Regras da LGPD para transferência internacional de dados

As hipóteses que autorizam enviar dado para fora

O art. 33 permite a transferência quando o destino oferece grau de proteção adequado ao previsto na LGPD, quando o controlador comprova garantias de cumprimento da lei por meio de cláusulas contratuais específicas, cláusulas-padrão, normas corporativas globais ou selos e certificados, quando há cooperação jurídica internacional entre órgãos de investigação, quando é necessária para proteger a vida do titular, quando a ANPD autoriza especificamente, ou quando decorre de acordo de cooperação internacional já assumido pelo Brasil.

Contratar serviço estrangeiro não dispensa a análise

Muitas empresas presumem que basta ter um contrato com o fornecedor estrangeiro para regularizar a transferência. Na prática, o contrato precisa incorporar as garantias exigidas pelo art. 33 — cláusulas-padrão contratuais ou normas corporativas globais reconhecidas —, e a simples aceitação de termos de uso genéricos do fornecedor internacional dificilmente cumpre esse requisito por si só.

O risco recai sobre quem decide onde guardar o dado

É o controlador brasileiro, não o fornecedor estrangeiro, quem responde perante a ANPD e perante o titular caso a transferência internacional seja feita sem respaldo em nenhuma das hipóteses do art. 33. Antes de contratar serviço de nuvem ou plataforma sediada fora do país, vale verificar, no próprio contrato, qual garantia específica está sendo invocada para justificar o envio de dados de clientes brasileiros para servidores no exterior.

Essa análise não é só teórica: em caso de vazamento ocorrido no exterior, a empresa brasileira segue obrigada a comunicar o incidente à ANPD e aos titulares afetados, exatamente como faria se o vazamento tivesse ocorrido em servidor localizado no Brasil.