Envio de dados pessoais ao exterior entra no foco da fiscalização da ANPD

A transferência internacional de dados pessoais passou a integrar de forma mais direta o radar fiscalizatório da ANPD. Sete meses após o fim do prazo de adequação à resolução 19/24, a Autoridade Nacional de Proteção de Dados afirmou que segue acompanhando, de perto, como empresas e órgãos públicos estão aplicando as novas regras.

Em 2024, a ANPD editou a resolução que regulamenta o envio de dados pessoais ao exterior, estabelecendo agosto de 2025 como data-limite para a adaptação dos agentes de tratamento. Agora, com o encerramento do prazo, o órgão intensifica o monitoramento da conformidade.

Fiscalização e risco de sanções

Em entrevista, o presidente da ANPD, Waldemar Gonçalves, alertou que empresas que realizam transferências internacionais sem respaldo nos mecanismos previstos na LGPD podem sofrer fiscalização e até sanções administrativas.

Segundo ele, o término do prazo não impede automaticamente as operações. No entanto, exige atenção redobrada. Isso porque o envio de dados ao exterior precisa, obrigatoriamente, se apoiar em uma das bases legais previstas na legislação.

Além disso, Gonçalves ressaltou que eventuais dificuldades na adoção das cláusulas-padrão contratuais não inviabilizam as transferências. Afinal, a LGPD oferece outros instrumentos jurídicos válidos para garantir a legalidade dessas operações.

O que prevê a resolução 19/24

A resolução 19/24 regulamenta o artigo 33 da LGPD e define quando e como dados pessoais de brasileiros podem ser transferidos para outros países. Na prática, o texto estabelece critérios mínimos de proteção e segurança.

O regulamento prevê dois caminhos principais:

• Decisão de adequação: aplicada quando o país ou organismo internacional oferece nível de proteção equivalente ao da LGPD. Nesse caso, a transferência ocorre sem exigência de garantias adicionais.
• Garantias contratuais: exigidas quando o destino não é considerado adequado. Aqui, entram mecanismos como cláusulas-padrão aprovadas pela ANPD, cláusulas específicas submetidas previamente à Autoridade ou normas corporativas globais em operações entre empresas do mesmo grupo.

Além disso, a norma permite o uso de outros mecanismos previstos no art. 33 da LGPD, desde que todos os requisitos legais sejam cumpridos.

Possível revisão das regras

Questionado sobre relatos de dificuldades práticas na aplicação das cláusulas-padrão, Waldemar Gonçalves destacou que o processo regulatório da ANPD é contínuo. Portanto, envolve elaboração, monitoramento e avaliação permanente.

Segundo ele, a coordenação-geral de normatização acompanha a implementação da resolução. Assim, o texto pode ser revisto, se necessário, para garantir maior efetividade e segurança jurídica.

Lista de países considerados adequados

Outro ponto relevante diz respeito à lista de países com nível de proteção adequado. Até o momento, a ANPD reconheceu formalmente apenas a União Europeia como organismo internacional equivalente à LGPD.

De acordo com Gonçalves, esse reconhecimento, conforme a resolução 32/26, abrange também os países do Espaço Econômico Europeu, como Islândia, Liechtenstein e Noruega, além de instituições e agências europeias.

Com isso, transferências para essas jurisdições podem ocorrer com base no mecanismo de adequação previsto no art. 33, I, da LGPD, sem exigência de garantias adicionais.

Empresas estão automaticamente irregulares?

Sobre o fim do prazo de adaptação, o presidente da ANPD ponderou que nem todas as empresas estão automaticamente em desconformidade. Isso porque aquelas que utilizam outros mecanismos legais previstos na LGPD podem permanecer regulares.

No entanto, ele fez um alerta específico. Empresas que optaram pelo uso das cláusulas-padrão contratuais e não as incorporaram dentro do prazo podem, sim, ser alvo de fiscalização.

“A ANPD poderá iniciar atividades de fiscalização para monitorar e até mesmo sancionar agentes de tratamento em desconformidade”, afirmou.

Segundo Gonçalves, a atuação fiscalizatória envolve monitoramento contínuo e coleta de informações. O objetivo, portanto, é assegurar o funcionamento regular e seguro do ambiente regulado.

Fonte: Migalhas