Transferências internacionais de dados pessoais: 5 pontos para não errar na reta final das CPCs

Pedro Iorio*

Com o prazo de 12 meses da Resolução CD/ANPD nº 19/2024 para adoção das Cláusulas-Padrão Contratuais (CPCs) chegando ao fim, cresce a corrida das organizações para adequar suas transferências internacionais de dados. Esse movimento, embora natural, traz consigo a preocupação de adoção mecânica e massificada das CPCs, sem uma abordagem estratégica ou análise caso a caso. No dia a dia testemunhamos a pressão temporal levar muitas empresas a um exercício burocrático, muitas vezes desconectado da realidade dos fluxos de dados. Essa postura, além de ineficaz, pode gerar ações incorretas, atrasando o esforço de ajuste ou até comprometendo a legalidade das transferências internacionais.

Leia também: Tarifaço de Trump e crise política brasileira elevam tensão institucional e desafiam equilíbrio comercial

A complexidade por trás da aparente simplicidade

As CPCs podem parecer um mecanismo simples: basta incluir as cláusulas aprovadas pela ANPD nos contratos com transferência internacional. A simplificação, no entanto, pode ser traiçoeira na prática. A experiência revela que a correta aplicação das CPCs exige uma boa compreensão dos fluxos de dados e a definição acertada dos papéis de cada parte envolvida.

A seguir, sintetizo cinco pontos de atenção que podem fazer a diferença entre uma implementação efetiva das CPCs e uma conformidade apenas aparente. Alguns pontos podem soar óbvios à primeira vista, mas na pressa para revisar múltiplos contratos simultaneamente, é justamente o básico que costuma passar despercebido.

Pontos de atenção 

1. Distinguir coleta de transferência internacional

O primeiro passo para o correto uso das CPCs é identificar se há uma transferência internacional propriamente dita. A Resolução nº 19/2024 estabelece uma distinção clara: enquanto a coleta internacional ocorre quando um agente estrangeiro coleta dados diretamente do titular no Brasil, a transferência internacional pressupõe que um agente no Brasil transmita, compartilhe ou disponibilize dados pessoais a um destinatário no exterior.

Essa diferenciação não é meramente conceitual. Ela determina se as CPCs são cabíveis e quem são os verdadeiros responsáveis por seu emprego. Se não há transferência internacional, a saída não passa pelas CPCs.

2. Identificar corretamente exportador e importador

Talvez a raiz do erro mais comum no contexto das CPCs seja a definição incorreta de exportador (agente no Brasil que realiza a transferência) e importador (agente no exterior que recebe os dados). É frequente que empresas assinem as cláusulas com prestadores nacionais que, depois, enviam os dados para o exterior. Ao identificar transferência internacional na atividade contratada, muitas optam por incluir as CPCs no contrato principal, mas, nesse cenário, o prestador é o exportador e deve firmar diretamente com o importador. A assinatura com o prestador local não regulariza a transferência e pode gerar responsabilidades indevidas.

Mas intenção: mesmo quando a contratante não é a responsável primária pela adequação, não está isenta de deveres, especialmente em relações controlador–operador. É recomendável comunicar formalmente fornecedores, solicitando comprovação do mecanismo de transferência internacional adotado e registrando a verificação. Se a contratada for operadora e exportar dados a um suboperador estrangeiro, a contratante, como controladora, deve adotar medidas para verificar a regularidade da transação e cumprir obrigações como terceiro controlador, especialmente as previstas na Opção B da cláusula 4 das CPCs, aplicável às transferências entre operadores.

3. Assegurar contrato direto entre as partes corretas

A Resolução nº 19/2024 exige que as CPCs sejam adotadas integralmente, sem alterações, em instrumento firmado diretamente entre exportador e importador, que pode ser específico ou integrar um aditivo a um contrato mais amplo, como um acordo de prestação de serviços ou de parceria comercial.

Não é suficiente incluir referências genéricas às CPCs, tampouco adotar modelos inspirados nas CPCs ou adaptados. A ANPD exige que o texto seja exatamente o previsto no Anexo II da Resolução. Mais que formalidade, trata-se de assegurar que as garantias de proteção de dados acompanhem o fluxo e vinculem juridicamente quem exporta e quem importa.

4. Reconhecer que ainda não há cláusulas equivalentes

A Resolução nº 19/2024 abriu a possibilidade de a ANPD reconhecer, no futuro, modelos de cláusulas-padrão contratuais adotados por outras autoridades de proteção de dados pessoais como equivalentes às brasileiras. Essa previsão (art. 18) gera expectativa, sobretudo para empresas multinacionais que já utilizam instrumentos como as Standard Contractual Clauses (SCCs) da União Europeia. 

No entanto, até o momento, nenhuma cláusula estrangeira foi oficialmente reconhecida como equivalente no Brasil. Isso significa que, mesmo que um agente de tratamento já tenha firmado SCCs com parceiros internacionais para atender à legislação europeia, esse instrumento não satisfaz, por si só, os requisitos brasileiros de transferência internacional. Pressupor equivalência sem ato formal da ANPD mantém a transferência irregular e expõe a organização a riscos.

5. Entender a lógica direcional das CPCs: proteção ao que sai do Brasil

As CPCs são instrumentos regulatórios que vinculam contratualmente o importador à observância de salvaguardas equivalentes às da LGPD quando o tratamento ocorrer fora de seu alcance territorial. Por meio delas, o exportador transfere ao importador os deveres de proteção previstos na lei, e este se obriga a cumpri-los. A lógica é proteger o que sai, não o que entra.

Esse ponto se torna ainda mais relevante em fluxos bilaterais, nos quais há transferência internacional de dados em ambos os sentidos. Nessa hipótese, não há “CPC única” que cubra o fluxo inteiro: cada lado, atuando como exportador em seu respectivo país, deverá firmar o instrumento exigido pela sua autoridade de proteção de dados pessoais. Em termos práticos, caso ambas as regulações exijam suas próprias CPCs, isso pode significar dois instrumentos distintos, cada um refletindo o modelo normativo de origem.

Uma abordagem estratégica para as últimas semanas

Com poucas semanas restantes antes do término do prazo, as organizações precisam adotar uma abordagem mais estratégica, que pode observar os seguintes aspectos:

• Antes de incluir as CPCs nos contratos, é fundamental entender todos os fluxos de dados internacionais da organização, identificando origens, destinos e finalidades.
• Cada transferência deve ser avaliada individualmente para determinar o mecanismo mais adequado e, sendo o caso de aplicação das CPCs, as partes que devem estar vinculadas e seus respectivos papéis.
• É importante fazer a distinção dos casos de adoção direta das CPCs daqueles de comunicação e verificação do cumprimento de sua adoção pela parte contratada.
• Priorizar as transferências mais críticas e de maior volume, garantindo que a regularização seja feita corretamente antes de expandir para outros casos.

Uma condução protocolar e generalizada pode criar mais problemas do que soluções, resultando em transferências internacionais que apenas aparentam estar em conformidade.

Veja também: Sistema previdenciário: um vazamento silencioso

A experiência prática demonstra que o sucesso na aplicação das CPCs está diretamente relacionado à qualidade da análise prévia e à compreensão das responsabilidades de cada parte envolvida. Organizações que investirem esse tempo na reta final estarão mais bem posicionadas não apenas para cumprir o prazo regulamentar, mas para estabelecer uma base consistente para suas transferências internacionais de dados nos próximos anos.

_{*Pedro Iorio é sócio da área de regulação Digital do escritório Artese Advogados.}