A empresa pode enviar dados de clientes para fora do Brasil?
Contratar uma ferramenta de e-mail marketing hospedada nos Estados Unidos ou um sistema de CRM europeu já coloca a empresa diante de uma transferência internacional de dados, ainda que ninguém na equipe tenha pensado nesses termos ao assinar o contrato do software.
O que a LGPD entende por transferência internacional
O art. 33 da LGPD só permite o envio de dados pessoais a outro país em hipóteses específicas: quando o país de destino oferece grau de proteção adequado, quando o controlador oferece garantias de cumprimento dos princípios da lei mediante cláusulas contratuais específicas, selos, certificados ou normas corporativas globais, quando a transferência é necessária para cooperação jurídica internacional, ou quando o titular fornece consentimento específico para aquela transferência.
A jurisdição brasileira acompanha o dado, mesmo fora do país
O art. 11 do Marco Civil da Internet estabelece que, em operação de coleta ou tratamento de dados em que pelo menos um dos atos ocorra em território nacional, a legislação brasileira e os direitos à privacidade e à proteção de dados devem ser respeitados, ainda que o processamento ocorra no exterior. Isso significa que contratar um fornecedor estrangeiro não afasta a aplicação da LGPD ao dado coletado no Brasil.
Como escolher o mecanismo adequado
Para fornecedores situados em países sem decisão de adequação da ANPD, a alternativa mais comum é firmar cláusulas contratuais que garantam o cumprimento dos princípios da LGPD pelo destinatário, incluindo obrigações equivalentes de segurança e de resposta a pedidos de titulares. Contratos de grandes provedores de tecnologia costumam já oferecer esse tipo de anexo, mas cabe à empresa contratante verificar se o texto realmente cobre as exigências da lei brasileira, e não apenas normas de outro país.
Um exemplo de fluxo internacional numa loja online
Uma loja virtual brasileira usa uma plataforma de e-commerce hospedada nos Estados Unidos, uma ferramenta de e-mail marketing europeia e um serviço de atendimento por chat com servidores no Canadá. Ao mapear esse fluxo, a empresa percebeu que enviava dado de cliente para três jurisdições diferentes através de três contratos distintos, cada um exigindo verificação própria sobre qual mecanismo do art. 33 sustentava aquele envio específico, já que a existência de cláusulas de proteção de dados variava de fornecedor para fornecedor.
Quando vale revisão jurídica do contrato internacional
Empresas que dependem de vários fornecedores estrangeiros para operar — hospedagem, analytics, atendimento ao cliente, pagamento — tendem a se beneficiar de uma checagem conjunta desses contratos, feita por advogado que analise os anexos de proteção de dados de cada fornecedor a partir dos próprios documentos enviados pela empresa, sem necessidade de renegociar tudo do zero.
Perguntas frequentes
Usar um serviço de nuvem estrangeiro já configura transferência internacional?
Em regra sim, quando o armazenamento ou o processamento ocorre fisicamente fora do Brasil; a qualificação exata depende de onde o servidor está e de como o contrato descreve o fluxo de dados.
Proveniência
Conteúdo informativo; não substitui a análise individual de um advogado sobre o seu caso.
Conteúdos relacionados
Links internos
Conteúdo informativo. Não substitui a análise individual de um advogado ou da Defensoria Pública sobre o seu caso.