Texto da norma
A transferência internacional de dados pessoais somente é permitida nos casos do art. 33 da LGPD (países com nível adequado; cláusulas-padrão; normas corporativas globais; selos, certificados e códigos de conduta; cooperação com autoridade estrangeira). LGPD, cláusula 8.2 · texto integral oficial em ANPD — Autoridade Nacional de Proteção de Dados.
Guia do Benjamin · IA do facilita.ia
O que isso quer dizer na prática?
A LGPD exige que, se a empresa enviar dados de clientes ou funcionários (como nome, CPF ou e-mail) para outro país, precisa garantir que esses dados estarão tão protegidos quanto no Brasil. Não adianta só mandar: tem que provar que o destino é seguro ou usar contratos/regulamentos que garantam isso.
Como atender (passo a passo)
- Identificar transferências internacionais Mapear onde a empresa envia dados para fora do Brasil (ex.: servidor na AWS nos EUA, folha de pagamento processada na Argentina, CRM com dados hospedado na Europa).
- Verificar se o país de destino é "seguro" Checar se o país tem leis de proteção de dados reconhecidas pela ANPD (ex.: União Europeia já é aprovada). Se não tiver, pular para o passo 3.
- Usar garantias alternativas
- Cláusulas-padrão: Assinar contrato com o parceiro estrangeiro usando modelo aprovado pela ANPD (como os da Comissão Europeia).
- Normas corporativas: Se for grupo multinacional, criar regras internas globais de privacidade e submeter à ANPD.
- Certificações: Exigir que o parceiro tenha selos como ISO 27001 ou adira a códigos de conduta setoriais (ex.: saúde, financeiro).
- Documentar tudo Guardar provas da análise (ex.: print da lista de países seguros da ANPD, contrato assinado, e-mail de aprovação da área jurídica).
- Atualizar o registro de operações Incluir a transferência no Registro de Tratamento de Dados da empresa (planilha ou sistema), com detalhes: quais dados, para onde vão, qual garantia foi usada.
O que auditor procura como evidência
- Lista atualizada de todos os países/empresas que recebem dados da sua empresa (mesmo que seja só backup na nuvem).
- Contratos ou termos com cláusulas de proteção de dados (ex.: "Model Clauses" da UE) assinados por ambas as partes.
- Comprovante de análise de risco (ex.: relatório interno dizendo "País X não é seguro, então usamos cláusulas-padrão").
- Trechos do registro de tratamento que mencionem a transferência e sua justificativa.
Erros comuns
- Acharem que "nuvem" não é transferência internacional: Se o servidor da Google ou Azure fica fora do Brasil, é transferência e precisa atendimento.
- Esquecer de parceiros indiretos: Ex.: a empresa contrata um software de RH que, por baixo dos panos, usa um subcontratado nos EUA. Ambos precisam estar cobertos.
- Deixar de atualizar a documentação: Mudou o país do servidor? Atualizou o contrato? Tem que refazer a análise e registrar.
Artefatos sugeridos para evidência auditável
Tipos de documento, processo, registro ou indicador que tipicamente sustentam essa cláusula em auditoria. Cada um é gerado e rastreado dentro do facilita.ia.
| Tipo | Artefato | Por quê |
|---|---|---|
| Document | Política de Transferência Internacional de Dados | Estabelece critérios e procedimentos para transferência internacional de dados conforme a LGPD. |
| Risk Register | Registro de Riscos de Transferência Internacional de Dados | Identifica e gerencia riscos associados à transferência internacional de dados pessoais. |
| Audit | Auditoria de Conformidade com a LGPD para Transferência Internacional | Verifica a conformidade com os requisitos da LGPD para transferência internacional de dados. |
| Business Process | Processo de Avaliação de Transferência Internacional de Dados | Define o fluxo de avaliação e aprovação para transferência internacional de dados pessoais. |
| Evidence | Relatório de Conformidade com Países de Nível Adequado | Comprova a conformidade com os países considerados adequados para transferência de dados. |
Como o facilita.ia aplica essa cláusula ao contexto da sua empresa
O Benjamin contextualiza esta orientação para a sua operação, cruza a evidência com outras normas via Cross Intelligence e mantém o rastreamento auditável.
Diagnóstico gratuito Ver comparativos