Para transferir dados pessoais para fora do Brasil, a empresa precisa de uma base legal e de um dos mecanismos do art. 33 da LGPD. Desde janeiro de 2026, a União Europeia é reconhecida pela ANPD como destino com proteção adequada (Resolução CD/ANPD nº 32/2026), e transferências para lá não exigem cláusulas contratuais. Para os demais destinos, como Estados Unidos, o caminho usual são as cláusulas-padrão contratuais da Resolução CD/ANPD nº 19/2024, adotadas na íntegra e sem alterações.
O prazo para incorporar essas cláusulas aos contratos que já usavam cláusulas contratuais como mecanismo terminou em 23 de agosto de 2025. Quem ainda transfere dados com base em cláusulas próprias está fora do prazo. Este artigo detalha o que a Resolução 19 exige, o que muda com a decisão sobre a UE e como organizar o trabalho.
Primeiro: é transferência ou coleta internacional?
O Regulamento de Transferência Internacional de Dados, anexo à Resolução 19, separa duas situações (art. 3º):
- Transferência internacional: um exportador (agente de tratamento no Brasil ou no exterior) envia dados pessoais a um importador localizado em país estrangeiro ou a um organismo internacional.
- Coleta internacional: o agente de tratamento localizado no exterior coleta os dados diretamente do titular.
A coleta internacional não caracteriza transferência (art. 6º). Uma loja online estrangeira que vende para consumidores brasileiros e recebe os dados direto do cliente faz coleta internacional: está sujeita à LGPD pelo art. 3º da lei, mas não precisa de cláusulas-padrão para isso. Já a empresa brasileira que sobe a base de clientes para um CRM hospedado nos Estados Unidos faz transferência.
O regulamento também lembra que a LGPD se aplica a dados vindos do exterior sempre que forem tratados no Brasil, com exceções como o simples trânsito (art. 8º). E cabe ao controlador verificar se cada operação é transferência, se está sujeita à lei brasileira e qual base legal e mecanismo a sustentam (art. 4º).
Os mecanismos e o que está disponível hoje
| Mecanismo (art. 33 da LGPD) | Situação em outubro de 2026 |
|---|---|
| Decisão de adequação | Só a União Europeia, pela Resolução CD/ANPD nº 32, de 26 de janeiro de 2026. |
| Cláusulas-padrão contratuais | Texto do Anexo II da Resolução 19/2024. É o mecanismo de uso geral para os demais destinos. |
| Cláusulas-padrão equivalentes de outro país | Previstas no regulamento, mas nenhuma foi reconhecida pela ANPD até agora. As cláusulas-padrão europeias, sozinhas, não valem como mecanismo brasileiro. |
| Cláusulas contratuais específicas | Só aprovadas quando a transferência não puder ser feita com as cláusulas-padrão, por circunstâncias excepcionais comprovadas (art. 21). Nenhuma aprovada até agora. |
| Normas corporativas globais | Para transferências dentro do mesmo grupo, ligadas a um programa de governança em privacidade e sujeitas à aprovação da ANPD. Nenhuma aprovada até agora. |
| Outras hipóteses do art. 33 | Cooperação jurídica internacional, proteção da vida, consentimento específico e destacado, cumprimento de obrigação legal, execução de contrato, entre outras. |
O que já foi reconhecido ou aprovado em cada mecanismo está listado na página da ANPD sobre transferência internacional, que a Agência atualiza a cada nova decisão. Na prática, para quase toda empresa a escolha fica entre adequação, quando o destino é a UE, e cláusulas-padrão, para o resto.
O que muda com a decisão de adequação da UE
A Resolução CD/ANPD nº 32/2026 reconhece a União Europeia como organismo internacional com grau de proteção adequado e autoriza transferências com base no art. 33, inciso I, da LGPD. Segundo o texto, o reconhecimento alcança os Estados-membros e também Islândia, Liechtenstein e Noruega, do Espaço Econômico Europeu. Ficam de fora as transferências feitas exclusivamente para segurança pública, defesa nacional, segurança do Estado ou investigação penal, e a decisão deve ser reavaliada em até quatro anos.
O movimento foi recíproco: a Comissão Europeia adotou no mesmo dia a Decisão de Execução (UE) 2026/179, que reconhece o Brasil como adequado para o GDPR. Para quem recebe dados de clientes ou matrizes europeias, isso dispensa as cláusulas europeias nesse sentido do fluxo.
Na nossa leitura, há dois cuidados antes de retirar cláusulas de contratos com fornecedores europeus. O primeiro é verificar onde estão os subcontratados do fornecedor: se a empresa europeia repassa os dados a um provedor nos Estados Unidos, esse trecho não está coberto pela adequação. O segundo é que a adequação resolve o mecanismo, mas não a base legal, a transparência nem os contratos de operador, que continuam necessários.
Como usar as cláusulas-padrão sem invalidá-las
A validade das cláusulas-padrão depende da adoção integral e sem alteração do texto do Anexo II (art. 16). Elas podem ir em um contrato dedicado à transferência ou em um contrato mais amplo, por termo aditivo, mas as outras disposições do contrato não podem excluir, modificar ou contrariar as cláusulas, nem direta nem indiretamente.
O anexo tem quatro seções, e cada uma tem uma regra:
- Seção I, informações gerais. Identificação das partes, objeto da transferência e escolha de opções. Na cláusula de transferências posteriores escolhe-se entre as opções A e B. Na de responsabilidades, a opção A vale quando pelo menos uma parte atua como controlador, e a B, para transferências entre operadores.
- Seção II, cláusulas obrigatórias. Adotadas sem nenhuma alteração. Incluem, por exemplo, a comunicação de incidentes à ANPD e aos titulares em três dias úteis (cláusula 16), a declaração do importador de que as leis do país de destino não impedem o cumprimento (cláusula 22) e a aplicação da lei brasileira, com foro no Brasil e arbitragem possível desde que no Brasil (cláusula 24).
- Seção III, medidas de segurança. As partes descrevem as medidas técnicas e administrativas adotadas.
- Seção IV, cláusulas adicionais. Opcional, para termos comerciais, desde que não contrarie as seções anteriores.
Uma retificação publicada no DOU em 18 de agosto de 2025 corrigiu a cláusula 15.4(b), que passou a remeter ao item 15.3, onde está o prazo de 15 dias para responder a pedidos de titulares. Quem copiou o texto antes dessa data deve conferir a versão.
O erro que mais invalida as cláusulas, na nossa leitura, é o mais previsível: o jurídico do fornecedor estrangeiro «ajusta» a redação da Seção II ou acrescenta na Seção IV uma limitação de responsabilidade que esvazia a cláusula 17. Pelo art. 16, isso compromete o mecanismo inteiro. Vale negociar o contrato comercial à parte e deixar o anexo intocado.
Transparência: o que publicar no site
Quem usa cláusulas-padrão tem dois deveres de transparência (art. 17). O primeiro é entregar ao titular que pedir a íntegra das cláusulas, respeitados os segredos comercial e industrial, em até 15 dias. O segundo é publicar no site um documento em português e em linguagem simples, com informações como a forma, a duração e a finalidade específica da transferência, o país de destino, os contatos do controlador e os direitos do titular, inclusive o de peticionar à ANPD.
É fácil esquecer esse documento, porque ele não está no contrato. Ele pode ser uma seção da política de privacidade, desde que traga os itens do art. 17 para cada transferência relevante.
Por onde começaríamos
- Mapear os fluxos. Partir do inventário de fornecedores e do registro das operações de tratamento e marcar onde os dados são armazenados e processados, incluindo subcontratados. Sem isso não se sabe quantas transferências existem.
- Classificar por destino. UE e EEE de um lado, demais países de outro.
- Rever os contratos dos demais destinos. Conferir se o Anexo II está incorporado na íntegra, na versão retificada, e se nada no contrato principal o contraria.
- Publicar a informação do art. 17 e preparar a resposta de 15 dias.
- Alinhar o fluxo de incidentes. A cláusula 16 traz o mesmo prazo de três dias úteis da Resolução CD/ANPD nº 15/2024, e o importador precisa saber disso.
O primeiro passo tende a ser o mais demorado, porque a informação está espalhada entre compras, TI e jurídico. No GlobalSuite®, o módulo de Riscos de terceiros mantém o inventário de fornecedores com as evidências de cada avaliação, e o de Proteção de dados liga esse inventário ao registro das operações de tratamento. Para o quadro geral da lei, veja o nosso guia da LGPD e o artigo sobre gestão de riscos de terceiros.
Fontes oficiais: Resolução CD/ANPD nº 19, de 23 de agosto de 2024, com a retificação de 18/08/2025, Resolução CD/ANPD nº 32, de 26 de janeiro de 2026 (DOU), página da ANPD sobre transferência internacional, Decisão de Execução (UE) 2026/179 e Lei nº 13.709/2018 (LGPD), arts. 33 a 36. Conteúdo revisado em outubro de 2026.
