Nota INPD | Contratos, Proteção de Dados e o Prazo da ANPD para Transferência Internacional

Na última reunião mensal do INPD, realizada em 28 de maio, os associados participaram de uma discussão técnica e estratégica sobre os desafios relacionados à elaboração e análise de contratos sob a ótica da LGPD e da segurança da informação.

A associada Janaína Faccion conduziu uma apresentação prática e objetiva sobre cláusulas contratuais com foco em proteção de dados e transferência internacional, ressaltando a urgência das organizações em revisar seus instrumentos contratuais.

Por que o contrato não é o ponto de partida?

Antes de revisar ou firmar contratos, é essencial compreender a operação real de tratamento de dados:

• O que é tratado?

• Por quem, por que, como e onde?

• Qual o papel de cada agente de tratamento ?

Sem o devido mapeamento das operações de tratamento, aumentam significativamente os riscos de falhas contratuais. É comum encontrar cláusulas genéricas que mencionam a LGPD, mas que não definem com clareza os papéis dos agentes de tratamento, tampouco formalizam as instruções do Controlador — o que compromete a segurança jurídica do Controlador, do Operador e, principalmente, do titular dos dados.

Outro erro recorrente, segundo o Secretário Geral do INPD, Atilio Braga, é o descompasso entre a proposta comercial, o contrato e a forma como os serviços ou produtos são efetivamente executados — o que gera incoerências contratuais e eleva os riscos de não conformidade com a LGPD e demais normas aplicáveis.

Esse cenário torna o trabalho do profissional de privacidade ainda mais exigente, demandando conhecimento técnico aprofundado para interpretar, validar e acompanhar os contratos. Soma-se a isso a necessidade de sensibilização e capacitação dos gestores envolvidos na seleção de fornecedores, priorizando parceiros com maior nível de maturidade organizacional e compromisso com a governança de dados.

Adequação às cláusulas-padrão contratuais para a Transferência Internacional de Dados: o prazo da ANPD está acabando.

A discussão também destacou o prazo para adequação contratual estabelecido pela ANPD por meio da Resolução CD/ANPD nº 19/2024, publicada em 23 de agosto de 2024.

A Resolução aprovou o Regulamento de Transferência Internacional de Dados, incluindo os modelos de cláusulas-padrão contratuais (Anexo II) e os critérios previstos nos artigos 33 a 36 da LGPD.

Formas de regularizar a transferência internacional de dados, segundo a Resolução nº 19:

1. Cláusulas-padrão contratuais equivalentes.

Utilização de cláusulas alinhadas aos princípios da LGPD, sem exigência de formalização padronizada.

2. Cláusulas contratuais específicas.

Podem ser elaboradas pelo Controlador e submetidas à aprovação da ANPD, desde que comprovem garantias adequadas de proteção de dados.

3. Cláusulas-padrão contratuais (Anexo II da Resolução).

Adoção integral e sem alteração do texto disponibilizado no Anexo II da Resolução, mediante instrumento contratual firmado entre o exportador e o importador, podendo integrar o contrato celebrado para reger especificamente transferências internacionais de dados ou o contrato com objeto mais amplo, inclusive mediante a assinatura de termo aditivo pelo exportador e pelo importador envolvidos na operação de transferência internacional de dados.

4. Normas corporativas globais (BCRs)

Aplicáveis a grupos empresariais com atuação internacional. Devem ser submetidas à aprovação formal da ANPD.

Fique atento ao prazo:

Todos os agentes de tratamento têm até 23 de agosto de 2025 para incorporar essas cláusulas aos seus contratos.

O prazo está correndo — e o descumprimento poderá resultar em sanções e riscos jurídicos significativos.

INPD alerta:

A adequação contratual à LGPD e à Resolução nº 19/2024 não é apenas uma obrigação regulatória — é uma prática essencial de boa governança, transparência e responsabilidade com os titulares de dados, ou seja, para a conformidade com a LGPD.

Sua empresa já revisou seus contratos internacionais?

Faltam menos de três meses para o fim do prazo!