle prête à répondre aux demandes de disponibilisation des clauses utilisées pour effectuer des transferts internationaux dans un délai maximal de 15 jours?

• Les processus internes assurent-ils une réponse rapide aux demandes, y compris dans des fuseaux horaires différents et des langues différentes ?

• Les preuves des réponses selon les critères légaux sont-elles enregistrées, au cas où l'ANPD les demanderait ?

9. Y-a-t-il une documentation solide pour démontrer la conformité ?

• Votre entreprise conserve-t-elle les évaluations des risques et les justifications des décisions concernant les transferts internationaux ?

• A-t-elle déjà considéré la réalisation d'un Transfer Impact Assessment (TIA) pour renforcer la gouvernance et réduire les risques, même si ce n'est pas obligatoire au Brésil ?

10. Comment votre entreprise se prépare-t-elle à d'éventuelles enquêtes, surveillances et procédures administratives engagées par l'ANPD?

• Les contrats et les politiques sont-ils à jour et facilement accessibles pour pouvoir être présentés rapidement à l'ANPD?

• Y-a-t-il un plan d'action pour la révision périodique des transferts internationaux effectués et la mise à jour des clauses contractuelles standard, en cas de modification des règlements ?

Pourquoi ces points sont-ils controversés ou critiques?

• L'adoption "intégrale et sans modification" des clauses contractuelles standard peut causer des conflits entre celles-ci et les pratiques contractuelles et les normes internationales, particulièrement lorsqu'il y a des exigences d'autres pays ou groupes ou conglomérats basés à l'étranger.

• La définition des responsabilités entre exportateur et importateur peut avoir un impact sur la gestion des incidents et l'exercice des droits des propriétaires, exigeant une harmonisation opérationnelle entre les parties.

• La transparence requise par l'ANPD va au-delà de ce que prévoient beaucoup de contrats internationaux, demandant des adaptations dans les politiques de confidentialité et la communication avec les propriétaires.

• L'analyse de la législation étrangère et l'obligation de notification en cas d'empêchements légaux sont des défis pratiques, particulièrement dans les pays dotés d'un régime de protection des données moins solide.

• L'exigence de réponse aux propriétaires dans un délai de 15 jours peut être incompatible avec les délais en vigueur dans d'autres juridictions, exigeant une révision des processus internes.

Étapes suivantes: votre entreprise est-elle prête?

Le délai a expiré. Si cela n'a pas encore été fait, nous vous conseillons de commencer immédiatement l'inclusion des clauses contractuelles standard dans les instruments appropriés et l'adoption des autres obligations stipulées par le Règlement.
En répondant aux questions ci-dessus, vous aurez un guide important qui vous permettra de mesurer le niveau d'adéquation de votre entreprise en matière de transferts internationaux de données personnelles.
Pour plus de détails, consultez One Page – Guide Pratique des Transferts Internationaux de Données Personnelles, selon le Règlement de l'ANPD que nous avons publié sur le sujet.