Transferência Internacional de Dados: O Risco que a Sua Empresa Ainda Não Mapeou 

Enviar dados ao exterior sem base legal adequada não é apenas uma falha técnica. É uma exposição regulatória concreta, com responsabilidade solidária e sanções que a ANPD já tem poder de aplicar. 

Você provavelmente já transferiu dados ao exterior hoje 

Se a sua empresa usa Google Workspace, armazena arquivos na AWS, gerencia leads no HubSpot ou processa pagamentos via Stripe, os dados pessoais dos seus clientes, colaboradores e parceiros estão circulando em servidores fora do Brasil neste momento. Não como exceção. Como rotina. 

A transferência internacional de dados pessoais raramente aparece como uma decisão deliberada. Ela acontece embutida em contratos de software, integrações com plataformas de terceiros e ferramentas de produtividade que o time de TI adotou porque simplificam o trabalho. O problema é que a Lei Geral de Proteção de Dados Pessoais (LGPD) não faz essa distinção. Para a lei, não importa se a transferência foi intencional ou incidental. O que importa é se ela tinha amparo legal. 

Na maioria das empresas brasileiras, a resposta é não. 

O que a LGPD chama de transferência internacional 

O artigo 33 da LGPD regula as hipóteses em que dados pessoais coletados no Brasil podem ser enviados para países estrangeiros ou organismos internacionais. A lei não usa o conceito de forma restritiva. Qualquer operação que implique o acesso, o armazenamento ou o processamento de dados pessoais por agente situado fora do território nacional pode ser enquadrada como transferência internacional. 

A Autoridade Nacional de Proteção de Dados (ANPD) ainda discute os contornos exatos do conceito, especialmente em relação ao mero acesso remoto por colaboradores no exterior. Mas a posição regulatória dominante é cautelosa: na dúvida sobre se determinada operação configura transferência, trata-se como se configurasse. 

Para os fins práticos deste artigo, a pergunta relevante é simples: os dados pessoais que a sua empresa coleta chegam, em algum momento, a um servidor, sistema ou pessoa localizada fora do Brasil? Se sim, a LGPD exige que essa operação tenha um fundamento legal específico. 

Os mecanismos legais que a lei exige 

O artigo 33 da LGPD prevê hipóteses taxativas para a transferência internacional de dados pessoais. Na prática, as três mais relevantes para o ambiente corporativo são: 

• Países ou organismos com nível de proteção adequado: a ANPD pode reconhecer que determinado país oferece proteção equivalente à brasileira. Enquanto a autoridade não publica lista definitiva, essa hipótese tem aplicação limitada. 

• Cláusulas contratuais padrão: instrumento regulamentado pela Resolução CD/ANPD nº 19/2024, que estabelece modelos contratuais específicos para amparar transferências. É hoje o mecanismo mais acessível para a maioria das empresas. 

• Consentimento específico: válido, mas frágil. O titular pode revogar a qualquer momento, e a operação passa a carecer de base legal imediatamente. Não é solução adequada para transferências estruturais. 

O ponto crítico é que nenhum desses mecanismos se aplica automaticamente. Cada um exige análise, documentação e, no caso das cláusulas contratuais, assinatura de instrumento específico com o destinatário no exterior. A empresa que apenas assina os termos de uso padrão de uma plataforma estrangeira não cumpre os requisitos da lei. 

O que acontece quando nenhum mecanismo existe 

A ausência de mecanismo legal válido para a transferência internacional não é uma irregularidade menor. É uma violação direta da LGPD, com consequências que se distribuem em camadas. 

A primeira camada é a responsabilidade do controlador brasileiro. Mesmo que quem processe efetivamente os dados seja uma empresa estrangeira, o controlador que originou a transferência responde perante os titulares e perante a ANPD. A lei não admite a tese de que a responsabilidade migrou integralmente para o destinatário. O artigo 42 da LGPD é claro: o agente de tratamento que causar dano patrimonial, moral, individual ou coletivo ao titular é obrigado a repará-lo. 

A segunda camada é o risco gerado por fornecedores que operam como operadores de dados. Plataformas de CRM, ferramentas de automação de marketing, sistemas de RH em nuvem e processadores de pagamento internacionais acessam, armazenam e processam dados pessoais de titulares brasileiros com frequência. Quando não existe um Acordo de Processamento de Dados (DPA, na sigla em inglês) formalizado entre as partes, a empresa brasileira viola simultaneamente o artigo 33 e o artigo 37 da LGPD, que exige instrumentação contratual das relações entre controlador e operador. O dado já está no exterior. O contrato que deveria amparar essa situação nunca existiu. 

As sanções aplicáveis pela ANPD incluem advertência com prazo para adoção de medidas corretivas, multa simples de até 2% do faturamento do grupo no Brasil no exercício anterior, limitada a R$ 50 milhões por infração, e publicização da infração, que em setores regulados ou com exposição a consumidores pode causar dano reputacional superior ao valor da multa. A ANPD encerrou sua fase pedagógica. Os processos administrativos sancionatórios já estão em curso. 

Como reduzir a exposição agora 

Não existe adequação instantânea. O que existe é um ponto de partida claro e uma sequência lógica de ações que qualquer empresa pode iniciar. 

O primeiro passo é o mapeamento de fluxo de dados. A empresa precisa identificar quais dados pessoais coleta, onde eles são armazenados e processados, e quais fornecedores têm acesso a eles. Esse inventário revela, na maioria dos casos, transferências internacionais que ninguém havia mapeado formalmente. 

O segundo passo é a revisão dos contratos com fornecedores internacionais. Para cada relação em que dados pessoais trafegam ao exterior, é necessário verificar se há DPA assinado e se ele contempla as exigências da LGPD. Onde não há, o contrato precisa ser revisado ou complementado. A Resolução CD/ANPD nº 19/2024 fornece as cláusulas contratuais padrão que podem ser incorporadas a esses instrumentos. 

O terceiro passo é a documentação. Cada mecanismo de transferência adotado precisa estar registrado, justificado e vinculado a uma base legal explícita. Essa documentação é o que diferencia, em um processo administrativo, uma empresa que está em adequação de uma empresa que simplesmente não sabia o que estava fazendo. 

O Encarregado de Dados (DPO) tem papel central nesse processo, seja na condução do mapeamento, seja na negociação com fornecedores e na articulação entre a área jurídica e as áreas de tecnologia e compras. Empresas que ainda não designaram um DPO ou que operam com estruturas informais de governança de dados estão expostas em dobro: ao risco da transferência irregular e ao risco da ausência do responsável que deveria ter identificado o problema. 

Se a sua empresa utiliza fornecedores ou plataformas internacionais e ainda não mapeou os fluxos de transferência de dados pessoais, o momento de iniciar é agora. 

O SMN Advogados Associados atua na estruturação de programas de adequação à LGPD e no serviço de DPO externo para empresas de diferentes portes e setores. Entre em contato para uma avaliação inicial.