Entendimento 0335

Art. 27. Além de atender ao disposto no art. 26, as normas corporativas globais deverão conter, no mínimo:

I - descrição das transferências internacionais de dados para as quais o instrumento se aplica, incluindo as categorias de dados pessoais, a operação de tratamento e suas finalidades, a hipótese legal e os tipos de titulares de dados;

II - identificação dos países para os quais os dados podem ser transferidos;

III - estrutura do grupo ou conglomerado de empresas, contendo a lista de entidades vinculadas, o papel exercido por cada uma delas no tratamento e os dados de contato de cada organização que efetue tratamento de dados pessoais;

IV - determinação da natureza vinculante da norma corporativa global para todos os integrantes do grupo ou conglomerado de empresas que as subscreverem, inclusive para seus funcionários;

V - delimitação de responsabilidades pelo tratamento, com a indicação da entidade responsável;

VI - indicação dos direitos dos titulares aplicáveis e os meios para o seu exercício, incluindo canal de fácil acesso e o direito de peticionar contra o controlador perante a ANPD, após comprovada pelo titular a apresentação de reclamação ao controlador não solucionada no prazo estabelecido em regulamentação;

VII - regras sobre o processo de revisão das normas corporativas globais e previsão de submissão à prévia aprovação da ANPD; e

VIII - previsão de comunicação à ANPD em caso de alterações nas garantias apresentadas como suficientes de observância dos princípios, dos direitos do titular e do regime de proteção de dados previsto na Lei nº 13.709, de 14 de agosto de 2018, especialmente na hipótese em que um dos membros do grupo ou conglomerado de empresas estiver submetido a determinação legal de outro país que impeça o cumprimento das normas corporativas.

§ 1º Para fins de cumprimento do inciso VIII, a norma corporativa global deve prever obrigação de notificação imediata à entidade responsável sempre que um membro do grupo ou conglomerado de empresas situado em outro país esteja submetido a uma determinação legal que impeça o cumprimento das normas corporativas, ressalvada a hipótese de expressa proibição legal de realizar essa notificação.

§ 2º Para fins do inciso VI, as solicitações relacionadas ao cumprimento da norma corporativa global deverão ser respondidas no prazo previsto na Lei nº 13.709, de 14 de agosto de 2018, e em regulamentação específica.