Digital: Transferência Internacional de Dados

A globalização da economia e o advento da internet impulsionaram o fluxo transfronteiriço de informações, tornando a transferência internacional de dados (TID) uma prática corriqueira e essencial para empresas de diversos setores. No entanto, essa realidade impõe desafios jurídicos complexos, especialmente no que tange à proteção da privacidade e dos dados pessoais, exigindo atenção redobrada dos profissionais do Direito Digital.

No Brasil, a Lei Geral de Proteção de Dados Pessoais (LGPD), Lei nº 13.709/2018, estabelece um marco regulatório rigoroso para a TID, alinhando-se às diretrizes internacionais, como o Regulamento Geral sobre a Proteção de Dados (GDPR) da União Europeia. A compreensão aprofundada dos mecanismos legais e das exigências da Autoridade Nacional de Proteção de Dados (ANPD) é crucial para garantir a conformidade das operações e mitigar riscos jurídicos.

O Cenário Legal da Transferência Internacional de Dados

A LGPD consagra a proteção de dados pessoais como um direito fundamental (art. 5º, LXXIX, da CF/88) e impõe regras estritas para a transferência de dados para fora do território nacional. A regra geral, disposta no artigo 33 da LGPD, é a de que a TID somente é permitida para países ou organismos internacionais que proporcionem grau de proteção de dados adequado ao previsto na legislação brasileira.

A Adequação do País ou Organismo Internacional

A ANPD é a autoridade competente para avaliar e reconhecer o nível de adequação de países ou organismos internacionais. Essa avaliação considera diversos fatores, como a legislação aplicável, a existência de autoridades de proteção de dados e a adoção de medidas de segurança adequadas (art. 34 da LGPD).

A ausência de uma decisão de adequação por parte da ANPD não impede a TID, desde que o controlador comprove a adoção de salvaguardas adequadas, conforme previsto no artigo 33, inciso II, da LGPD.

Salvaguardas Adequadas para a TID

As salvaguardas adequadas podem ser implementadas por meio de diferentes mecanismos, tais como:

• Cláusulas Contratuais Específicas (CCEs): As CCEs são cláusulas padronizadas elaboradas pela ANPD, que devem ser incorporadas aos contratos entre o controlador no Brasil e o importador dos dados no exterior. Elas estabelecem obrigações e responsabilidades para ambas as partes, garantindo a proteção dos dados pessoais.
• Cláusulas-Padrão Contratuais (CPCs): As CPCs são modelos de cláusulas contratuais aprovados pela ANPD, que podem ser utilizados pelos agentes de tratamento para assegurar a conformidade da TID. A utilização das CPCs simplifica o processo de adequação e reduz os custos de elaboração de contratos específicos.
• Normas Corporativas Globais (BCRs): As BCRs são regras internas adotadas por grupos empresariais multinacionais para regular a transferência de dados pessoais entre as empresas do grupo. As BCRs devem ser aprovadas pela ANPD e garantir um nível de proteção equivalente ao previsto na LGPD.
• Selos, Certificados e Códigos de Conduta: A LGPD prevê a possibilidade de utilização de selos, certificados e códigos de conduta para comprovar a adoção de medidas de segurança e a conformidade da TID. A ANPD regulamentará os critérios e procedimentos para a concessão desses instrumentos.

Jurisprudência e Decisões Relevantes

A jurisprudência brasileira sobre a TID ainda é incipiente, mas decisões recentes dos tribunais superiores e da ANPD indicam uma tendência de rigor na aplicação da LGPD.

O Superior Tribunal de Justiça (STJ) tem reiterado a importância da proteção de dados pessoais como um direito fundamental e a necessidade de observância dos princípios da LGPD, como a finalidade, a adequação e a necessidade.

A ANPD, por sua vez, tem emitido orientações e resoluções para esclarecer a aplicação da LGPD, como a Resolução CD/ANPD nº 4/2023, que regulamenta a aplicação de sanções administrativas. A ANPD também tem atuado na fiscalização e na aplicação de sanções em casos de descumprimento da LGPD, o que demonstra a importância da conformidade.

Dicas Práticas para Advogados

Para auxiliar as empresas na adequação à LGPD no contexto da TID, os advogados devem adotar as seguintes medidas práticas:

• Mapeamento de Dados: Identificar todos os fluxos de dados pessoais para o exterior, incluindo a origem, o destino, a finalidade e a base legal da transferência.
• Análise de Risco: Avaliar os riscos envolvidos na TID, considerando a natureza dos dados, o país de destino e as medidas de segurança adotadas.
• Definição da Base Legal: Escolher a base legal adequada para a TID, de acordo com o artigo 33 da LGPD.
• Implementação de Salvaguardas: Adotar as salvaguardas adequadas para a TID, como CCEs, CPCs ou BCRs.
• Revisão de Contratos: Revisar os contratos com fornecedores e parceiros internacionais para garantir a inclusão de cláusulas de proteção de dados adequadas.
• Elaboração de Políticas Internas: Desenvolver políticas internas claras e abrangentes sobre a TID, orientando os colaboradores sobre as regras e procedimentos a serem seguidos.
• Treinamento e Conscientização: Promover treinamentos e programas de conscientização para os colaboradores sobre a importância da proteção de dados e as regras da LGPD.
• Monitoramento Contínuo: Acompanhar as decisões da ANPD e as mudanças na legislação internacional para garantir a conformidade contínua das operações de TID.

Conclusão

A transferência internacional de dados é uma realidade inegável no mundo globalizado, mas exige cautela e rigorosa observância da legislação vigente. A LGPD estabelece um marco regulatório que busca equilibrar a livre circulação de informações com a proteção dos direitos fundamentais dos titulares de dados.

Os advogados atuantes no Direito Digital têm um papel fundamental na orientação e na assessoria às empresas, garantindo a conformidade das operações de TID e mitigando os riscos jurídicos e reputacionais. A atualização constante sobre a legislação, a jurisprudência e as orientações da ANPD é essencial para o exercício de uma advocacia de excelência nessa área complexa e em constante evolução.

Aviso: Este artigo tem caráter informativo e didático. Deve ser verificado e adaptado a cada caso concreto por profissional habilitado. Acesse advogando.ai para mais recursos.