Como incorporar cláusulas contratuais para a transferência internacional

O que essas cláusulas precisam garantir

O art. 33 permite a transferência quando o controlador oferecer garantias de observância dos princípios e dos direitos do titular, do regime de proteção de dados e da segurança das informações previstos na LGPD, por meio de cláusulas contratuais específicas para determinada transferência, cláusulas-padrão, normas corporativas globais ou selos e certificados. O texto contratual precisa, portanto, reproduzir obrigações equivalentes às da lei brasileira, não apenas remeter genericamente a uma política de privacidade do fornecedor.

Pontos que o texto contratual deve cobrir

• Descrição do dado transferido e da finalidade do envio;
• obrigação do destinatário de aplicar medidas de segurança equivalentes às exigidas no Brasil;
• compromisso de auxiliar a empresa brasileira a responder pedidos de titulares, mesmo que o dado esteja no exterior;
• notificação em caso de incidente de segurança que afete os dados transferidos;
• previsão de retorno ou eliminação dos dados ao fim do contrato.

Como incorporar ao contrato já existente

Quando o contrato com o fornecedor estrangeiro já está em vigor, a via mais direta costuma ser um aditivo específico sobre proteção de dados, anexado ao contrato principal, em vez de renegociar o instrumento inteiro. Fornecedores de maior porte costumam ter modelo próprio de anexo de proteção de dados; cabe à empresa contratante revisar se esse modelo cobre, de fato, os pontos exigidos pela LGPD, e não apenas normas de outro regime jurídico.

Registrar a adoção do mecanismo escolhido

Vale manter, junto ao registro de operações de tratamento da empresa, a indicação de qual mecanismo do art. 33 sustenta cada transferência internacional em curso, com referência ao contrato ou anexo correspondente. Isso evita que a empresa perca o controle de quantos fornecedores estrangeiros recebem dados e sob qual justificativa legal.

Um exemplo de aditivo negociado com fornecedor estrangeiro

Uma empresa de tecnologia brasileira, ao revisar o contrato com um fornecedor de infraestrutura de nuvem europeu, percebeu que o anexo de proteção de dados oferecido pelo fornecedor cobria obrigações do regramento europeu, mas não mencionava especificamente os direitos previstos na LGPD, como o prazo de resposta a pedidos de titulares brasileiros. A negociação de um aditivo, incluindo referência expressa à lei brasileira e aos prazos de resposta locais, fechou essa lacuna sem exigir troca de fornecedor.