Cláusulas-padrão contratuais

A Resolução CD/ANPD nº 19/2024 aprovou as cláusulas-padrão contratuais brasileiras, que servem de base para transferências internacionais nos termos do art. 33 da LGPD. Elas devem ser adotadas sem alteração de conteúdo, e o controlador precisa dar transparência ao uso dessa hipótese, inclusive informando os titulares quando solicitado.

Na União Europeia, o art. 46(2)(c) do GDPR permite transferências com base em cláusulas adotadas pela Comissão Europeia. O conjunto vigente, Decisão de Execução 2021/914, é modular: controlador para controlador, controlador para operador, operador para operador e operador para controlador. As partes podem acrescentar cláusulas, mas não contrariar o texto padrão. Os conjuntos europeu e brasileiro são instrumentos distintos; um grupo que transfere dados das duas regiões pode precisar de ambos.

Assinar as cláusulas não encerra o trabalho. Pelo GDPR, o exportador documenta uma avaliação de impacto da transferência e adota medidas suplementares, como criptografia, quando a lei do destino puder impedir o cumprimento. Exemplo: uma empresa brasileira que contrata um serviço de análise no exterior inclui as cláusulas da ANPD no contrato com o operador.