Em 2024, a ANPD - Autoridade Nacional de Proteção de Dados editou a resolução 19 que estabeleceu diretrizes para a transferência internacional de dados pessoais e fixou agosto de 2025 como prazo final para a adequação das empresas às novas regras.
Agora, sete meses após o encerramento do prazo de adaptação, a Autoridade afirma que segue monitorando a implementação das regras.
Em entrevista, o presidente da ANPD, Waldemar Gonçalves, alertou que, com o prazo de adequação encerrado, empresas que realizarem envio de dados ao exterior sem respaldo nos mecanismos previstos na legislação podem ser alvo de fiscalização e sanções.
Ainda, ressaltou que eventuais entraves relacionados ao uso das chamadas "cláusulas-padrão contratuais" - mecanismo previsto na norma - não impedem a continuidade das transferências, já que os agentes de tratamento podem optar por outras bases legais autorizadas pela LGPD.
Entenda
A resolução 19/24 regulamenta a transferência internacional de dados pessoais prevista na LGPD.
Na prática, ela define em quais hipóteses dados de brasileiros podem ser enviados a outros países, estabelecendo critérios e garantias mínimas para essas operações.
O regulamento prevê dois caminhos principais:
- Decisão de adequação, aplicada quando o país ou organismo internacional oferece nível de proteção equivalente ao da LGPD, permitindo a transferência sem necessidade de garantias adicionais;
- Garantias contratuais, exigidas quando o destino não é considerado adequado. Nesse caso, a transferência depende de instrumentos como cláusulas-padrão aprovadas pela ANPD, cláusulas específicas submetidas previamente à Autoridade ou normas corporativas globais em operações intragrupo.
A resolução também ressalta que outros mecanismos previstos no art. 33 da LGPD podem ser utilizados, desde que atendidos os requisitos legais.
Possível revisão
Questionado sobre relatos de inviabilidade prática na adoção das cláusulas-padrão por parte de empresas, Waldemar Gonçalves destacou que o processo regulatório da ANPD envolve elaboração, monitoramento e avaliação contínua.
Segundo ele, a coordenação-geral de normatização acompanha a implementação da resolução 19/24 e o texto poderá ser revisto "se for o caso".
O presidente reforçou ainda que as cláusulas-padrão não são o único instrumento disponível, já que a LGPD prevê diferentes mecanismos para garantir a legalidade das transferências internacionais.
Lista de países adequados
Outro ponto abordado foi a expectativa do setor quanto à divulgação de países considerados adequados para transferências internacionais sem exigência de garantias adicionais.
Até o momento, a ANPD reconheceu formalmente apenas a União Europeia como organismo internacional com grau de proteção equivalente ao brasileiro.
Gonçalves explicou que, conforme a resolução 32/26, o reconhecimento abrange não apenas os Estados-membros da UE, mas também países do Espaço Econômico Europeu - como Islândia, Liechtenstein e Noruega - além de instituições e agências europeias.
Com isso, transferências para essas jurisdições podem ocorrer com base no mecanismo de adequação previsto no art. 33, I, da LGPD.
Empresas estão automaticamente irregulares?
Sobre o encerramento do prazo em agosto de 2025, o presidente da ANPD ponderou que empresas que realizam transferências internacionais ainda podem estar em conformidade, desde que utilizem outro mecanismo previsto no art. 33 da LGPD.
No entanto, ele alertou que, para aquelas que optaram especificamente pelo uso das cláusulas-padrão contratuais, a não incorporação dentro do prazo pode ensejar atuação fiscalizatória.
"A ANPD poderá iniciar atividades de fiscalização para monitorar e até mesmo sancionar agentes de tratamento em desconformidade", afirmou.
Segundo Gonçalves, a fiscalização inclui monitoramento e levantamento de informações para assegurar o funcionamento regular do ambiente regulado.