Um dos pontos importantes da Lei Geral de Proteção de Dados Pessoais (LGPD) que faltam ser ainda regulamentados é o Regulamento de Transferências Internacionais de Dados Pessoais, que trará as regras de transferências de dados pessoais para países estrangeiros ou organismos internacionais dos quais o Brasil é membro. Recentemente, a Autoridade Nacional de Proteção de Dados Pessoais (ANPD) realizou uma audiência pública sobre a minuta da regra.
Jenne Silva, sócia do Vieira da Rocha, Machado Alves Advogados, explica que o tema merece atenção e se torna necessária a devida regulamentação justamente para que haja transparência, razoabilidade e legitimidade no tratamento de dados pessoais quando ocorrer a transferência internacional. A preocupação é que os dados sejam transferidos para países que também contam com nível adequado de segurança das informações. Ou, quando isso não ocorrer, que haja salvaguardas, por meio de cláusulas contratuais, para garantir que há preocupação com a segurança dos dados pessoais.
A minuta de norma estabelece os procedimentos e as regras aplicáveis às operações de transferência internacional de dados realizadas para países ou organismos internacionais que proporcionem grau de proteção de dados pessoais adequado ao previsto na LGPD. Mas existe a possibilidade de transferência desses dados também para países ou organismos que ainda não considerados adequados. Isso pode ser feito pelo controlador de dados (o responsável pela salvaguarda da integridade dos dados pessoais) quando ele comprovar que respeita os direitos do titular dos dados e o regime de proteção previstos na LGPD – tanto por meio do estabelecimento de cláusulas contratuais específicas para determinada transferência, de cláusulas-padrão contratuais ou de normas corporativas globais. Essas cláusulas são objeto da minuta de norma, sobre a qual a audiência pública versou.
Como as empresas vêm fazendo a transferência internacional de dados na ausência da regra, que ainda não foi publicada, Silva lembra que será necessário atualizar os contratos, para incorporar os requisitos da ANPD, em até 180 dias, contados da data de publicação desta Resolução. Na entrevista abaixo, a advogada aborda o assunto.
– No que consiste a transferência internacional de dados?
Jenne Silva: Trata-se da transferência de dados pessoais para país estrangeiro ou organismo internacional do qual o Brasil seja membro.
– Por que a regulamentação da transferência internacional de dados é relevante?
Jenne Silva: É fundamental disciplinar a transferência de dados pessoais para países estrangeiros ou organismos internacionais dos quais o Brasil seja membro para estabelecer regras aplicáveis às operações, responsabilidades, deveres, direitos, bem como prever os modelos de Cláusulas-Padrão Contratuais, o fluxo de aprovação das Cláusulas Específicas e Normas Corporativas Globais, além do mecanismo da Decisão de Adequação.
O tema merece atenção e se torna necessária a devida regulamentação justamente para que haja transparência, razoabilidade e legitimidade no tratamento de dados pessoais quando ocorrer a transferência internacional.
– Quais são os principais pontos da minuta de regulamento de transferência internacional de dados?
Jenne Silva: Estabelece os procedimentos e as regras aplicáveis às operações de transferência internacional de dados realizadas: para países ou organismos internacionais que proporcionem grau de proteção de dados pessoais adequado ao previsto na LGPD; e nas hipóteses em que o controlador oferecer e comprovar garantias de cumprimento dos princípios, dos direitos do titular e do regime de proteção de dados previstos na LGPD, na forma de: a) cláusulas contratuais específicas para determinada transferência; b) cláusulas-padrão contratuais; ou c) normas corporativas globais.
– Há ajustes que podem aprimorar a regra publicada e/ou pontos que geram preocupação? Em caso afirmativo, quais são?
Jenne Silva: O ponto de alerta é com relação à futura necessidade de atualização/revisão contratual por parte dos agentes de tratamento que realizam transferências internacionais de dados por meio de cláusulas-padrão contratuais que deverão incorporar as cláusulas aprovadas pela ANPD aos seus respectivos instrumentos contratuais no prazo de até 180 dias, contados da data de publicação desta Resolução.
A revisão dos instrumentos contratuais para garantir a devida conformidade de acordo com a futura normativa deverá fazer parte do plano de ação de conformidade dentro de um Programa de Governança de Dados para alinhamento dos aspectos operacionais e jurídicos.
