Sua empresa envia informações de clientes, funcionários ou fornecedores no Brasil para a matriz, um sistema ou um fornecedor nos Estados Unidos? Então ela faz uma transferência internacional de dados. Pela Lei Geral de Proteção de Dados (LGPD), essa transferência precisa de um mecanismo legal formal, e desde agosto de 2025 a autoridade brasileira pode cobrar essa adequação.
Uma autoridade mais forte em 2026
Em fevereiro de 2026, a Lei 15.352/2026 transformou a ANPD em agência reguladora, agora chamada Agência Nacional de Proteção de Dados, com orçamento próprio e autonomia de decisão. As multas previstas na LGPD podem chegar a 2% do faturamento da empresa no Brasil, limitadas a R$ 50 milhões por infração.
O que conta como transferência internacional
Há transferência quando dados pessoais tratados no Brasil são enviados a uma pessoa ou empresa em outro país. Exemplos comuns: a filial brasileira que compartilha a lista de clientes com a matriz americana, o RH que usa uma plataforma hospedada nos EUA, ou a empresa brasileira que envia dados a um fornecedor de software no exterior.
Os mecanismos permitidos
O artigo 33 da LGPD e a Resolução CD/ANPD 19/2024 definem os principais caminhos:
- Decisão de adequação: a ANPD reconhece que o país de destino oferece proteção equivalente à brasileira. Em janeiro de 2026, a União Europeia recebeu esse reconhecimento. Os Estados Unidos, não.
- Cláusulas-padrão contratuais: um conjunto de cláusulas redigido e aprovado pela ANPD, assinado por quem envia e por quem recebe os dados.
- Cláusulas contratuais específicas: reservadas para situações excepcionais e sujeitas à aprovação prévia da ANPD.
- Normas corporativas globais: regras internas para transferências dentro do mesmo grupo econômico, também sujeitas à aprovação da ANPD.
Como os EUA não têm decisão de adequação, as cláusulas-padrão são, na prática, o caminho mais usado para transferências do Brasil para os Estados Unidos.
As cláusulas devem ser usadas como estão
As cláusulas-padrão da ANPD devem ser adotadas na íntegra, sem nenhuma alteração no texto. Elas podem ser incluídas em um contrato maior ou assinadas em documento separado, desde que a redação aprovada seja mantida. Empresas que usavam cláusulas próprias tiveram até agosto de 2025 para adotar o modelo oficial.
Transparência no seu site
A empresa que transfere dados para fora do Brasil deve publicar, no site ou na política de privacidade, informações claras sobre a transferência: finalidade, duração, país de destino e direitos das pessoas cujos dados estão envolvidos. Também deve fornecer o texto completo das cláusulas a quem pedir.
Checklist para os seus contratos
- Mapear todos os fluxos de dados que saem do Brasil e quem os recebe.
- Identificar qual mecanismo legal sustenta cada fluxo.
- Incluir as cláusulas-padrão da ANPD, sem alterações, nos contratos com a matriz, empresas do grupo e fornecedores.
- Atualizar a política de privacidade com as informações exigidas sobre a transferência.
- Manter contratos assinados e registros prontos caso a ANPD solicite.
A Grubbs Legal Consultant ajuda empresas a adequar contratos e políticas à LGPD, em português e em inglês. Fale conosco.
Luciene Grubbs
Este artigo tem caráter informativo, trata exclusivamente do direito brasileiro e não constitui aconselhamento jurídico.