PORTFÓLIO
ANPD regulamenta aplicação da LGPD na transferência internacional de dados
Prazo para a adaptação dos contratos é de 12 meses
Por Laura Ignacio — São Paulo
A transferência internacional de dados pessoais foi regulamentada pela Autoridade Nacional de Proteção de Dados (ANPD). Ontem, foi publicada a Resolução nº 19 com 24 cláusulas padrão, que devem atualizar os contratos firmados com empresas que ficam em outros países e recebem dados de companhias no Brasil.
O prazo estipulado pela norma para a adaptação dos contratos é de 12 meses, ou a pena por descumprimento da Lei Geral de Proteção de Dados (LGPD) — Lei nº 13.709, de 2018 — poderá ser aplicada. O valor máximo da multa aplicável é de R$ 50 milhões.
Caso as cláusulas padrão não possam ser usadas nos contratos — porque a empresa estrangeira não aceita ou outro motivo —, existe a possibilidade de redação de cláusulas específicas, que devem ser aprovadas pela ANPD. A resolução, porém, não impõe prazo para o órgão responder.
As empresas brasileiras só escaparão da necessidade de adaptação dos contratos, se a ANPD editar as chamadas “decisões de adequação”. A nova resolução permite que, por meio dessas decisões, leis de proteção de dados de outros países sejam declaradas “adequadas”. Na prática, contratos firmados com empresas localizadas nesses países não precisarão de novas cláusulas.
A LGPD já previa que haveria uma regulamentação e uma minuta havia sido colocada em audiência pública há cerca de uma no. Segundo Laércio Sousa, sócio da área de direito digital, de proteção de dados e propriedade intelectual do Velloza Advogados, sem essa regulamentação era preciso olhar as práticas internacionais, especialmente o GDPR, da Europa.
“Se há transferência de dados pessoais de uma filial brasileira para sua matriz lá fora, ou se foi contratado um serviço de nuvem estrangeiro para o armazenamento de dados de companhia brasileira, será preciso observar essa regulamentação”, afirma Sousa. “Com as novas cláusulas, a empresa que receber dados pessoais do Brasil lá fora terá que, por exemplo, reportar à ANPD no caso de vazamento de dados.” Mas, segundo Sousa, no caso de multa, a empresa responsável pelo pagamento será a controladora dos dados no Brasil.
Segundo o advogado Felipe Palhares, sócio da área de Proteção de Dados e Cybersecurity do BMA Advogados, há vários temas centrais da LGPD que dependiam de regulamentação e esse era um dos temas mais esperados. “No atual modelo globalizado de negócios, todos os dias há transferências de dados internacionais”, diz.
Palhares, porém, também faz críticas à regulamentação. “As discussões entre grandes empresas nunca são fáceis, então o prazo para adaptação dos contratos de 12 meses pode parecer longo, mas não é”, afirma. “Além disso, como a cláusula padrão não pode ser alterada, se a empresa lá fora entender que o texto fere a legislação do país dela, não vai aceitar e a ANPD deve demorar para responder a propostas de cláusulas específicas.”
Já a advogada Antonielle Freitas, especialista em privacidade e proteção de dados do escritório Viseu Advogados, alerta que a coleta internacional de dados diretamente do titular, como em transações e-commerce, por exemplo, não se enquadra nos procedimentos estipulados pela nova resolução. Ela ainda destaca o estabelecimento de critérios rigorosos para o reconhecimento da adequação de outros países, “garantindo que esses territórios possuam níveis de proteção de dados equivalentes ao do Brasil”.
Para o advogado especialista em direito digital e proteção de dados do escritório Abe Advogados, Marcelo Cárgano, o principal impacto da nova regulamentação é a redução da insegurança jurídica nas transferências internacionais de dados. “O regulamento facilita a adesão de empresas aos requisitos legais, fomentando o crescimento econômico e a inovação, ao mesmo tempo que visa a proteger os direitos dos titulares”, afirma.
