Res. CD/ANPD nº 19/2024 — Transferência Internacional

REGULAMENTO DE TRANSFERÊNCIA INTERNACIONAL DE DADOS

Anexo I da Resolução CD/ANPD nº 19, de 23 de agosto de 2024, do Conselho Diretor da ANPD — publicada no Diário Oficial da União de 23 de agosto de 2024, com a redação dada pela Retificação de 18 de agosto de 2025. O Anexo II da Resolução, com o texto das cláusulas-padrão contratuais (um modelo de contrato a preencher, e não um regulamento articulado), não é reproduzido aqui — consulte-o na fonte oficial.

O CONSELHO DIRETOR DA AUTORIDADE NACIONAL DE PROTEÇÃO DE DADOS (ANPD), com base nas competências previstas no art. 55-J, inciso XIII, da Lei nº 13.709, de 14 de agosto de 2018, no art. 2º, inciso XIII, do Anexo I, do Decreto nº 10.474, de 26 de agosto de 2020, no art. 5º, inciso I, do Regimento Interno da ANPD, e tendo em vista a deliberação tomada no processo nº 00261.000968/2021-06, resolve: “Art. 1º Esta Resolução aprova, na forma dos Anexos I e II, o Regulamento de Transferência Internacional de Dados e o conteúdo das cláusulas-padrão contratuais, nos termos do art. 33, incisos I e II, alíneas ‘a’, ‘b’ e ‘c’, art. 34, art. 35, caput e §§ 1º, 2º e 5º, e art. 36 da Lei nº 13.709, de 14 de agosto de 2018. Art. 2º Esta Resolução entra em vigor na data de sua publicação. Parágrafo único. Os agentes de tratamento que utilizam cláusulas contratuais para realizar transferências internacionais de dados deverão incorporar as cláusulas-padrão contratuais aprovadas pela ANPD aos seus respectivos instrumentos contratuais, no prazo de até 12 (doze) meses, contados da data de publicação desta Resolução.”

CAPÍTULO I — DISPOSIÇÕES PRELIMINARES

Seção I — Objetivo e Escopo

Art. 1º Este Regulamento estabelece os procedimentos e as regras aplicáveis às operações de transferência internacional de dados:

I - para países ou organismos internacionais que proporcionem grau de proteção de dados pessoais adequado ao previsto na Lei nº 13.709, de 14 de agosto de 2018, mediante reconhecimento da adequação pela ANPD; ou

II - quando controlador oferecer e comprovar garantias de cumprimento dos princípios, dos direitos do titular e do regime de proteção de dados previstos na Lei nº 13.709, de 14 de agosto de 2018, na forma de:

a) cláusulas contratuais específicas para determinada transferência;

b) cláusulas-padrão contratuais; ou

c) normas corporativas globais.

Parágrafo único. O disposto neste Regulamento não exclui a possibilidade da realização de transferência internacional de dados com base nos demais mecanismos previstos no art. 33 da Lei nº 13.709, de 14 de agosto de 2018, que não dependam de regulamentação, desde que atendidas as especificidades do caso concreto e os requisitos legais aplicáveis.

Seção II — Diretrizes

Art. 2º A transferência internacional de dados será realizada em conformidade com o disposto na Lei nº 13.709, de 14 de agosto de 2018, e neste Regulamento, observadas as seguintes diretrizes:

I - garantia de cumprimento dos princípios, dos direitos do titular e de nível de proteção equivalente ao previsto na legislação nacional, independentemente do país onde estejam localizados os dados pessoais objeto da transferência, inclusive após o término do tratamento e nas hipóteses de transferências posteriores;

II - adoção de procedimentos simples, preferencialmente interoperáveis, e compatíveis com normas e boas práticas internacionais;

III - promoção do livre fluxo transfronteiriço de dados com confiança e do desenvolvimento social, econômico e tecnológico, com observância aos direitos dos titulares;

IV - responsabilização e prestação de contas, mediante a adoção de medidas eficazes e capazes de comprovar a observância e o cumprimento dos princípios, dos direitos do titular e do regime de proteção de dados pessoais previstos na Lei nº 13.709, de 14 de agosto de 2018, inclusive, da eficácia dessas medidas;

V - implementação de medidas efetivas de transparência, que assegurem o fornecimento aos titulares de informações claras, precisas e facilmente acessíveis sobre a realização da transferência, observados os segredos comercial e industrial; e

VI - adoção de boas práticas e de medidas de prevenção e segurança apropriadas e compatíveis com a natureza dos dados pessoais tratados, a finalidade do tratamento e os riscos envolvidos na operação.

CAPÍTULO II — DAS DEFINIÇÕES

Art. 3º Para efeitos deste Regulamento são adotadas as seguintes definições:

I - exportador: agente de tratamento, localizado no território nacional ou em país estrangeiro, que transfere dados pessoais para importador;

II - importador: agente de tratamento, localizado em país estrangeiro ou que seja organismo internacional, que recebe dados pessoais transferidos por exportador;

III - transferência: operação de tratamento por meio da qual um agente de tratamento transmite, compartilha ou disponibiliza acesso a dados pessoais a outro agente de tratamento;

IV - transferência internacional de dados: transferência de dados pessoais para país estrangeiro ou organismo internacional do qual o país seja membro;

V - coleta internacional de dados: coleta de dados pessoais do titular efetuada diretamente pelo agente de tratamento localizado no exterior;

VI - grupo ou conglomerado de empresas: conjunto de empresas de fato ou de direito com personalidades jurídicas próprias, sob direção, controle ou administração de uma pessoa natural ou jurídica ou ainda grupo de pessoas que detém, isolada ou conjuntamente, poder de controle sobre as demais, desde que demonstrado interesse integrado, efetiva comunhão de interesses e atuação conjunta das empresas dele integrantes;

VII - entidade responsável: sociedade empresária, com sede no Brasil, que responde por qualquer violação de norma corporativa global, ainda que decorrente de ato praticado por um membro do grupo ou conglomerado de empresas com sede em outro país;

VIII - mecanismos de transferência internacional de dados: hipóteses previstas nos incisos I a IX do art. 33 da Lei nº 13.709, de 14 de agosto de 2018, que autorizam uma transferência internacional de dados;

IX - organismo internacional: organização regida pelo direito internacional público, incluindo seus órgãos subordinados ou qualquer outro órgão criado mediante acordo firmado entre dois ou mais países; e

X - medidas de segurança: medidas técnicas e administrativas adotadas para proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão.

CAPÍTULO III — TRANSFERÊNCIA INTERNACIONAL DE DADOS

Seção I — Requisitos Gerais

Art. 4º Cabe ao controlador verificar, nos termos da Lei nº 13.709, de 14 de agosto de 2018, e deste Regulamento, se a operação de tratamento:

I - caracteriza transferência internacional de dados;

II - submete-se à legislação nacional de proteção de dados pessoais; e

III - está amparada em hipótese legal e em mecanismo de transferência internacional válidos.

§ 1º O operador prestará auxílio ao controlador mediante o fornecimento das informações de que dispuser e que se demonstrarem necessárias para o atendimento ao disposto no caput deste artigo.

§ 2º O controlador e o operador deverão adotar medidas eficazes e capazes de comprovar a observância e o cumprimento das normas de proteção de dados pessoais e da eficácia dessas medidas, de forma compatível com o grau de risco do tratamento e com o mecanismo de transferência internacional utilizado.

Seção II — Caracterização da Transferência Internacional de Dados

Art. 5º A transferência internacional de dados será caracterizada quando o exportador transferir dados pessoais para o importador.

Art. 6º A coleta internacional de dados não caracteriza transferência internacional de dados.

Parágrafo único. A coleta internacional de dados observará as disposições da Lei nº 13.709, de 14 de agosto de 2018, quando verificada uma das hipóteses indicadas no art. 3º da Lei.

Seção III — Aplicação da Legislação Nacional de Proteção de Dados Pessoais

Art. 7º A transferência internacional de dados deverá observar as disposições da Lei nº 13.709, de 14 de agosto de 2018, e deste Regulamento, quando:

I - a operação de tratamento for realizada no território nacional, ressalvado o disposto no inciso IV do caput do art. 4º da Lei nº 13.709, de 14 de agosto de 2018, e observado o disposto no art. 8º deste Regulamento;

II - a atividade de tratamento tiver por objetivo a oferta ou o fornecimento de bens ou serviços ou o tratamento de dados de indivíduos localizados no território nacional; ou

III - os dados pessoais, objeto do tratamento, forem coletados no território nacional.

Parágrafo único. A aplicação da legislação nacional à transferência internacional de dados independe do meio utilizado para sua realização, do país de sede dos agentes de tratamento ou do país onde estejam localizados os dados.

Art. 8º Aplica-se a Lei nº 13.709, de 14 de agosto de 2018, aos dados pessoais provenientes do exterior sempre que estes sejam objeto de tratamento no território nacional.

§ 1º A Lei nº 13.709, de 14 de agosto de 2018, não se aplica aos dados pessoais provenientes do exterior somente quando ocorrer:

I - trânsito de dados pessoais, sem a ocorrência de comunicação ou uso compartilhado de dados com agente de tratamento situado em território nacional; ou

II - retorno dos dados pessoais, objeto de tratamento no território nacional, exclusivamente ao país ou organismo internacional de proveniência, desde que:

a) o país ou organismo internacional de proveniência proporcione grau de proteção de dados pessoais adequado, reconhecido por decisão da ANPD;

b) a legislação do país ou as normas aplicáveis ao organismo internacional de proveniência se apliquem à operação realizada; e

c) a situação específica e excepcional de não aplicação da Lei nº 13.709, de 14 de agosto de 2018, esteja expressamente prevista na decisão de adequação referida na alínea “a”.

§ 2º Para fins do inciso II do § 1º, a decisão de adequação emitida pela ANPD não excepcionará a aplicação da Lei nº 13.709, de 14 de agosto de 2018, em situações que possam violar ou colocar em risco a observância dos princípios gerais de proteção de dados pessoais e os direitos dos titulares previstos na legislação nacional.

§ 3º A não aplicação da Lei nº 13.709, de 14 de agosto de 2018, nas hipóteses previstas neste artigo não afasta a necessidade de observância de outras leis ou regulamentos, especialmente os que dispõem sobre inviolabilidade e sigilo das comunicações, requisitos técnicos e de segurança e acesso a dados por autoridades públicas.

Seção IV — Hipótese Legal e Mecanismo de Transferência

Art. 9º A transferência internacional de dados somente poderá ser realizada para atender a propósitos legítimos, específicos, explícitos e informados ao titular, sem possibilidade de tratamento posterior de forma incompatível com essas finalidades, e desde que amparada em:

I - uma das hipóteses legais previstas no art. 7º ou no art. 11 da Lei nº 13.709, de 14 de agosto de 2018; e

II - um dos seguintes mecanismos válidos de realização da transferência internacional:

a) para países ou organismos internacionais que proporcionem grau de proteção de dados pessoais adequado ao previsto na Lei nº 13.709, de 14 de agosto de 2018, e em normas complementares, conforme reconhecido por decisão de adequação emitida pela ANPD;

b) cláusulas-padrão contratuais, normas corporativas globais ou cláusulas contratuais específicas, na forma deste Regulamento; ou

c) nas hipóteses previstas nos incisos II, “d”, e III a IX do art. 33 da Lei nº 13.709, de 14 de agosto de 2018.

Parágrafo único. A transferência internacional de dados deverá se limitar ao mínimo necessário para o alcance de suas finalidades, com abrangência dos dados pertinentes, proporcionais e não excessivos em relação às finalidades do tratamento de dados.

CAPÍTULO IV — DECISÃO DE ADEQUAÇÃO

Seção I — Disposições Gerais

Art. 10. A ANPD poderá reconhecer, mediante decisão de adequação, a equivalência do nível de proteção de dados pessoais de país estrangeiro ou de organismo internacional com a legislação nacional de proteção de dados pessoais, observado o disposto na Lei nº 13.709, de 14 de agosto de 2018, e neste Regulamento.

Seção II — Critérios para Avaliação do Nível de Proteção de Dados Pessoais

Art. 11. A avaliação do nível de proteção de dados pessoais de país estrangeiro ou de organismo internacional levará em consideração:

I - as normas gerais e setoriais em vigor com impactos sobre a proteção de dados pessoais no país de destino ou no organismo internacional;

II - a natureza dos dados;

III - a observância dos princípios gerais de proteção de dados pessoais e dos direitos dos titulares previstos na Lei nº 13.709, de 14 de agosto de 2018;

IV - a adoção de medidas de segurança adequadas para minimizar impactos às liberdades civis e aos direitos fundamentais dos titulares;

V - a existência de garantias judiciais e institucionais para o respeito aos direitos de proteção de dados pessoais; e

VI - outras circunstâncias específicas relativas à transferência.

§ 1º A avaliação das normas mencionadas no inciso I do caput deste artigo será limitada à legislação diretamente aplicável ou que gere impactos relevantes sobre o tratamento de dados pessoais e sobre os direitos dos titulares.

§ 2º Para fins do disposto nos incisos III e IV do caput deste artigo, será avaliado se a legislação local estabelece aos agentes de tratamento obrigações de implementação de medidas de segurança adequadas, considerando a natureza dos dados e os riscos envolvidos no tratamento, entre outros fatores relevantes, em conformidade com os parâmetros estabelecidos na Lei nº 13.709, de 14 de agosto de 2018.

§ 3º Para fins do disposto no inciso V do caput deste artigo, serão consideradas, entre outras garantias institucionais relevantes, a existência e o efetivo funcionamento de um órgão regulador independente, com competência para assegurar o cumprimento das normas de proteção de dados e garantir os direitos dos titulares.

Art. 12. Para a avaliação do nível de proteção de dados pessoais, também serão levados em consideração:

I - os riscos e os benefícios proporcionados pela decisão de adequação, considerando, entre outros aspectos, a garantia dos princípios, dos direitos do titular e do regime de proteção de dados previstos na Lei nº 13.709, de 14 de agosto de 2018; e

II - os impactos da decisão sobre o fluxo internacional de dados, as relações diplomáticas, o comércio internacional e a cooperação internacional do Brasil com outros países e organismos internacionais.

Parágrafo único. A ANPD priorizará a avaliação do nível de proteção de dados de países estrangeiros ou organismos internacionais que garantam tratamento recíproco ao Brasil e cujo reconhecimento de adequação viabilize a ampliação do livre fluxo de transferências internacionais de dados pessoais entre os países e organismos internacionais.

Seção III — Emissão de Decisão de Adequação

Art. 13. O procedimento para emissão de decisão de adequação:

I - poderá ser instaurado por decisão do Conselho Diretor, de ofício ou após solicitação das pessoas jurídicas de direito público referidas no parágrafo único do art. 1º da Lei nº 12.527, de 18 de novembro de 2011;

II - será instruído pela área técnica competente, nos termos do Regimento Interno da ANPD, que se manifestará sobre o mérito da decisão, indicando, se for o caso, as condicionantes a serem observadas; e

III - após a manifestação da Procuradoria Federal Especializada, será objeto de deliberação final pelo Conselho Diretor, na forma do Regimento Interno da ANPD.

§ 1º Os órgãos e entidades da Administração Pública com competências afetas ao tema poderão ser cientificados da instauração do processo, sendo-lhes facultada a apresentação de manifestação, no âmbito de suas competências legais.

§ 2º A decisão de adequação será proferida por Resolução do Conselho Diretor e publicada na página da ANPD na Internet.

Art. 14. O processo instaurado no âmbito da ANPD com vistas à elaboração de documentos, fornecimento de informações e quaisquer outros atos relativos ao reconhecimento do Brasil como país adequado por outro país ou organismo internacional observarão os procedimentos descritos no art. 13 deste Regulamento.

CAPÍTULO V — CLÁUSULAS-PADRÃO CONTRATUAIS

Seção I — Disposições Gerais

Art. 15. As cláusulas-padrão contratuais, elaboradas e aprovadas pela ANPD na forma do Anexo II, estabelecem garantias mínimas e condições válidas para a realização de transferências internacionais de dados baseadas no inciso II, alínea “b”, do art. 33 da Lei nº 13.709, de 14 de agosto de 2018.

Parágrafo único. As cláusulas-padrão contratuais visam garantir a adoção das salvaguardas adequadas para o cumprimento dos princípios, dos direitos do titular e do regime de proteção de dados previstos na Lei nº 13.709, de 14 de agosto de 2018, incluindo as determinações da ANPD.

Art. 16. A validade da transferência internacional de dados, quando amparada na adoção das cláusulas-padrão, pressupõe a adoção integral e sem alteração do texto disponibilizado no Anexo II, mediante instrumento contratual firmado entre o exportador e o importador.

§ 1º As cláusulas-padrão contratuais poderão integrar:

I - contrato celebrado para reger especificamente transferências internacionais de dados;

II - contrato com objeto mais amplo, inclusive mediante a assinatura de termo aditivo pelo exportador e pelo importador envolvidos na operação de transferência internacional de dados.

§ 2º As demais disposições, previstas no instrumento contratual ou em contratos coligados firmados pelas partes, não poderão excluir, modificar ou contrariar, direta ou indiretamente, o disposto nas cláusulas-padrão contratuais.

§ 3º Na hipótese do inciso II do § 1º deste artigo, as Seções I, II e III do Anexo II deverão figurar como documento anexo do instrumento contratual assinado entre exportador e importador.

Seção II — Medidas de Transparência

Art. 17. O controlador deverá disponibilizar ao titular, em caso de solicitação, a íntegra das cláusulas utilizadas para a realização da transferência internacional de dados, observados os segredos comercial e industrial.

§ 1º O prazo para atendimento da solicitação é de 15 (quinze) dias, ressalvada a hipótese de prazo distinto estabelecido em regulamentação específica da ANPD.

§ 2º O controlador deverá ainda publicar em sua página na Internet documento contendo informações em língua portuguesa, em linguagem simples, clara, precisa e acessível sobre a realização da transferência internacional de dados, incluindo, pelo menos, informações sobre:

I - a forma, a duração e a finalidade específica da transferência internacional;

II - o país de destino dos dados transferidos;

III - a identificação e os contatos do controlador;

IV - o uso compartilhado de dados pelo controlador e a finalidade;

V - as responsabilidades dos agentes que realizarão o tratamento e as medidas de segurança adotadas; e

VI - os direitos do titular e os meios para o seu exercício, incluindo canal de fácil acesso e o direito de peticionar contra o controlador perante a ANPD.

§ 3º O documento referido no § 2º poderá ser disponibilizado em página específica ou integrado, de forma destacada e de fácil acesso, à Política de Privacidade ou a instrumento equivalente.

Seção III — Cláusulas-padrão Contratuais Equivalentes

Art. 18. A ANPD poderá reconhecer a equivalência de cláusulas-padrão contratuais de outros países ou de organismos internacionais com as cláusulas previstas no Anexo II.

§ 1º O procedimento para reconhecimento da equivalência de cláusulas-padrão contratuais:

I - poderá ser instaurado por decisão do Conselho Diretor, de ofício ou a requerimento dos interessados;

II - será instruído pela área técnica competente, nos termos do Regimento Interno da ANPD, que se manifestará sobre o mérito da proposta de equivalência, indicando, se for o caso, as condicionantes a serem observadas; e

III - após a manifestação da Procuradoria Federal Especializada, será objeto de deliberação pelo Conselho Diretor, na forma do Regimento Interno da ANPD.

§ 2º O Conselho Diretor poderá determinar a realização de consulta à sociedade durante o procedimento previsto no § 1º.

§ 3º Os órgãos e entidades da Administração Pública com competências afetas ao tema poderão ser cientificados da instauração do processo, sendo-lhes facultada a apresentação de manifestação, no âmbito de suas competências legais.

§ 4º O requerimento encaminhado à ANPD deve ser acompanhado dos seguintes documentos e informações:

I - inteiro teor das cláusulas-padrão contratuais traduzidas para o português;

II - legislação relevante aplicável e demais documentos pertinentes, incluindo guias e orientações expedidos pela respectiva autoridade de proteção de dados pessoais; e

III - análise de compatibilidade com as disposições da Lei nº 13.709, de 14 de agosto de 2018, e deste Regulamento, que inclua comparativo entre o conteúdo das cláusulas nacionais e das que se pretende obter reconhecimento de equivalência.

Art. 19. A decisão sobre a proposta de equivalência levará em consideração, entre outras circunstâncias relevantes:

I - se as cláusulas-padrão contratuais são compatíveis com as disposições da Lei nº 13.709, de 14 de agosto de 2018, e deste Regulamento, bem como se asseguram nível de proteção de dados equivalente ao garantido pelas cláusulas-padrão contratuais nacionais; e

II - os riscos e os benefícios proporcionados pela aprovação, considerando, entre outros aspectos, a garantia dos princípios, dos direitos do titular e do regime de proteção de dados previstos na Lei nº 13.709, de 14 de agosto de 2018, além dos impactos sobre o fluxo internacional de dados, relações diplomáticas, comércio internacional e cooperação internacional do Brasil com outros países e organismos internacionais.

Parágrafo único. Para fins do disposto no inciso II do caput, a ANPD priorizará a aprovação de cláusulas que possam ser utilizadas por outros agentes de tratamento que realizam transferências internacionais de dados em circunstâncias similares.

Art. 20. As cláusulas-padrão contratuais reconhecidas como equivalentes serão aprovadas por Resolução do Conselho Diretor e publicadas na página da ANPD na Internet.

Parágrafo único. As cláusulas-padrão contratuais reconhecidas como equivalentes constituem mecanismo válido para a realização de transferências internacionais de dados, na forma do art. 33, inciso II, alínea “b”, da Lei nº 13.709, de 14 de agosto de 2018, observadas as condicionantes estabelecidas na decisão do Conselho Diretor.

CAPÍTULO VI — CLÁUSULAS CONTRATUAIS ESPECÍFICAS

Art. 21. O controlador poderá solicitar à ANPD a aprovação de cláusulas contratuais específicas, que ofereçam e comprovem garantias de cumprimento dos princípios, dos direitos do titular e do regime de proteção de dados previstos na Lei nº 13.709, de 14 de agosto de 2018, e neste Regulamento.

§ 1º As cláusulas contratuais específicas somente serão aprovadas quando a transferência internacional de dados não puder ser realizada por meio das cláusulas-padrão contratuais, em razão de circunstâncias excepcionais de fato ou de direito, devidamente comprovadas pelo controlador.

§ 2º Em qualquer hipótese, as cláusulas contratuais específicas deverão prever a aplicação da legislação nacional de proteção de dados pessoais à transferência internacional de dados e a sua submissão à fiscalização da ANPD.

Art. 22. O controlador deverá apresentar a íntegra das cláusulas que regerão a transferência internacional de dados, incluindo as cláusulas específicas, para a aprovação pela ANPD.

§ 1º A análise efetuada pela ANPD levará em consideração, entre outras circunstâncias relevantes:

I - se as cláusulas específicas são compatíveis com as disposições da Lei nº 13.709, de 14 de agosto de 2018, e deste Regulamento, bem como se asseguram nível de proteção de dados equivalente ao garantido pelas cláusulas-padrão contratuais nacionais; e

II - os riscos e os benefícios proporcionados pela aprovação, considerando, entre outros aspectos, a garantia dos princípios, dos direitos do titular e do regime de proteção de dados previstos na Lei nº 13.709, de 14 de agosto de 2018, além dos impactos quanto ao fluxo internacional de dados, relações diplomáticas, comércio internacional e cooperação internacional do Brasil com outros países e organismos internacionais.

§ 2º Para fins do disposto no inciso II do § 1º, a ANPD priorizará a aprovação de cláusulas específicas que também possam ser utilizadas por outros agentes de tratamento que realizam transferências internacionais de dados em circunstâncias similares.

Art. 23. Nas cláusulas submetidas à aprovação da ANPD, o controlador deverá:

I - adotar, sempre que possível, a redação das cláusulas-padrão contratuais; e

II - indicar as cláusulas específicas adotadas, com a respectiva justificativa, nos termos do art. 22.

Art. 24. As cláusulas contratuais específicas deverão ser submetidas à aprovação da ANPD, nos termos do processo descrito no Capítulo VIII.

CAPÍTULO VII — DAS NORMAS CORPORATIVAS GLOBAIS

Art. 25. As normas corporativas globais são destinadas às transferências internacionais de dados entre organizações do mesmo grupo ou conglomerado de empresas, possuindo caráter vinculante em relação aos membros do grupo que as subscreverem.

Parágrafo único. A norma corporativa global constitui mecanismo válido para realizar transferências internacionais de dados pessoais apenas para as organizações ou países abrangidos pelas normas corporativas globais.

Art. 26. As normas corporativas globais deverão estar vinculadas à implementação de programa de governança em privacidade que atenda às condições mínimas estabelecidas no § 2º do art. 50 da Lei nº 13.709, de 14 de agosto de 2018.

Art. 27. Além de atender ao disposto no art. 26, as normas corporativas globais deverão conter, no mínimo:

I - descrição das transferências internacionais de dados para as quais o instrumento se aplica, incluindo as categorias de dados pessoais, a operação de tratamento e suas finalidades, a hipótese legal e os tipos de titulares de dados;

II - identificação dos países para os quais os dados podem ser transferidos;

III - estrutura do grupo ou conglomerado de empresas, contendo a lista de entidades vinculadas, o papel exercido por cada uma delas no tratamento e os dados de contato de cada organização que efetue tratamento de dados pessoais;

IV - determinação da natureza vinculante da norma corporativa global para todos os integrantes do grupo ou conglomerado de empresas que as subscreverem, inclusive para seus funcionários;

V - delimitação de responsabilidades pelo tratamento, com a indicação da entidade responsável;

VI - indicação dos direitos dos titulares aplicáveis e os meios para o seu exercício, incluindo canal de fácil acesso e o direito de peticionar contra o controlador perante a ANPD, após comprovada pelo titular a apresentação de reclamação ao controlador não solucionada no prazo estabelecido em regulamentação;

VII - regras sobre o processo de revisão das normas corporativas globais e previsão de submissão à prévia aprovação da ANPD; e

VIII - previsão de comunicação à ANPD em caso de alterações nas garantias apresentadas como suficientes de observância dos princípios, dos direitos do titular e do regime de proteção de dados previsto na Lei nº 13.709, de 14 de agosto de 2018, especialmente na hipótese em que um dos membros do grupo ou conglomerado de empresas estiver submetido a determinação legal de outro país que impeça o cumprimento das normas corporativas.

§ 1º Para fins de cumprimento do inciso VIII, a norma corporativa global deve prever obrigação de notificação imediata à entidade responsável sempre que um membro do grupo ou conglomerado de empresas situado em outro país esteja submetido a uma determinação legal que impeça o cumprimento das normas corporativas, ressalvada a hipótese de expressa proibição legal de realizar essa notificação.

§ 2º Para fins do inciso VI, as solicitações relacionadas ao cumprimento da norma corporativa global deverão ser respondidas no prazo previsto na Lei nº 13.709, de 14 de agosto de 2018, e em regulamentação específica.

Art. 28. As normas corporativas globais deverão ser submetidas à aprovação da ANPD, nos termos do processo descrito no Capítulo VIII.

CAPÍTULO VIII — DISPOSIÇÕES COMUNS ÀS CLÁUSULAS CONTRATUAIS ESPECÍFICAS E NORMAS CORPORATIVAS GLOBAIS

Seção I — Procedimento de Aprovação

Art. 29. O requerimento de aprovação de cláusulas contratuais específicas ou de normas corporativas globais deverá ser instruído, conforme o caso, com, no mínimo:

I - a íntegra das cláusulas ou da norma corporativa global;

II - os documentos de constituição social do agente de tratamento ou dos membros do grupo ou conglomerado de empresas;

III - se for o caso, cópia da decisão da autoridade de proteção de dados que tenha aprovado as cláusulas específicas ou normas corporativas globais objeto do requerimento de aprovação; e

IV - a demonstração do atendimento aos requisitos previstos nos Capítulos VI ou VII deste Regulamento.

Art. 30. O requerimento de aprovação de cláusulas contratuais específicas e de normas corporativas globais:

I - será analisado pela área técnica competente, nos termos do Regimento Interno da ANPD, que se manifestará sobre o mérito do pedido, indicando, se for o caso, as condicionantes a serem observadas; e

II - após a manifestação da Procuradoria Federal Especializada, será objeto de deliberação pelo Conselho Diretor, na forma do Regimento Interno da ANPD.

§ 1º Na análise das cláusulas contratuais específicas ou de normas corporativas globais submetidas à aprovação da ANPD, poderá ser requerida a apresentação de outros documentos e informações suplementares ou realizadas diligências de verificação quanto às operações de tratamento, quando necessário.

§ 2º O processo poderá ser arquivado, sumariamente, por decisão da área técnica competente, caso não sejam apresentados os documentos e as informações suplementares solicitados.

Seção II — Medidas de Transparência

Art. 31. A ANPD publicará em seu sítio eletrônico a relação das cláusulas contratuais específicas e das normas corporativas globais aprovadas, com indicação do respectivo requerente, da data de aprovação e da decisão proferida pelo Conselho Diretor, além de outras informações consideradas necessárias pela área técnica responsável.

Parágrafo único. A ANPD publicará a íntegra das cláusulas contratuais específicas nas hipóteses em que tais cláusulas possam ser utilizadas por outros agentes de tratamento, observados os segredos comercial e industrial.

Art. 32. O controlador deverá disponibilizar ao titular, em caso de solicitação, a íntegra das cláusulas contratuais específicas ou as normas corporativas globais, na forma prevista pelo art. 17.

Parágrafo único. O controlador publicará em sua página na Internet documento redigido em linguagem simples sobre a realização da transferência internacional de dados, na forma prevista pelo art. 17, §§ 2º e 3º, observadas as condicionantes estabelecidas na decisão de aprovação.

Seção III — Alterações

Art. 33. As alterações nas cláusulas contratuais específicas e nas normas corporativas globais dependem de prévia aprovação da ANPD, observado o procedimento descrito neste Capítulo.

Parágrafo único. O Conselho Diretor poderá estabelecer procedimento simplificado para a aprovação de alterações que não afetem as garantias apresentadas como suficientes de observância dos princípios, dos direitos do titular e do regime de proteção de dados previsto na Lei nº 13.709, de 14 de agosto de 2018.

CAPÍTULO IX — DISPOSIÇÕES FINAIS

Art. 34. Caberá pedido de reconsideração das decisões do Conselho Diretor, devidamente fundamentado, no prazo de 10 (dez) dias úteis, contados da ciência oficial pelo interessado, na forma do art. 12 do Anexo da Resolução CD/ANPD nº 1, de 28 de outubro de 2021, nos procedimentos instaurados para:

I - emissão de decisão de adequação;

II - reconhecimento de equivalência de cláusulas-padrão contratuais; ou

III - aprovação de cláusulas contratuais específicas e normas corporativas globais.

Parágrafo único. O pedido de reconsideração será distribuído e tramitará na forma do Regimento Interno da ANPD.