Transferência Internacional de Dados na LGPD: Hipóteses e Mecanismos Legais
Atualizado em
A transferência internacional de dados pessoais é permitida pela LGPD em hipóteses taxativas do Art. 33 da Lei 13.709/2018, incluindo países com nível adequado de proteção reconhecido pela ANPD, cláusulas contratuais específicas, normas corporativas globais e consentimento específico do titular.
Quando ocorre transferência internacional de dados
A transferência internacional de dados pessoais ocorre sempre que dados são enviados, armazenados ou processados em país estrangeiro ou organização internacional. Nos termos da LGPD, essa operação está sujeita a regras específicas dos Arts. 33 a 36 da Lei 13.709/2018, que estabelecem hipóteses taxativas para sua realização.
Definição legal e escopo
A LGPD não define expressamente "transferência internacional", mas a interpretação consolidada pela ANPD abrange qualquer operação em que dados pessoais sejam comunicados, transmitidos ou de qualquer forma disponibilizados a agente de tratamento localizado fora do território brasileiro. Isso inclui tanto o envio ativo de dados quanto o acesso remoto por entidade estrangeira.
Serviços em nuvem como transferência internacional
O uso de serviços em nuvem com servidores fora do Brasil (AWS, Google Cloud, Azure, Cloudflare) configura transferência internacional quando dados pessoais são armazenados ou processados nesses servidores. Mesmo que o provedor tenha data centers no Brasil, se houver replicação ou backup em servidores estrangeiros, a transferência se configura. O controlador deve mapear onde seus dados são efetivamente processados.
Hipóteses autorizadas pelo Art. 33
O Art. 33 da LGPD lista nove hipóteses que autorizam a transferência internacional de dados pessoais. A transferência só é lícita quando enquadrada em ao menos uma dessas hipóteses. O controlador deve documentar qual hipótese fundamenta cada fluxo internacional de dados.
Países com grau de proteção adequado
O Art. 33, I autoriza transferência para países ou organismos internacionais que proporcionem grau de proteção de dados pessoais adequado ao previsto na LGPD. A avaliação de adequação é competência da ANPD, que deve considerar as normas gerais e setoriais do país destinatário, a natureza dos dados e as medidas de segurança adotadas (Art. 34).
Cláusulas contratuais específicas
Cláusulas contratuais específicas (Art. 33, II, "b") são instrumentos firmados entre o exportador (controlador no Brasil) e o importador (receptor no exterior) que garantem nível de proteção equivalente à LGPD. A ANPD publicou modelos de cláusulas-padrão na Resolução CD/ANPD nº 19/2024, facilitando a adoção desse mecanismo por empresas de todos os portes.
Normas corporativas globais (BCRs)
Normas corporativas globais (Binding Corporate Rules — BCRs) são políticas internas de grupos empresariais multinacionais que estabelecem regras vinculantes de proteção de dados para transferências intragrupo (Art. 33, II, "a"). Devem ser submetidas à aprovação da ANPD e garantir direitos exercíveis pelos titulares brasileiros.
Consentimento específico e destacado
O consentimento específico e em destaque (Art. 33, VIII) é uma hipótese residual para transferência internacional. O titular deve ser informado previamente sobre o caráter internacional da operação, os países destinatários e os riscos envolvidos. O consentimento deve ser separado das demais autorizações e pode ser revogado a qualquer momento.
Regulamentação da ANPD sobre transferências internacionais
A ANPD tem competência para regulamentar as condições de transferência internacional de dados, conforme Art. 35 da LGPD. Em 2024, a autoridade publicou normas complementares que detalham os procedimentos e requisitos para cada mecanismo de transferência.
Resolução CD/ANPD nº 19/2024
A Resolução CD/ANPD nº 19, de 23 de agosto de 2024, estabelece normas complementares sobre transferência internacional de dados pessoais. Define critérios para avaliação de adequação de países, requisitos para cláusulas contratuais, procedimentos para aprovação de normas corporativas globais e obrigações de documentação para controladores que realizam transferências internacionais.
Cláusulas-padrão contratuais da ANPD
As cláusulas-padrão contratuais (Standard Contractual Clauses) publicadas pela ANPD são modelos pré-aprovados que podem ser adotados por controladores e operadores para fundamentar transferências internacionais. Sua adoção simplifica o processo de conformidade, pois dispensa aprovação individual pela ANPD, desde que as cláusulas sejam utilizadas sem modificações substanciais.
Impacto prático para sites e aplicações web
Na prática, a maioria dos sites brasileiros realiza transferência internacional de dados sem perceber, por meio de serviços de terceiros cujos servidores estão localizados no exterior. Mapear esses fluxos é o primeiro passo para garantir conformidade.
Serviços comuns que transferem dados ao exterior
Serviços que comumente transferem dados ao exterior incluem: provedores de email (Gmail, Outlook), analytics (Google Analytics), CDNs (Cloudflare, Akamai), CRMs (HubSpot, Salesforce), plataformas de pagamento (Stripe), ferramentas de marketing (Mailchimp, ActiveCampaign) e serviços de hospedagem em nuvem (AWS, GCP, Azure). Cada um desses fluxos deve ser documentado e fundamentado em hipótese legal.
Mapeamento de fluxos internacionais
O mapeamento de fluxos internacionais deve identificar: quais dados são transferidos, para qual país/organização, com qual finalidade, qual a base legal da transferência (Art. 33), se existem cláusulas contratuais ou garantias equivalentes e quais medidas de segurança são adotadas. Esse mapeamento deve ser mantido atualizado e disponível para fiscalização pela ANPD.
Como documentar transferências internacionais
A documentação de transferências internacionais deve incluir: inventário de todos os fluxos internacionais de dados, identificação dos importadores (receptores no exterior), hipótese legal que fundamenta cada transferência (Art. 33), cópias de cláusulas contratuais ou BCRs quando aplicáveis, avaliação de riscos e medidas de segurança adotadas. Essa documentação integra o programa de governança em privacidade e deve ser apresentada à ANPD quando solicitada.
| Mecanismo | Fundamento Legal | Requisitos Principais |
|---|---|---|
| País com nível adequado | Art. 33, I | Reconhecimento formal pela ANPD do grau de proteção do país destinatário |
| Cláusulas contratuais específicas | Art. 33, II, "b" | Contrato entre exportador e importador com garantias equivalentes à LGPD |
| Normas corporativas globais (BCRs) | Art. 33, II, "a" | Políticas internas de grupo empresarial aprovadas pela ANPD |
| Selos e certificados | Art. 33, II, "d" | Certificação reconhecida pela ANPD (ainda não regulamentado) |
| Consentimento específico | Art. 33, VIII | Consentimento destacado, informado sobre riscos e caráter internacional |
| Cooperação jurídica internacional | Art. 33, III | Acordos de cooperação entre órgãos públicos de inteligência e investigação |
| Proteção da vida ou incolumidade | Art. 33, IV | Necessidade de proteção da vida ou segurança física do titular ou terceiro |
| Execução de política pública | Art. 33, VII | Transferência necessária para execução de política pública (órgãos públicos) |
Indo além da auditoria pontual
Monitoramento vem depois.
A skill resolve o diagnóstico. O dashboard vai resolver o monitoramento contínuo, alertas e relatórios de conformidade. Cadastre-se para acesso antecipado.
Perguntas Frequentes
- Usar serviços em nuvem estrangeiros configura transferência internacional?
- Sim. Quando dados pessoais são armazenados ou processados em servidores localizados fora do Brasil, configura-se transferência internacional nos termos do Art. 33 da Lei 13.709/2018. Isso inclui serviços como AWS, Google Cloud, Azure e qualquer SaaS com servidores no exterior.
- Quais países têm nível adequado de proteção reconhecido pela ANPD?
- Até julho de 2025, a ANPD ainda não publicou lista definitiva de países com nível adequado de proteção, conforme previsto no Art. 34 da Lei 13.709/2018. A Resolução CD/ANPD nº 19/2024 estabeleceu os critérios para essa avaliação. [VERIFICAR] status atualizado da lista.
- O que são cláusulas contratuais específicas para transferência?
- São instrumentos contratuais entre exportador e importador de dados que garantem nível de proteção equivalente à LGPD. O Art. 33, II, alínea "b" da Lei 13.709/2018 prevê essa hipótese. A ANPD publicou modelos de cláusulas-padrão na Resolução CD/ANPD nº 19/2024.
- Posso transferir dados ao exterior com base no consentimento?
- Sim, mas o Art. 33, VIII da Lei 13.709/2018 exige consentimento específico e em destaque para a transferência internacional. O titular deve ser informado sobre o caráter internacional da operação e os riscos envolvidos, de forma separada das demais autorizações.
- Qual a penalidade por transferência internacional irregular?
- A transferência sem amparo nas hipóteses do Art. 33 sujeita o controlador às sanções do Art. 52 da Lei 13.709/2018, incluindo multa de até 2% do faturamento (limitada a R$ 50 milhões), bloqueio dos dados e suspensão do exercício da atividade de tratamento.
Indo além da auditoria pontual
Monitoramento vem depois.
A skill resolve o diagnóstico. O dashboard vai resolver o monitoramento contínuo, alertas e relatórios de conformidade. Cadastre-se para acesso antecipado.