O que é transferência internacional de dados segundo a LGPD

O artigo 33 da Lei 13.709/2018 define transferência internacional de dados como o envio de dados pessoais a país estrangeiro ou organismo internacional. A definição parece simples, mas gera dúvidas operacionais relevantes quando se trata de infraestrutura distribuída em nuvem.

A distinção entre transferência, acesso remoto e mero trânsito importa para definir quais obrigações se aplicam. No trânsito técnico, quando o dado apenas passa por servidores estrangeiros sem ser processado ali, a LGPD não impõe as mesmas restrições. Já o acesso remoto por funcionários ou prestadores no exterior é interpretado por parte da doutrina como transferência, ainda que o dado permaneça armazenado no Brasil.

O tema ganhou urgência porque boa parte das plataformas de SaaS, CDPs e CRMs usadas por empresas brasileiras opera com infraestrutura hospedada nos Estados Unidos, na Europa ou na Ásia. Cada vez que um dado pessoal de cliente brasileiro é enviado a esses ambientes para processamento, a empresa enfrenta potencialmente uma transferência internacional regulada pela LGPD.

Hipóteses legais que autorizam a transferência

O artigo 33 da LGPD lista as situações em que a transferência internacional é permitida. Conhecer cada uma delas é o ponto de partida para qualquer análise de conformidade.

Países com grau de proteção adequado

O mecanismo mais direto é o reconhecimento, pela ANPD, de que determinado país ou organismo oferece grau de proteção equivalente ao da LGPD. É o análogo brasileiro às decisões de adequação do GDPR. Uma vez que um país integre essa lista, transferências de dados para ele seguem as regras gerais da lei, sem necessidade de salvaguardas adicionais.

O problema é que a ANPD ainda não publicou uma lista consolidada e definitiva, o que coloca as empresas na dependência das alternativas contratuais descritas abaixo.

Cláusulas contratuais padrão e regras corporativas globais

Na ausência de reconhecimento de adequação, o caminho mais utilizado no mercado é a inclusão de cláusulas contratuais padrão nos acordos com fornecedores estrangeiros. Essas cláusulas estabelecem obrigações de proteção de dados diretamente entre as partes, independentemente da legislação local do país receptor.

Para grupos empresariais multinacionais, as Binding Corporate Rules (BCR), chamadas pela LGPD de “regras corporativas globais”, permitem padronizar o tratamento de dados entre entidades do mesmo grupo em diferentes jurisdições. A aprovação dessas regras exige análise pela autoridade competente, ponto que no Brasil ainda carece de regulamentação operacional detalhada.

Consentimento específico do titular

O consentimento do titular é uma das hipóteses previstas, mas tem limitações práticas significativas. Para ser válido na LGPD, precisa ser livre, informado, inequívoco e específico para a finalidade da transferência internacional. Usá-lo em escala, como base para enviar dados de milhões de clientes a plataformas externas, é juridicamente frágil e operacionalmente custoso.

O consentimento faz mais sentido em transferências pontuais, com titular identificado e finalidade clara. Para fluxos contínuos de dados em ambientes de CRM ou CDP, outras hipóteses são juridicamente mais sólidas.

Outras hipóteses do artigo 33

A LGPD ainda autoriza transferências internacionais quando necessárias para cooperação jurídica internacional, proteção da vida ou incolumidade física do titular, execução de contrato do qual o titular seja parte, e exercício regular de direitos. Essas hipóteses têm aplicação mais específica e dificilmente cobrem operações tecnológicas de larga escala.

Papel da ANPD na regulamentação do tema

A Autoridade Nacional de Proteção de Dados tem competência expressa para publicar a lista de países com proteção adequada e para aprovar modelos de cláusulas contratuais padrão. Enquanto essas entregas não estão completas, as empresas navegam em um ambiente de maior incerteza regulatória.

Resolução CD/ANPD nº 19/2024

A Resolução CD/ANPD nº 19/2024 estabeleceu o processo formal para o reconhecimento de adequação de países e organizações internacionais. O documento define os critérios que serão avaliados, como a existência de legislação protetiva, mecanismos de enforcement e reciprocidade, além dos procedimentos para solicitação e análise.

Até a publicação deste artigo, nenhum país havia sido formalmente reconhecido pela ANPD como adequado. O processo está em curso, e o acompanhamento direto do site da ANPD (gov.br/anpd) e do Diário Oficial da União é a forma mais confiável de se manter atualizado, sem depender de interpretações de fornecedores interessados.

Como acompanhar atualizações regulatórias

Crie alertas no sistema de pesquisa do Diário Oficial para termos como “transferência internacional” e “ANPD”. Assine o canal oficial de comunicados da ANPD. Evite confiar exclusivamente em informativos de fornecedores de tecnologia ou escritórios de advocacia vinculados a produtos específicos, pois o interesse comercial pode distorcer a leitura das normas.

Impacto prático para operações com CDPs, CRMs e plataformas de dados

Mapeamento de fluxos de dados

O primeiro passo concreto é saber para onde os dados vão. Isso exige revisar contratos de tecnologia, termos de serviço e arquiteturas de integração para identificar quais fornecedores processam dados pessoais fora do Brasil. Muitos contratos de SaaS mencionam apenas de forma genérica que dados podem ser processados “em qualquer país onde o fornecedor opera”, e essa cláusula precisa ser questionada.

Ferramentas de mapeamento de fluxos de dados ajudam a visualizar as transferências, mas dependem da qualidade do inventário de sistemas levantado pela equipe de TI e privacidade. Sem esse inventário, qualquer análise de conformidade é incompleta.

Data Processing Agreements com fornecedores estrangeiros

Todo fornecedor estrangeiro que processa dados pessoais de titulares brasileiros deve assinar um Data Processing Agreement (DPA), ou adendo de proteção de dados, que inclua cláusulas equivalentes às exigências da LGPD. Isso envolve, entre outros pontos: finalidade e base legal do tratamento, medidas de segurança, notificação em caso de incidentes e obrigações em caso de encerramento do contrato.

Na prática, grandes fornecedores globais, como plataformas de automação de marketing, CDPs, CRMs e provedores de nuvem, já disponibilizam DPAs padronizados focados no GDPR. Antes de assinar, verifique se o documento cobre as especificidades da LGPD ou se há lacunas que precisam ser cobertas por adendo.

Cenários comuns no mercado brasileiro

Dados de clientes brasileiros processados em servidores nos Estados Unidos são o cenário mais frequente, dado que grande parte das plataformas de CRM, automação e analytics tem sua infraestrutura principal lá. A Europa é outro destino comum, especialmente para empresas que já operam sob o GDPR. Regiões da Ásia aparecem com menor frequência, mas surgem em operações de e-commerce com fornecedores globais de logística e pagamentos.

Cada um desses destinos tem um nível diferente de maturidade regulatória e diferentes instrumentos disponíveis para embasar a transferência. Os EUA, por exemplo, passaram por anos de incerteza após o fim do Privacy Shield, até o estabelecimento do EU-U.S. Data Privacy Framework em 2023, acordo que não tem efeito direto na relação Brasil-EUA, mas influencia as práticas contratuais do setor.

Transferências ocultas via integrações de terceiros

Um risco frequentemente subestimado são as transferências internacionais indiretas: pixels de rastreamento, SDKs de analytics, ferramentas de enriquecimento de dados e integrações nativas entre plataformas que enviam dados a servidores externos sem que a empresa tenha contratado diretamente esses destinos.

Um CDP integrado a uma plataforma de anúncios, por exemplo, pode repassar dados de identificação de usuários a parceiros de dados terceiros localizados fora do Brasil. Revisar as políticas de privacidade e os termos de uso das ferramentas utilizadas, e não apenas dos fornecedores primários, é parte essencial do mapeamento.

Boas práticas para adequação sem paralisar operações

Inventário de transferências internacionais no RoPA

O Registro de Operações de Tratamento de Dados (RoPA) previsto na LGPD deve incluir, para cada operação, a indicação de transferências internacionais e o mecanismo legal utilizado para autorizá-las. Manter esse registro atualizado permite identificar lacunas de conformidade antes que se tornem problemas regulatórios ou reputacionais.

Estruture o RoPA para registrar, no mínimo: o país de destino dos dados, o nome do fornecedor ou entidade receptora, a categoria de dados transferidos, a finalidade e o instrumento legal adotado, como cláusula contratual, consentimento ou execução de contrato.

Avaliação de risco proporcional

Nem todas as transferências têm o mesmo nível de risco. Dados sensíveis, como de saúde, biometria, origem racial ou convicção religiosa, transferidos em alto volume para jurisdições com proteção fraca exigem atenção prioritária. Dados de contato profissional transferidos para processamento de e-mail marketing em um provedor com DPA adequado têm perfil de risco muito diferente.

Use critérios de criticidade dos dados, volume de titulares afetados e finalidade do tratamento para priorizar as revisões. Isso evita que o processo de adequação se torne paralisante e permite avançar de forma estruturada.

Cláusulas contratuais como solução interim

Enquanto a ANPD não publica modelos oficiais de cláusulas padrão nem finaliza a lista de países adequados, a saída mais utilizada pelo mercado é a adoção de cláusulas inspiradas nas Standard Contractual Clauses (SCCs) do GDPR, adaptadas para a LGPD. Não é uma solução perfeita, já que a ANPD ainda não homologou esse formato, mas representa uma demonstração de boa-fé e diligência que conta em caso de questionamento regulatório.

Documente o raciocínio jurídico por trás da escolha. Um memo interno descrevendo por que determinada cláusula foi adotada e quais alternativas foram consideradas é parte da defesa em caso de investigação.

Treinamento de procurement e TI

A maioria das transferências internacionais não planejadas começa na contratação de um novo fornecedor sem que a equipe de compras saiba fazer as perguntas certas. Inclua um checklist de privacidade no processo de onboarding de fornecedores: o serviço processa dados pessoais? Onde ficam os servidores? Há DPA disponível? Existe subprocessador fora do Brasil?

Times de TI também precisam ser sensibilizados para reportar novas integrações, SDKs e APIs ao DPO antes de ativá-las em produção. A transferência internacional muitas vezes começa com um desenvolvedor adicionando um script de terceiro sem verificar para onde os dados vão.

Comparação com o GDPR: semelhanças e diferenças relevantes

A estrutura da LGPD para transferências internacionais foi claramente inspirada nos artigos 44 a 49 do GDPR. Os mecanismos básicos são análogos: decisão de adequação, cláusulas contratuais padrão, regras corporativas vinculantes e consentimento explícito aparecem nos dois regimes.

As diferenças, porém, são significativas. O GDPR conta com anos de precedentes, decisões das autoridades nacionais europeias, guidelines do European Data Protection Board e jurisprudência do Tribunal de Justiça da UE. A ANPD ainda está construindo sua capacidade regulatória e de enforcement, o que gera incerteza, mas também um momento favorável para as empresas organizarem sua casa antes de uma fase mais intensa de fiscalização.

Outro ponto crítico: os instrumentos aprovados pela União Europeia, como as SCCs revisadas em 2021 ou o EU-U.S. Data Privacy Framework, não têm validade automática no contexto Brasil-fornecedor. Uma empresa que cumpre o GDPR integralmente pode ainda estar desconforme com a LGPD em relação às mesmas transferências, se não tiver adotado os mecanismos específicos exigidos pela lei brasileira.

Empresas com operações globais frequentemente assumem que a conformidade GDPR “cobre” o Brasil. Essa suposição é incorreta e pode criar exposição regulatória real. A LGPD tem dispositivos próprios, a ANPD tem competência exclusiva sobre o território brasileiro, e os mecanismos precisam ser estabelecidos sob a ótica da lei nacional.

Como avaliar a situação da sua empresa

Use as etapas abaixo como ponto de partida para diagnosticar e estruturar a conformidade em transferências internacionais:

1. Mapeie todos os fornecedores de tecnologia que processam dados pessoais de titulares brasileiros e identifique a localização dos servidores e subprocessadores.
2. Classifique as transferências por risco — tipo de dado, volume, finalidade e jurisdição de destino — e priorize a revisão pelas de maior criticidade.
3. Revise os contratos existentes e verifique se há DPA assinado com cada fornecedor estrangeiro relevante. Identifique gaps e inicie negociações para inclusão de cláusulas adequadas.
4. Inclua transferências internacionais no RoPA, documentando o instrumento legal adotado para cada operação.
5. Implemente um processo de due diligence de privacidade para novos fornecedores, com checklist específico para identificar transferências antes da contratação.
6. Monitore o site da ANPD para atualizações sobre a lista de países adequados e modelos de cláusulas contratuais oficiais — esses instrumentos, quando publicados, devem substituir as soluções interim adotadas.
7. Documente as decisões tomadas e o raciocínio jurídico por trás delas. Em caso de investigação, a demonstração de diligência conta a favor da empresa.