Transferência internacional de dados no onboarding, o que a ANPD passou a exigir

Um fluxo de verificação de identidade quase nunca vive inteiro dentro do país. A consulta a uma lista de sanções internacional, um serviço de análise hospedado no exterior, um provedor de infraestrutura com região fora do Brasil, um antifraude global: cada um desses pontos pode significar que dado pessoal de um cliente brasileiro cruza a fronteira. A Lei Geral de Proteção de Dados, a Lei 13.709/2018, não proíbe isso, mas condiciona. E em 2024 a Autoridade Nacional de Proteção de Dados, a ANPD, fechou a lacuna que faltava para essa parte da lei sair do papel.

Este artigo explica quando uma transferência internacional acontece de fato, quais são as bases que a autorizam, e o que a Resolução CD/ANPD 19/2024 mudou na prática para quem monta um fluxo de onboarding com fornecedor ou infraestrutura fora do país. É um assunto que parecia teórico enquanto faltava o instrumento operacional, e deixou de ser quando ele foi publicado.

O que conta como transferência internacional

Transferência internacional de dados, na definição da LGPD, é a transferência de dados pessoais para país estrangeiro ou organismo internacional do qual o país seja membro. O ponto que costuma passar despercebido é que não se trata só de exportar um banco de dados: hospedar dado em um servidor localizado fora do Brasil, dar a um fornecedor estrangeiro acesso remoto a dado que está aqui, ou enviar um atributo do cliente a uma API internacional, tudo isso é transferência internacional para efeito da lei.

Em um fluxo de verificação, os pontos típicos são a triagem contra listas mantidas por autoridades estrangeiras, o uso de um serviço de análise sediado fora do país, e a infraestrutura de nuvem em região internacional. Reconhecer esses pontos é o primeiro passo, porque a base legal precisa existir para cada um deles.

As bases que autorizam a transferência

A LGPD trata do tema nos artigos 33 a 36. O artigo 33 lista as hipóteses em que a transferência internacional é permitida. As duas mais relevantes para o dia a dia de quem contrata fornecedor são a decisão de adequação e as garantias oferecidas pelo controlador.

A decisão de adequação é o reconhecimento, pela ANPD, de que um país ou organismo internacional proporciona grau de proteção adequado ao da lei brasileira. Havendo essa decisão, a transferência para aquele destino fica autorizada por ela. Enquanto a lista de países adequados não está formada, o caminho prático é o das garantias do controlador, previsto no artigo 35: cláusulas-padrão contratuais, cláusulas contratuais específicas, normas corporativas globais ou selos e certificados, todos em modelo definido pela ANPD.

O artigo 33 traz ainda outras hipóteses de menor uso rotineiro, como a transferência necessária para cumprimento de obrigação legal ou regulatória, para execução de contrato do qual o titular é parte, para o exercício regular de direitos em processo, para a proteção da vida, e a que se apoia no consentimento específico e destacado do titular. Consentimento, aqui, tem os mesmos problemas de sempre em contexto de verificação obrigatória: é base frágil para um fluxo que a empresa precisa executar de qualquer modo, e revogável a qualquer tempo.

O que a Resolução CD/ANPD 19/2024 trouxe

A peça que faltava era o instrumento. Sem o modelo oficial de cláusulas-padrão e sem os critérios de adequação, a garantia do artigo 35 existia na lei mas não tinha forma concreta. A Resolução CD/ANPD 19, de 23 de agosto de 2024, aprovou o Regulamento de Transferência Internacional de Dados Pessoais e o modelo de cláusulas-padrão contratuais, as chamadas cláusulas-padrão.

O regulamento faz três coisas centrais. Primeiro, detalha como funcionam as decisões de adequação, os critérios que a ANPD considera ao avaliar o grau de proteção de um destino. Segundo, estabelece o modelo de cláusulas-padrão contratuais que controlador e importador devem adotar, com a regra de que o núcleo dessas cláusulas não pode ser alterado para enfraquecer a proteção, sob pena de descaracterizar a garantia. Terceiro, fixa requisitos para as normas corporativas globais, o instrumento próprio de grupos econômicos que transferem dados entre suas entidades em diferentes países.

O regulamento também previu um período de transição para que contratos já em vigor se adaptem ao novo regime. Como a resolução é recente, o prazo exato e a forma de adequação são exatamente o tipo de detalhe que deve ser conferido na fonte primária antes de fechar um contrato, e não presumido de memória.

O que isso significa para quem monta o fluxo

O efeito prático para quem integra verificação é direto. Cada fornecedor ou infraestrutura que trata dado do cliente fora do Brasil precisa estar coberto por uma base do artigo 33. Na ausência de decisão de adequação para o destino, o instrumento natural passa a ser a cláusula-padrão contratual no modelo da ANPD, incorporada ao contrato com o fornecedor.

Isso conversa diretamente com a divisão de papéis do fluxo. O contrato entre controlador e operador é onde essas cláusulas vivem, e quem faz o papel de operador ao processar o dado no exterior precisa aceitar as obrigações do modelo. E há um recorte específico da verificação que merece atenção: a triagem contra listas de sanções e PEP mantidas por autoridades estrangeiras, como as dos Estados Unidos, da ONU, da União Europeia e do Reino Unido, pode implicar envio de atributo do cliente para fora ou consumo de dado de origem internacional, e entra nessa mesma análise.

Um princípio que reduz o problema pela raiz

Antes de resolver a transferência com contrato, vale reduzir a superfície. O princípio da necessidade, do artigo 6º da LGPD, manda tratar o mínimo de dado para a finalidade, e isso vale também para o que sai do país: quanto menos atributo cruza a fronteira, menor a exposição a administrar. Manter a mídia sensível e o dado bruto de verificação em infraestrutura no Brasil, e enviar ao exterior apenas o estritamente necessário para uma checagem específica, é uma decisão de arquitetura que diminui o risco antes de qualquer cláusula.

Na UNIFOKAL, por exemplo, a mídia de verificação vive em armazenamento cifrado e o desenho favorece manter o dado sensível próximo, uma escolha que também simplifica a resposta ao titular. Porque no fim a transferência internacional não anula nenhum outro dever: os direitos do titular continuam valendo, e o titular tem o direito de saber para onde seu dado foi. Desenhar o fluxo com a fronteira em mente desde o começo é mais barato do que remendar contratos depois.

Fontes citadas

• Lei 13.709/2018, LGPD, artigos 6º, 33, 34, 35 e 36, sobre transferência internacional de dados, disponível no portal do Planalto: planalto.gov.br
• Resolução CD/ANPD 19, de 23 de agosto de 2024, que aprovou o Regulamento de Transferência Internacional de Dados Pessoais e o modelo de cláusulas-padrão contratuais, publicada pela Autoridade Nacional de Proteção de Dados no portal gov.br/anpd