Transferência internacional de dados: o que a LGPD exige de fato

A transferência ocorre quando o dado pessoal é tratado fora do território nacional, e não apenas quando há envio deliberado para outro país. Contratar um serviço de nuvem com armazenamento em região estrangeira, usar ferramenta de automação de marketing com servidores no exterior, acionar suporte técnico que acessa o sistema remotamente de outro país ou compartilhar base com matriz estrangeira são situações que produzem transferência, ainda que nenhuma pessoa tenha clicado em exportar.

Isso desloca o problema do departamento jurídico para a operação. Quem configura o cadastro em uma ferramenta nova, quem contrata plano de serviço com região padrão diferente, quem libera acesso remoto para prestador estrangeiro cria fluxo internacional sem necessariamente perceber. Sem um processo que faça a pergunta sobre local de tratamento antes da contratação, a empresa acumula transferências não documentadas, que aparecem todas de uma vez em auditoria ou em resposta a pedido de titular.

Há também a transferência indireta, que é a menos visível. Um operador contratado no Brasil pode subcontratar outro fornecedor no exterior, e o dado sai do país sem que o controlador tenha participado da escolha. Por isso, o contrato com operador precisa tratar de subcontratação e exigir comunicação prévia, com identificação do subcontratado e do país de destino, para que o controlador possa avaliar a transferência antes que ela aconteça. Esse conjunto de obrigações é o que o contrato com operador precisa detalhar, como mostra o texto sobre cláusulas de LGPD no contrato com operador de dados.

A LGPD não proíbe a transferência internacional: condiciona a hipóteses. A primeira é a transferência para país ou organismo internacional com grau de proteção adequado, reconhecido pela autoridade. A segunda é a existência de garantias de cumprimento dos princípios gerais e dos direitos do titular, oferecidas pelo controlador, por meio de cláusulas contratuais específicas, cláusulas contratuais padrão ou normas corporativas globais. A lei também prevê hipóteses específicas, como cooperação jurídica internacional, proteção da vida, autorização da autoridade, consentimento e execução de contrato.

A diferença entre as hipóteses importa porque define o ônus de cada parte. Quando a empresa usa consentimento, precisa demonstrar consentimento específico e destacado para aquela transferência. Quando usa execução de contrato, precisa demonstrar que a transferência é necessária à prestação do serviço e que o titular é parte ou beneficiário. Quando usa garantia contratual, precisa ter o instrumento assinado, com obrigações claras e mecanismo de responsabilidade. Escolher a hipótese pelo caminho mais simples quase sempre piora a posição em caso de questionamento.

A lei também trata da possibilidade de a autoridade suspender transferências ou exigir avaliação quando houver risco relevante, e do dever de o controlador informar a autoridade em determinadas hipóteses. Esse desenho mostra que a conformidade não termina na assinatura: ela se mantém enquanto o fluxo existir, com revisão periódica do instrumento, acompanhamento de mudanças de fornecedor e verificação de alteração nas garantias oferecidas.

As garantias contratuais são o instrumento mais usado em operação recorrente, porque não dependem de reconhecimento prévio de país adequado e funcionam para qualquer destino. O ponto é que a garantia precisa ser efetiva: cláusula que apenas menciona a LGPD, sem obrigações concretas do importador, não oferece proteção real. Uma cláusula padrão serve justamente para padronizar essas obrigações e criar um nível mínimo de proteção verificável.

O conteúdo mínimo dessas garantias costuma cobrir finalidade limitada, instruções do controlador, dever de sigilo, segurança, subcontratação controlada, atendimento a titulares, notificação de incidente, cooperação com a autoridade e responsabilidade em caso de dano. Sem esse conjunto, o instrumento não responde à pergunta que importa: se o dado for exposto no exterior, quem avisa, em quanto tempo e quem arca com o custo.

A tabela abaixo compara os instrumentos mais comuns e o cenário em que cada um costuma ser adequado.

A autoridade fiscaliza a transferência a partir de três frentes: informação ao titular, documentação do fluxo e resposta a incidentes. A informação ao titular costuma aparecer no aviso de privacidade, com indicação de que os dados podem ser transferidos para outros países e menção do instrumento adotado. Documentação significa mapa de dados atualizado, contratos com os importadores e registro da hipótese aplicada a cada fluxo. Resposta a incidente significa saber, com antecedência, quem comunica o que e em qual prazo.

Um ponto recorrente na prática é a diferença entre o que o contrato diz e o que a configuração técnica faz. Contrato que afirma manter os dados no Brasil, quando o painel está configurado com região estrangeira, produz dois problemas ao mesmo tempo: declaração inexata ao titular e transferência sem instrumento. Verificar periodicamente a configuração real dos serviços contratados é parte da conformidade, não detalhe operacional.

Vale também organizar o registro das avaliações de risco. Antes de contratar fornecedor no exterior, a empresa avalia a natureza do dado, a finalidade, o volume, a legislação do país de destino e as garantias oferecidas. Esse exercício não precisa virar documento extenso, mas precisa existir de forma datada, porque ele demonstra diligência e ajuda a justificar a escolha quando alguém questiona por que aquele dado precisava sair do país.

O levantamento começa pelos contratos e termina nas configurações. No lado contratual, a pergunta é quem trata dado pessoal em nome da empresa e onde essa pessoa ou empresa está. No lado técnico, a pergunta é onde cada serviço armazena e processa, incluindo cópias de segurança, ambientes de teste e ferramentas de análise que costumam ficar em regiões diferentes do sistema principal. As duas listas raramente coincidem na primeira verificação.

Um roteiro que funciona bem para levantamento tem quatro passos: listar sistemas que tratam dado pessoal, identificar fornecedores de cada sistema, registrar país de armazenamento e de processamento de cada fornecedor e anotar o instrumento de transferência aplicável. O resultado é uma tabela simples que responde à maior parte das perguntas de auditoria e serve de base para o aviso de privacidade, para o contrato com operador e para o plano de resposta a incidente. Vale lembrar que parte das perguntas de auditoria nasce de pedidos de titular, e o roteiro de atendimento está em direitos do titular e como responder um pedido.

O mapeamento também precisa de dono e de data de revisão. Áreas de marketing, tecnologia, recursos humanos e atendimento contratam ferramentas com frequência, e cada contratação pode criar fluxo novo. Sem uma etapa formal de verificação antes da contratação, o mapa envelhece em poucos meses e a empresa volta a não saber onde o dado está, o que costuma acontecer justamente no momento em que a informação é necessária.

Quando o incidente acontece no exterior, o prazo de reação depende do contrato, não da boa vontade do fornecedor. O instrumento de transferência precisa definir em quanto tempo o importador avisa o controlador, com quais informações, por qual canal e a quem se dirige. Sem esse detalhe, o controlador descobre o problema tarde, em um momento em que já deveria estar avaliando risco e preparando comunicação, o que agrava o efeito tanto perante titulares quanto perante a autoridade. A sequência de avaliação e comunicação depois da descoberta está detalhada em incidente de dados nas primeiras 72 horas.

O fim da relação também precisa de regra. Encerrar o contrato com fornecedor estrangeiro exige definir o que acontece com os dados: eliminação, devolução em formato utilizável, prazo para conclusão e comprovação de que cópias residuais foram removidas, inclusive de cópias de segurança. Esse último ponto costuma ser esquecido, e leva a situações em que a empresa afirma ter eliminado dados que continuam em ambiente de backup fora do país.

Vale ainda considerar o cenário de mudança regulatória no país de destino ou de alteração nas garantias oferecidas pelo importador. A LGPD prevê comunicação e revisão quando as garantias mudam, e esse gatilho deve aparecer no contrato como obrigação de aviso. Fluxo internacional sustentado por garantia que ninguém revisou em dois anos é fluxo cuja base jurídica não se sabe mais qual é, e isso costuma aparecer na primeira pergunta mais detalhada.