Após muitos estudos e um extenso diálogo com a sociedade, a ANPD lançou, no mês de agosto deste ano, a Resolução 19, que expõe com mais detalhes as definições e condições para operações que envolvam transferência internacional de dados pessoais. Diante do novo Regulamento, são comuns os questionamentos acerca do que fazer e quem deve se preocupar com ele, e a resposta pode ser bem mais simples do que aparenta.
A Resolução CD/ANPD nº 19 foi editada com o objetivo principal de regulamentar e detalhar o tópico da “transferência internacional de dados”, já tratado pela Lei Geral de Proteção de Dados (“LGPD”), em seu capítulo V (artigos 33 a 36).
Assim, a Resolução não é em si um instrumento de inovação sobre o assunto, mas sim de cumprimento do dever de regulamentar as disposições que já constavam da LGPD, com detalhes, definições e instruções, principalmente para agentes de tratamento que praticam a transferência internacional de dados.
Com um novo regulamento, é natural que surjam diversas dúvidas acerca de sua aplicabilidade prática, sendo a mais importante no momento a “o que fazer agora?”.
O que seria uma Transferência Internacional de Dados?
Antes de detalhes mais profundos, o primeiro pilar da resposta para “o que fazer agora?” é o entendimento do que é a Transferência Internacional de Dados e se o agente de tratamento, independente se Controlador ou Operador, adota essa prática em suas operações.
Transferência Internacional de Dados nada mais é do que a operação por meio da qual o agente de tratamento transmite, compartilha ou disponibiliza dados pessoais para país estrangeiro ou organismo internacional. São exemplos: compartilhamento entre filial e matriz localizados em países diferentes, armazenamento de dados pessoais em servidores localizados em país diverso, envio de dados pessoais de colaborador para participação em congresso internacional etc.
E como saber se o agente de tratamento adota essa prática? Basta que realize um levantamento interno dos tratamentos de dados que realiza e verifique se algum deles envolve a transferência, manutenção ou qualquer outro tipo de tratamento para fora do país. Para aqueles que possuem um Programa de Gestão em Dados bem estruturado, essa verificação é simples, basta que consulte seu Registro de Operações.
Novas definições
O novo Regulamento trouxe, também, algumas definições e diretrizes que os agentes de tratamentos esperavam há um bom tempo, são as mais notórias:
- Decisões de Adequação: reconhecimento emitido e divulgado pela ANPD de equivalência do nível de proteção de dados pessoais de países e organismos internacionais com a LGPD;
- Cláusulas Padrão: Cláusulas predefinidas pela ANPD, especificamente no anexo II da Resolução 19;
- Cláusulas Padrão Equivalentes: Cláusulas predefinidas por outros países e que sejam reconhecidas expressamente pela ANPD – via conselho diretor ou pedido dos agentes de tratamento;
- Cláusulas Específicas: Cláusulas para situações excepcionais diante da inviabilidade de utilização de cláusulas padrão, com a aprovação expressa e prévia da ANPD;
- Normas Corporativas Globais: Regras internas adotadas por organizações do mesmo grupo econômico para regular a transferência internacional de dados, mediante a aprovação expressa e prévia da ANPD.