Transferência internacional de dados: cláusulas-padrão da ANPD e adequação com a União Europeia

Muitas empresas fazem transferência internacional de dados todos os dias sem perceber. Não é preciso ter filial no exterior. Basta que o CRM, o e-mail corporativo, a ferramenta de atendimento ou o backup rodem em servidores fora do Brasil, ou que a equipe de suporte do fornecedor acesse os dados a partir de outro país.

A LGPD não proíbe esses fluxos, mas exige que cada um tenha um mecanismo válido. Este guia explica quando uma operação configura transferência internacional, quais mecanismos a lei admite, como aplicar as cláusulas-padrão contratuais aprovadas pela ANPD e o que mudou com o reconhecimento mútuo de adequação entre Brasil e União Europeia, em janeiro de 2026.

O Regulamento de Transferência Internacional de Dados, aprovado pela Resolução CD/ANPD nº 19/2024, define transferência como a operação pela qual um agente de tratamento transmite, compartilha ou disponibiliza acesso a dados pessoais a outro agente. Quando o destino é um país estrangeiro ou um organismo internacional, há transferência internacional. Quem envia é o exportador. Quem recebe, localizado no exterior, é o importador.

Na prática, isso inclui muito mais do que o envio de um arquivo para uma empresa estrangeira. Contratar um software como serviço hospedado nos Estados Unidos, usar um provedor de nuvem com data center na Europa ou permitir que o suporte de um fornecedor acesse a base de clientes a partir da Índia são situações em que dados saem, ou ficam acessíveis, fora do Brasil. Como a definição fala também em disponibilizar acesso, a localização do servidor não encerra a análise: o acesso remoto a partir de outro país também merece atenção.

Há uma diferença importante. Quando uma empresa estrangeira coleta dados diretamente do titular, sem que uma empresa no Brasil os envie, o regulamento chama isso de coleta internacional, que não é transferência internacional (art. 6º). Nesse caso, a LGPD pode continuar se aplicando à empresa estrangeira, mas a obrigação de ter um mecanismo de transferência não recai sobre um exportador brasileiro.

O regulamento também deixa claro que cabe ao controlador verificar se a operação é uma transferência internacional, se está sujeita à LGPD e se está amparada em hipótese legal e em mecanismo de transferência válidos (art. 4º). O operador deve ajudar com as informações que tiver. São duas camadas diferentes: uma base legal do art. 7º ou do art. 11 da LGPD, como em qualquer tratamento, e um mecanismo do art. 33 para a transferência em si. E a transferência deve se limitar ao mínimo necessário para a finalidade.

O art. 33 da LGPD lista as situações em que a transferência internacional é permitida. Resumindo:

Para a maioria das empresas privadas, a escolha se concentra em três caminhos: adequação reconhecida pela ANPD, cláusulas-padrão contratuais e, em situações pontuais, as hipóteses do inciso IX, como a execução de um contrato com o próprio titular. O consentimento é possível, mas é frágil para fluxos de rotina, porque precisa ser específico e destacado e pode ser revogado a qualquer momento. Na nossa leitura, ele funciona melhor como exceção do que como base de uma operação contínua.

As cláusulas contratuais específicas e as normas corporativas globais dependem de aprovação prévia da ANPD. Segundo a página da agência sobre transferência internacional, até setembro de 2026, a ANPD não havia aprovado nenhum desses mecanismos nem reconhecido cláusulas-padrão de outros países como equivalentes. A mesma página esclarece que decisões de adequação emitidas por outros países não valem no Brasil. Um país ser considerado adequado pela União Europeia, por exemplo, não o torna adequado para a LGPD.

A Resolução CD/ANPD nº 19, publicada em 23 de agosto de 2024, aprovou o regulamento e o texto das cláusulas-padrão contratuais. Quem já usava cláusulas contratuais para transferir dados teve 12 meses para incorporar o modelo da ANPD aos contratos, prazo que terminou em agosto de 2025. Hoje, quem se apoia em cláusulas contratuais para transferir dados a um destino sem adequação precisa usar o texto aprovado pela agência, salvo se tiver cláusulas específicas aprovadas pela ANPD.

A regra mais importante é simples: as cláusulas valem apenas se adotadas integralmente e sem alteração (art. 16). Elas podem formar um contrato próprio para a transferência ou integrar um contrato mais amplo, inclusive por termo aditivo. Nesse segundo caso, as Seções I, II e III devem ser anexadas ao contrato. Nenhuma outra cláusula, do mesmo contrato ou de contratos ligados a ele, pode excluir, modificar ou contrariar o que está nas cláusulas-padrão.

A Seção I traz as informações que as partes preenchem: quem é exportador e quem é importador, e se cada um atua como controlador ou operador; a descrição da transferência, com finalidades, categorias de dados e período de armazenamento; se o importador pode fazer transferências posteriores; e a divisão de responsabilidades. Quando ao menos uma das partes é controladora, o contrato indica qual delas publica as informações de transparência, atende os titulares e comunica incidentes. Quando as duas partes são operadoras, o contrato identifica o terceiro controlador em nome de quem a transferência acontece.

A Seção II reúne as cláusulas obrigatórias, que não podem ser alteradas. Elas tratam de dados sensíveis e de crianças e adolescentes, transparência, direitos dos titulares, comunicação de incidentes, responsabilidade por danos, salvaguardas para transferências posteriores e eliminação dos dados ao fim do tratamento. Também exigem que o importador avise o exportador e o titular sobre pedidos obrigatórios de acesso aos dados, feitos por força de lei ou de determinação de autoridade pública, quando a lei local permitir o aviso. O importador também declara que não conhece leis do país de destino que o impeçam de cumprir as cláusulas. A lei aplicável é a brasileira, e os conflitos são resolvidos no Brasil, admitida arbitragem realizada no país.

A Seção III descreve as medidas de segurança adotadas, incluindo as específicas para dados sensíveis e de crianças e adolescentes. É a seção em que a tentação de escrever generalidades é maior, e justamente a que mostra se a proteção existe. A Seção IV é opcional e serve para cláusulas comerciais, vigência, rescisão e foro, sempre sem contrariar as seções anteriores.

O regulamento traz duas obrigações de transparência para o controlador (art. 17). A primeira é entregar ao titular, quando ele pedir, a íntegra das cláusulas usadas na transferência, em até 15 dias, respeitados os segredos comercial e industrial. A segunda é publicar no site um documento em português, em linguagem simples, com a forma, a duração e a finalidade da transferência, o país de destino, a identificação e os contatos do controlador, o uso compartilhado de dados, as responsabilidades e medidas de segurança e os direitos do titular, incluindo o direito de peticionar à ANPD. Esse conteúdo pode ficar em uma página própria ou em uma seção destacada da política de privacidade.

Com grandes provedores de nuvem e de software, é raro conseguir negociar cláusulas. O caminho prático é verificar se o fornecedor já oferece as cláusulas-padrão da ANPD no acordo de tratamento de dados ou em um aditivo, guardar essa evidência e conferir se a Seção I descreve a sua operação de forma compatível. Se o fornecedor não oferece, a empresa precisa decidir se pede a inclusão, se existe outro mecanismo válido para aquele fluxo ou se vale reavaliar a contratação. Registrar essa decisão é tão importante quanto a decisão em si.

Pela Resolução CD/ANPD nº 32, de 26 de janeiro de 2026, a ANPD reconheceu a União Europeia como organismo internacional com grau de proteção de dados adequado ao da LGPD. O reconhecimento vale para todos os Estados membros da UE, para Islândia, Liechtenstein e Noruega, que integram o Espaço Econômico Europeu, e para as instituições e órgãos da União. A Comissão Europeia, por sua vez, adotou uma decisão reconhecendo o Brasil como adequado nos termos do regulamento europeu, o que simplifica o fluxo no sentido inverso.

Na prática, transferências para esses países passam a ter como base o inciso I do art. 33, sem necessidade de cláusulas-padrão ou de outro mecanismo adicional. A decisão não se aplica a transferências feitas exclusivamente para segurança pública, defesa nacional, segurança do Estado ou investigação e repressão de infrações penais. A ANPD vai monitorar o nível de proteção europeu, e a decisão será reavaliada em quatro anos. Os demais mecanismos do art. 33 continuam disponíveis para os mesmos países.

A adequação resolve o mecanismo, não o resto. A transferência continua precisando de base legal, transparência com o titular, registro no mapeamento e contrato com o operador definindo suas obrigações. Também vale olhar o fluxo inteiro: quando o fornecedor tem sede fora da Europa e apenas hospeda os dados em data centers europeus, ou usa suboperadores em outros países, a análise fica mais complexa, e é prudente verificar se a adequação cobre de fato todo o caminho dos dados. Para destinos como Estados Unidos, Índia ou China, nada mudou: os mecanismos continuam necessários.

A avaliação de fornecedores é a porta de entrada desse controle. Se a sua empresa ainda não tem um processo estruturado, veja como fazer due diligence de fornecedores que tratam dados pessoais.

Imagine uma empresa brasileira que vende um software de gestão de RH. Ela hospeda a aplicação em um provedor de nuvem nos Estados Unidos, usa uma ferramenta de atendimento que processa os dados na Irlanda, envia e-mails por uma plataforma americana e contrata um desenvolvedor em Portugal com acesso ao ambiente de produção. Nesse cenário, ela é operadora: os controladores são os seus clientes, que enviam os dados dos próprios empregados.

Os fluxos para Irlanda e Portugal passam a ter como base a adequação da União Europeia. Os fluxos para os Estados Unidos precisam das cláusulas-padrão da ANPD. Como as duas partes dessas transferências atuam como operadoras, a opção indicada na Seção I é a que identifica o terceiro controlador, isto é, cada cliente. A empresa também precisa dar aos clientes as informações de que eles necessitam para cumprir as obrigações de transparência. O exemplo é fictício, mas esse desenho se repete em muitas empresas de software.

Alguns erros previsíveis merecem atenção. O primeiro é olhar só para o local do servidor e esquecer o suporte remoto e os suboperadores. O segundo é ajustar a redação das cláusulas-padrão para acomodar o contrato comercial, o que compromete a validade do mecanismo. O terceiro é usar o consentimento como atalho para fluxos permanentes. E o quarto é assinar as cláusulas e não publicar as informações de transparência, que o regulamento exige de forma independente. Para quem já trabalha com a ISO 27001, vale integrar essa revisão aos controles de fornecedores, como mostramos no artigo sobre integração entre LGPD, ISO 27001 e ISO 27701.

Com poucos fornecedores, uma planilha com país, mecanismo e data da última revisão resolve. O controle fica difícil quando o número de sistemas cresce, os fornecedores trocam de suboperadores e os contratos passam por aditivos. É aí que as informações começam a se desencontrar entre jurídico, compras e TI.

Na LGPD Cloud, cada atividade de tratamento no Mapeamento de Dados registra se há transferência internacional e para quais países, além dos sistemas usados e dos compartilhamentos com terceiros. Isso permite enxergar, em um só lugar, quais processos enviam dados para fora e para onde. Consultores que atendem vários clientes podem gerar relatórios do mapeamento para cada um.

Os contratos com fornecedores podem ficar na Gestão de Contratos, com versões em PDF, fluxo de aprovação com avaliadores em ordem, assinatura, verificação de integridade do arquivo e linha do tempo. Isso ajuda a saber qual versão do aditivo com as cláusulas-padrão está valendo. Já a Due Diligence permite enviar ao fornecedor um questionário com perguntas sobre local de processamento, suboperadores e mecanismo de transferência, validar as evidências, registrar a decisão e agendar a reavaliação. Riscos ligados a esses fluxos também podem ser registrados na Gestão de Riscos, que tem uma categoria específica para transferência internacional.

A transferência internacional de dados é parte da rotina de quase toda empresa que usa nuvem e software como serviço. A adequação com a União Europeia simplificou uma parte importante desses fluxos, e as cláusulas-padrão da ANPD deram um caminho claro para os demais. Os dois mecanismos só funcionam se a empresa souber quais transferências faz, para onde e com qual base.

O tema continua em movimento. A ANPD incluiu o Regulamento de Transferência Internacional de Dados entre as normas propostas para a agenda de avaliação de resultado regulatório 2027 a 2030, e novas decisões de adequação podem surgir. Quem mantém um inventário atualizado dos fluxos consegue se adaptar a essas mudanças com uma revisão, e não com um projeto novo.

Consulte o texto compilado da LGPD, especialmente os arts. 33 a 36; a Resolução CD/ANPD nº 19/2024, com o regulamento e o texto completo das cláusulas-padrão; a Resolução CD/ANPD nº 32/2026 e a página da ANPD sobre transferência internacional de dados, que lista os mecanismos aprovados.