Transferência internacional intragrupo com normas corporativas globais

Onde esse mecanismo se encaixa na lei

A transferência internacional de dados pessoais só é permitida nas hipóteses do art. 33 da LGPD. Entre elas está a do inciso I, para países ou organismos internacionais que proporcionem grau de proteção adequado ao previsto na lei; e a do inciso II, quando o controlador oferecer e comprovar garantias de cumprimento dos princípios, dos direitos do titular e do regime de proteção, na forma de cláusulas contratuais específicas, cláusulas-padrão contratuais, normas corporativas globais ou selos, certificados e códigos de conduta.

O art. 34 define os critérios que a autoridade considera ao avaliar o nível de proteção de um país estrangeiro: normas gerais e setoriais em vigor, natureza dos dados, observância dos princípios e direitos, medidas de segurança previstas em regulamento, existência de garantias judiciais e institucionais e outras circunstâncias da transferência.

É nesse desenho que as normas corporativas globais aparecem como alternativa estrutural às cláusulas negociadas caso a caso.

O papel da autoridade na verificação

A definição do conteúdo das cláusulas-padrão contratuais e a verificação de cláusulas específicas, normas corporativas globais ou selos, certificados e códigos de conduta cabem à autoridade nacional, conforme o art. 35.

O §1º manda considerar, nessa verificação, os requisitos, as condições e as garantias mínimas que observem os direitos, as garantias e os princípios da lei. Pelo §2º, a autoridade pode requerer informações suplementares ou realizar diligências sobre as operações de tratamento. E o §3º permite que ela designe organismos de certificação, que permanecem sob sua fiscalização, com atos revisáveis ou anuláveis pela própria autoridade nos termos do §4º.

O §5º acrescenta que as garantias suficientes serão analisadas também de acordo com as medidas técnicas e organizacionais adotadas pelo operador.

O que o documento precisa conter

Um conjunto de normas corporativas globais é mais que política interna. Ele precisa ser vinculante para todas as entidades do grupo, com mecanismo que assegure o cumprimento; descrever a estrutura do grupo e os fluxos de dados entre as entidades; declarar os princípios aplicados e os direitos garantidos aos titulares, com canal efetivo de exercício; prever medidas de segurança e regras para subcontratação; estabelecer treinamento, auditoria interna e tratamento de reclamações; e definir cooperação com a autoridade.

Dois pontos merecem cuidado especial. O primeiro é a responsabilidade: o documento deve indicar quem responde perante os titulares brasileiros quando a violação ocorre em entidade estrangeira. O segundo é a atualização: mudança societária, nova subsidiária ou novo fluxo exigem revisão.

Sem previsão de vinculação real e de canal funcionante, o instrumento vira declaração de intenções — e não sustenta a transferência.

Quando o esforço compensa e quando não

O mecanismo faz sentido para grupos com fluxos intragrupo frequentes, muitas entidades e estrutura de conformidade já estabelecida. O custo de elaboração e de aprovação é diluído por muitos fluxos e por muitos anos.

Já para uma empresa com uma única transferência recorrente, ou que precise de solução rápida, cláusulas contratuais tendem a ser o caminho eficiente. O mesmo vale para transferências pontuais e para relações com fornecedores externos ao grupo, que não são alcançadas por normas internas.

Exemplo: uma multinacional com quinze subsidiárias e sistema global de recursos humanos, folha e antifraude tem retorno claro no instrumento. Uma indústria brasileira que apenas envia relatórios mensais à controladora estrangeira resolve com cláusulas específicas e economiza um projeto inteiro.

Como conduzir o projeto

Comece pelo inventário dos fluxos internacionais: quem envia, quem recebe, que dados, com que finalidade, sob que base legal, com que medidas de segurança. Sem esse mapa, o documento nasce genérico.

Em seguida, alinhe o texto às exigências brasileiras e às dos demais países onde o grupo opera, evitando um documento que satisfaça um regime e viole outro. Depois, estruture governança: quem aprova alterações, quem audita, quem responde às reclamações.

Por fim, submeta à autoridade e prepare-se para diligências e informações suplementares, expressamente previstas no art. 35, §2º. Enquanto a verificação não se conclui, mantenha o fundamento atualmente utilizado — trocar o mecanismo antes da aprovação deixa o fluxo sem base.

Coordenar esse projeto entre jurídico brasileiro, matriz e áreas técnicas é trabalho de advogado especializado em proteção de dados, conduzido com reuniões e documentos inteiramente digitais entre países.