O prazo de transição estabelecido pela Resolução CD/ANPD nº 19/2024 para a incorporação das cláusulas-padrão contratuais (CCPs) aprovadas pela ANPD, destinadas a regular transferências internacionais de dados, se encerra em 23 de agosto de 2025. A norma, publicada em agosto de 2024, aprovou o Regulamento de Transferência Internacional de Dados e o conteúdo dessas cláusulas, estabelecendo os critérios e salvaguardas legais aplicáveis à transferência de dados pessoais do Brasil para outros países ou organismos internacionais, nos termos dos artigos 33 e seguintes da LGPD.
A partir dessa data, a utilização de cláusulas contratuais como base legal para a transferência internacional de dados somente será válida se forem adotadas as CCPs, ou se houver a devida aprovação prévia pela ANPD de cláusulas específicas que garantam nível equivalente de proteção.
Para agentes de tratamento que atualmente se valem de cláusulas contratuais próprias ou de modelos estrangeiros (como SCCs da União Europeia ou cláusulas adaptadas de outras jurisdições), é necessário revisar e substituir esses instrumentos pelas CCPs da ANPD ou buscar formalmente a sua equivalência ou aprovação como cláusulas específicas, nos termos do Regulamento.
Vale lembrar que, além das cláusulas-padrão, a ANPD reconhece outros mecanismos válidos para legitimar transferências internacionais de dados.
Mecanismos válidos
- Decisão de adequação emitida pela Autoridade, reconhecendo que determinado país ou organismo internacional oferece grau de proteção de dados pessoais compatível com a LGPD – contudo, até o momento, nenhuma decisão desta natureza foi publicada;
- Normas corporativas globais (BCRs), aplicáveis a transferências de dados dentro de grupos econômicos multinacionais, desde que previamente aprovadas pela ANPD, mediante comprovação de programa de governança compatível;
- Cláusulas contratuais específicas, quando demonstrada a impossibilidade de adoção das CCPs, também sujeitas à avaliação e aprovação pela ANPD;
- Demais hipóteses previstas na LGPD que independem de regulamentação específica, como mediante consentimento do titular, para exercício regular de direitos em processo judicial, administrativo ou arbitral, ou para a execução de contrato com o titular, por exemplo.
Com a proximidade do fim do prazo estipulado para implementação das CCPs, recomendamos que as organizações que ainda não iniciaram este processo revisem seus contratos e fluxos internacionais de dados, a fim de identificar o mecanismo de transferência aplicável e iniciar, conforme necessário, os procedimentos de adaptação de contratos e/ou submissões à ANPD.
Nosso time especializado em Proteção de Dados está à disposição para apoiar a implementação dessas medidas e esclarecer quaisquer dúvidas sobre este ou outros temas de seu interesse.
