CD nº 17/2024 — Regulamento de Transferência Internacional de Dados e cláusulas-padrão contratuais

Página 1

Autoridade Nacional de Proteção de Dados Conselho Diretor Diretor Joacil Rael

VOTO Nº 21/2024/DIR-JR/CD

PROCESSO Nº 00261.000968/2021-06 DIRETOR RELATOR JOACIL BASILIO RAEL

1. ASSUNTO

1.1. Minuta de Resolução que aprova o Regulamento de Transferência Internacional de Dados e o conteúdo das Cláusulas-Padrão Contratuais.

1. EMENTA

2.1. MINUTA DE RESOLUÇÃO. APROVAÇÃO DO REGULAMENTO DE TRANSFERÊNCIA INTERNACIONAL DE DADOS E DO CONTEÚDO DAS CLÁUSULAS- PADRÃO CONTRATUAIS. ANÁLISE DOS ASPECTOS PROCESSUAIS. ANÁLISE DA MINUTA DO REGULAMENTO APÓS REALIZAÇÃO DE CONSULTA PÚBLICA. ALTERAÇÕES DE NATUREZA MATERIAL APRESENTADAS NA SEÇÃO DE ANÁLISE. ALTERAÇÕES REDACIONAIS EXPOSTAS NA VERSÃO COM MARCAS DE REVISÃO. VOTO PELA APROVAÇÃO DA MINUTA. PROVIDÊNCIAS A SEREM TOMADAS PELA SECRETARIA-GERAL.

1. RELATÓRIO

3.1. Trata-se de proposta de Regulamento de Transferência Internacional de Dados, a qual tem por objetivo regulamentar o art. 33, incisos I e II, alíneas “a”, “b” e “c”, art. 34, art. 35, §§ 1º, 2º e 5º, e art. 36 da Lei nº 13.709, de 14 de agosto de 2018 – Lei Geral de Proteção de Dados Pessoais (LGPD), e do conteúdo de Cláusulas-Padrão Contratuais (CPC).

3.2. O tema encontra-se previsto no item 4 da Agenda Regulatória da Autoridade Nacional de Proteção de dados (ANPD) para o biênio

Página 2

2023/2024, aprovada pela Portaria CD/ANPD nº11, de 27 de dezembro de

3.3. O processo iniciou-se com o Termo de Abertura de Projeto (0051725), em 10 de novembro de 2021 e contou com integrantes de diversas Coordenações desta Autoridade.

3.4. Após reuniões de estudos e, considerando a complexidade do tema, optou-se pela realização de Tomada de Subsídios (0051731). Analisadas as contribuições recebidas, elaborou-se a primeira minuta (0051799), a qual foi submetida a consulta interna entre o período de 30 de janeiro até 24 de fevereiro de 2023 (0051798).

3.5. Ato contínuo, elaborou-se o Relatório de Análise de Impacto Regulatório (AIR) (0051803) que, por sua vez, subsidiou a proposta de Resolução que dispõe sobre Regulamento de Transferência Internacional de Dados e os modelos de cláusulas-padrão contratuais (0051802

0051805)

3.6. O processo seguiu para avaliação da Procuradoria Federal Especializada da ANPD, que opinou pelo prosseguimento do processo, por meio do PARECER N. 0025/2023/GAB/PFE/ANPD/PGF/AGU, condicionando-o ao cumprimento de algumas recomendações (0051807).

3.7. Por meio da Nota Técnica nº 51/2023/CGN/ANPD ( 0051811), a Coordenação Geral de Normatização indicou que a minuta fosse submetida a Consulta e Audiências públicas. As indicações foram deferidas pelo Conselho Diretor, nos termos do voto da Relatora ( 0051817) em circuito deliberativo (0051832).

3.8. Após análise das contribuições, a CGN elaborou a Nota técnica nº 214 (0121143) e, posteriormente, houve novo posicionamento da PFE, por meio do Parecer n. 00030/2024/GAB/PFE/ANPD/PGF/AGU ( 0127555), com sugestões de alterações na minuta.

3.9. Ato contínuo, a CGN apresentou nova Nota Técnica nº 218 (0129083), que foi encaminhada à Secretaria-Geral para providências cabíveis.

3.10. Foram anexadas ao processo as versões finais da minuta, com marcas e sem marcas (0130202 e 0130203) para avaliação do Conselho-Diretor.

3.11. O Processo foi distribuído a este gabinete após sorteio realizado em 01/07/2024, conforme certificado nos autos (0130327).

3.12. É o relato.

3.13. Passo à análise.

Página 3

1. ANÁLISE

4.1. Contexto do processo

4.1.1. Com a promulgação da LGPD, iniciou-se um novo regime jurídico para o tratamento de dados pessoais no Brasil, atribuindo à ANPD a prerrogativa de assegurar, implementar e fiscalizar o cumprimento da lei em todo o território nacional. A ANPD possui, portanto, competência de estabelecer normas e diretrizes voltadas para a interpretação e a implementação da LGPD.

4.1.2. A Lei Geral de Proteção de Dados (“LGPD”) define, em seu art. 5º, inciso XV, que transferência internacional de dados é toda transferência de dados pessoais para país estrangeiro ou organismo internacional do qual o país seja membro. A proteção deve acompanhar o local do armazenamento para proteger o titular de dados, garantindo respeito aos princípios, diretrizes e fundamentos da LGPD.

4.1.3. Conceitua-se, assim, a transferência internacional como o fluxo de dados para além das fronteiras do país. Trata-se de conceito impreciso, que exige melhores contornos, a fim de garantir a correta aplicação do regime de transferências previsto no Capítulo V da LGPD.

4.1.4. Face ao exposto, tem-se, portanto, a necessidade de intervenção regulatória em decorrência das determinações da LGPD de forma a assegurar que os dados pessoais transferidos para país estrangeiro ou organismo internacional do qual o Brasil seja membro mantenham nível de proteção adequado conforme os princípios, diretrizes e fundamentos estabelecidos na Lei.

4.1.5. A transferência internacional de dados pessoais deve estar sujeita a um sistema de garantias que assegure os princípios e fundamentos que regem o direito fundamental à proteção de dados sejam respeitados quando da transferência desses dados para outro país, em especial quando o local de destino não compartilhe desse núcleo central principiológico.

4.1.6. O Capítulo V da LGPD foi destinado à temática Transferência Internacional de Dados. O artigo 33 da LGPD prevê os mecanismos que podem ser utilizados para realizar transferências internacionais de dados. Em seguida, a LGPD estabelece, no art. 34, os critérios para avaliação do nível de proteção de dados do país estrangeiro ou do organismo internacional, para fins de decisão de adequação. O art. 35, por sua vez informa que a definição do conteúdo de cláusulas-padrão contratuais será realizada pela autoridade nacional.

4.1.7. Diante deste contexto, a ANPD decidiu, de forma fundamentada, regulamentar o art. 33, incisos I e II, alíneas “a”, “b” e “c”, art.

Página 4

34, art. 35, §§ 1º, 2º e 5º, e art. 36 da Lei nº 13.709, de 14 de agosto de 2018 – Lei Geral de Proteção de Dados Pessoais (LGPD). Vejamos o teor dos dispositivos: Art. 33. A transferência internacional de dados pessoais somente é permitida nos seguintes casos: I - para países ou organismos internacionais que proporcionem grau de proteção de dados pessoais adequado ao previsto nesta Lei; II - quando o controlador oferecer e comprovar garantias de cumprimento dos princípios, dos direitos do titular e do regime de proteção de dados previstos nesta Lei, na forma de: a) cláusulas contratuais específicas para determinada transferência; b) cláusulas-padrão contratuais; c) normas corporativas globais; (…) Parágrafo único. Para os fins do inciso I deste artigo, as pessoas jurídicas de direito público referidas no parágrafo único do art. 1º da Lei nº 12.527, de 18 de novembro de 2011 (Lei de Acesso à Informação) , no âmbito de suas competências legais, e responsáveis, no âmbito de suas atividades, poderão requerer à autoridade nacional a avaliação do nível de proteção a dados pessoais conferido por país ou organismo internacional. Art. 34. O nível de proteção de dados do país estrangeiro ou do organismo internacional mencionado no inciso I do caput do art. 33 desta Lei será avaliado pela autoridade nacional, que levará em consideração: I - as normas gerais e setoriais da legislação em vigor no país de destino ou no organismo internacional;

Página 5

II - a natureza dos dados; III - a observância dos princípios gerais de proteção de dados pessoais e direitos dos titulares previstos nesta Lei; IV - a adoção de medidas de segurança previstas em regulamento; V - a existência de garantias judiciais e institucionais para o respeito aos direitos de proteção de dados pessoais; e VI - outras circunstâncias específicas relativas à transferência. Art. 35. A definição do conteúdo de cláusulas-padrão contratuais, bem como a verificação de cláusulas contratuais específicas para uma determinada transferência, normas corporativas globais ou selos, certificados e códigos de conduta, a que se refere o inciso II do caput do art. 33 desta Lei, será realizada pela autoridade nacional. § 1º Para a verificação do disposto no caput deste artigo, deverão ser considerados os requisitos, as condições e as garantias mínimas para a transferência que observem os direitos, as garantias e os princípios desta Lei. § 2º Na análise de cláusulas contratuais, de documentos ou de normas corporativas globais submetidas à aprovação da autoridade nacional, poderão ser requeridas informações suplementares ou realizadas diligências de verificação quanto às operações de tratamento, quando necessário. (…) § 5º As garantias suficientes de observância dos princípios gerais de proteção e dos direitos do titular referidas no caput deste artigo serão também analisadas de acordo com as medidas técnicas e organizacionais adotadas pelo operador, de acordo com o previsto nos §§ 1º e 2º do art.

Página 6

46 desta Lei. Art. 36. As alterações nas garantias apresentadas como suficientes de observância dos princípios gerais de proteção e dos direitos do titular referidas no inciso II do art. 33 desta Lei deverão ser comunicadas à autoridade nacional.

4.1.8. A seguir, serão analisados os aspectos processuais e de mérito do regulamento proposto, incluindo a estrutura e conteúdo da Resolução e do Regulamento, bem como o conteúdo das cláusulas-padrão contratuais.

4.2. Aspectos processuais

4.2.1. Inicialmente, verifico que foram observados os procedimentos formais aplicáveis à hipótese, de modo que a instauração e a instrução do processo obedeceram às disposições regimentais, havendo a necessária motivação para a edição do ato normativo.

4.2.2. Nesse sentido, foram seguidas as etapas pertinentes do processo de regulamentação, conforme previstas no art. 4º da Portaria ANPD nº 16, de 8 de julho de 2021, a saber: Agenda Regulatória, Projeto de Regulamentação, Análise de Impacto Regulatório, Consulta Interna e Análise Jurídica.

4.2.3. A Portaria nº 35, de 4 de novembro de 2022 tornou pública a Agenda Regulatória para o biênio 2023-2024, que previu em seu item 4 a continuação e finalização da regulamentação da transferência internacional de dados.

4.2.4. Adicionalmente, é importante mencionar que a Resolução é o ato administrativo adequado para produzir os efeitos jurídicos pretendidos, uma vez que a edição de regulamento “expressa decisão quanto ao provimento normativo de competência da ANPD”, em conformidade com o art. 51 do Regimento Interno.

4.2.5. De forma mais detalhada, o art. 63 do Regimento estabelece o seguinte: Art. 63. Os atos de caráter normativo da ANPD serão expedidos por meio de Resoluções, de competência exclusiva do Conselho Diretor, observados os procedimentos relativos à Consulta Pública e à Audiência Pública. § 1º A edição de atos normativos da ANPD será

Página 7

precedida de Análise de Impacto Regulatório, que será elaborado nos termos da legislação pertinente, contendo informações e dados sobre os prováveis efeitos do ato, a fim de verificar a razoabilidade do impacto e subsidiar a tomada de decisão.

4.2.6. Por fim, verificado o atendimento aos requisitos formais aplicáveis, bem como que o ato normativo escolhido é adequado ao propósito de regulamentar a transferência internacional de dados, passo à análise de mérito da minuta.

4.3. Aspectos de Mérito

4.3.1. Estrutura e conteúdo da Resolução

4.3.1.1. No que diz respeito à estrutura da Resolução, não promovi alterações, uma vez que está de acordo com o modelo adotado, usualmente, pela ANPD.

4.3.1.2. Com relação à redação, promovi alterações no preâmbulo e no art. 1º, a fim de substituir a expressão “modelo” por “conteúdo”, adequando- se o texto à linguagem da LGPD.

4.3.1.3. No art. 2º, proponho alteração do texto para que o Regulamento entre em vigor na data de sua publicação, na forma do art. 18, inciso IV, do Decreto nº 12.002, de 22 de abril de 2024, por considerar que não há circunstâncias aptas a ensejar a previsão de vacatio legis. No caso em tela, a urgência de entrada em vigor da norma se justifica, uma vez que a regulamentação confere amparo jurídico às transferências internacionais de dados.

4.3.1.4. Importa ressaltar que a intervenção regulatória da ANPD tem sido esperada pela sociedade desde o advento da LGPD, o que ressalta a necessidade da entrada em vigor imediata do Regulamento de Transferência Internacional de Dados. A entrada em vigor do Regulamento trará maior segurança jurídica aos agentes de tratamento, permitindo que as operações de tratamento de dados sejam realizadas com segurança jurídica e conformidade. Além disso, assegurará uma proteção mais robusta aos dados dos titulares, fortalecendo os mecanismos de governança e mitigação de riscos associados às transferências internacionais de dados.

4.3.1.5. Este arcabouço jurídico é fundamental para o desenvolvimento sustentável das atividades de tratamento de dados pessoais, promovendo maior confiança no ambiente digital e incentivando o cumprimento das obrigações regulatórias pelos agentes de tratamento.

Página 8

4.3.1.6. Por este motivo, proponho a seguinte alteração no dispositivo: Redação da Minuta da Resolução Proposta do Relator Texto original Texto incluído/alterado/suprimido

Art. 2º Esta Resolução entre em vigor:

I - 12 (doze) meses após a sua data de publicação, quanto aos arts. 14 a 33 do Anexo II;

II – - na data de sua publicação, quanto aos demais artigos desta norma e do Anexo I e quanto ao Anexo II.

Art. 2º Esta Resolução entra em vigor na data de sua publicação.

4.3.1.7. Não se olvida, entretanto, a necessidade uma ponderação quanto aos ajustes que devem ser feitos nos instrumentos contratuais, atualmente, utilizados pelos agentes de tratamento para transferências internacionais de dados, a fim de se adequarem às cláusulas-padrão contratuais definidas pela ANPD neste Regulamento.

4.3.1.8. Neste último caso, considerando a complexidade das relações jurídicas que envolvem o tratamento de dados pessoais, é razoável a fixação de prazo para adaptação dos contratos que têm como objetivo reger transferências internacionais de dados.

4.3.1.9. Por este motivo, proponho a seguinte inserção no dispositivo: Redação da Minuta da Resolução Proposta do Relator Texto original Texto incluído/alterado/suprimido

Art. 2º (…) (…)

Art. 2º (…) Parágrafo único. Os agentes de tratamento que utilizam cláusulas contratuais para realizar transferências internacionais de dados deverão incorporar as cláusulas-padrão contratuais aprovadas pela ANPD aos seus respectivos instrumentos

Página 9

contratuais, no prazo de até 12 (doze) meses, contados da data de publicação desta Resolução.

4.3.1.10. Sendo isto que tinha a analisar, passo às considerações sobre a minuta do Regulamento propriamente dito.

4.3.2. Estrutura do Regulamento (Anexos)

4.3.2.1. Inicialmente, destaco que inseri seções em alguns capítulos do Regulamento, com o intuito de facilitar o entendimento da norma. Ademais, inseri ainda um capítulo ao final para tratar de temática transversal aos assuntos trazidos no regulamento.

4.3.2.2. Por este motivo, proponho a seguinte a seguinte estrutura: Redação da Minuta da Resolução Proposta do Relator Texto original Texto alterado

ANEXO I - REGULAMENTO DE TRANSFERÊNCIA INTERNACIONAL DE DADOS PESSOAIS

CAPÍTULO I - DISPOSIÇÕES GERAIS

(…)

CAPÍTULO II - DAS DEFINIÇÕES

CAPÍTULO III - DA TRANSFERÊNCIA INTERNACIONAL DE DADOS

Seção I - Requisitos Gerais Seção II - Caracterização da Transferência Internacional de Dados Seção III - Aplicação da Legislação Nacional de Proteção de Dados Pessoais Seção IV - Hipótese legal e Mecanismo de Transferência

ANEXO I - REGULAMENTO DE TRANSFERÊNCIA INTERNACIONAL DE DADOS PESSOAIS

CAPÍTULO I - DISPOSIÇÕES GERAIS

Seção I - Objetivo e Escopo Seção II - Diretrizes

CAPÍTULO II - DAS

DEFINIÇÕES

CAPÍTULO III - DA TRANSFERÊNCIA INTERNACIONAL DE DADOS

Seção I - Requisitos Gerais Seção II - Caracterização da Transferência Internacional de Dados Seção III - Aplicação da Legislação Nacional de Proteção de Dados Pessoais Seção IV - Hipótese legal e Mecanismo de Transferência

Página 10

CAPÍTULO IV - DA DECISÃO DE ADEQUAÇÃO

(…)

CAPÍTULO V - DAS CLÁUSULAS-PADRÃO CONTRATUAIS

Seção I - Disposições gerais Seção II - Cláusulas-padrão contratuais equivalentes

CAPÍTULO VI - DAS CLÁUSULAS CONTRATUAIS ESPECÍFICAS

CAPÍTULO VII - DAS NORMAS CORPORATIVAS GLOBAIS

CAPÍTULO VIII - DO PROCESSO DE APROVAÇÃO DE CLÁUSULAS CONTRATUAIS ESPECÍFICAS E DE NORMAS CORPORATIVAS GLOBAIS

(…)

(…)

CAPÍTULO IV - D A DECISÃO DE ADEQUAÇÃO

Seção I – Disposições Gerais Seção II – Critérios para Avaliação do Nível de Proteção de Dados Pessoais Seção III – Emissão de Decisão de Adequação

CAPÍTULO V - DAS CLÁUSULAS-PADRÃO CONTRATUAIS

Seção I - Disposições gerais Seção II – Medidas de Transparência Seção III - Cláusulas-padrão Contratuais Equivalentes

CAPÍTULO VI - DAS CLÁUSULAS CONTRATUAIS ESPECÍFICAS

CAPÍTULO VII - DAS NORMAS CORPORATIVAS GLOBAIS

CAPÍTULO VIII – DISPOSIÇÕES COMUNS ÀS CLÁUSULAS CONTRATUAIS ESPECÍFICAS E DE NORMAS CORPORATIVAS GLOBAIS

Seção I – Procedimento de Aprovação Seção II – Medidas de Transparência Seção III – Alterações

CAPÍTULO IX DISPOSIÇÕES FINAIS

4.3.2.3. No mais, conforme se observa, o regulamento compõe o Anexo I da Resolução que o aprova. A sua estrutura abarca os temas que

Página 11

dependem de regulamentação pela ANPD, para conferir eficácia aos mecanismos de transferência internacional de dados previstos no art. 33 da LGPD.

4.3.2.4. Os CAPÍTULOS I e II são pertinentes a todo tipo de regulamento. Tais capítulos apontam, respectivamente, as disposições gerais da norma e definições essenciais à sua interpretação.

4.3.2.5. Já o CAPÍTULO III apresenta os requisitos gerais para se realizar uma transferência internacional de dados. É importante ressaltar que o Regulamento adotou uma abordagem sequencial, a fim de estipular um caminho objetivo a ser percorrido pelos agentes de tratamento para realizar uma transferência internacional de dados.

4.3.2.6. Neste sentido, o primeiro passo é a caracterização da Transferência Internacional de Dados. Esta seção explicita quando tal operação ocorre e, de igual modo, quando não se configura, como no caso de coleta internacional de dados pessoais. Ressalta-se que, mesmo nessas situações, deve-se observar as disposições da Lei nº 13.709, de 14 de agosto de 2018, quando verificada uma das hipóteses indicadas no art. 3º da referida Lei.

4.3.2.7. Importa destacar ainda a delimitação das figuras do Exportador e Importador, os quais são essenciais à caracterização de uma Transferência Internacional de Dados, e não correspondem, necessariamente, às figuras do controlador e operador, respectivamente, conforme é possível depreender do conceito estabelecido pelo art. 3º, I e II, do Regulamento.

4.3.2.8. As transferências internacionais de dados podem ocorrer de diversas formas, com variações nas posições dos agentes de tratamento (controlador e operador) dependendo da operação. Diferentemente dessas variações, as posições das figuras do exportador e importador permanecem constantes: o exportador é o agente que envia os dados, enquanto o importador é aquele que os recebe em uma determinada operação de transferência internacional de dados.

4.3.2.9. O segundo passo é verificar a aplicabilidade da LGPD à operação de tratamento de dados. As disposições do art. 33 são aplicáveis apenas quando a lei se aplica a operação em questão. Para confirmar esta aplicabilidade, o agente de tratamento deve avaliar as situações descritas no art. 3º e 4º da LGPD.

4.3.2.10. Em terceiro lugar, é necessário que o agente de tratamento adote uma hipótese legal para legitimar o tratamento de dados. Considerando que a transferência de dados é uma forma de tratamento, conforme disposto no art. 5º, incisos X e XVI, da LGPD, é inafastável a

Página 12

necessidade de optar por uma hipótese legal, que varia a depender da categoria de dados pessoais objeto do tratamento.

4.3.2.11. Neste sentido, deve-se destacar que a transferência internacional de dados pressupõe a existência de uma hipótese legal adequada para legitimar o tratamento de dados (conforme os artigos 7º e 11º da LGPD), em conjunto a adoção de mecanismos específicos para transferência internacional de dados, conforme o art. 33 da LGPD e o regulamento em aprovação.

4.3.2.12. A efetiva utilização de hipótese legal adequada, associada aos mecanismos de transferência internacional de dados, pode auxiliar na conformidade e proteção dos dados pessoais nas transferências internacionais de dados, assegurando a observância das disposições legais e regulatórias aplicáveis.

4.3.2.13. Ultrapassadas tais questões, chega-se ao momento de escolher um dos mecanismos de transferência internacional de dados previstos no art. 33 da LGPD, cabendo ressaltar que não há ordem de preferência entre eles, podendo o agente de tratamento optar pelo mecanismo que entender pertinente.

4.3.2.14. É importante destacar que, apesar da ausência de hierarquia entre os mecanismos, alguns podem ser adotados imediatamente pelos agentes de tratamento, enquanto outros, devido à necessidade de aprovação prévia pela ANPD, podem requerer um período de espera maior. Esta distinção deve ser considerada na escolha do mecanismo, especialmente quando houver demandas urgentes ou específicas que exijam uma rápida adequação.

4.3.2.15. Em especial no que toca aos mecanismos, salienta-se que o Regulamento não dispõe sobre selos, certificados e códigos de conduta (art. 33, inciso II, alínea “d”, da LGPD), uma vez que se entendeu não ser o momento oportuno para regulamentação de tais mecanismos, sendo que, no futuro, tais mecanismos poderão ser devidamente regulamentados pela ANPD.

4.3.2.16. Os CAPÍTULOS IV, V, VI e VII dispõem sobre os mecanismos de transferência internacional de dados, estabelecendo conceitos, características, procedimentos e requisitos específicos para cada um deles.

4.3.2.17. O CAPÍTULO VIII aponta o procedimento para aprovação das cláusulas específicas e normas corporativas globais, bem como dispõe sobre medidas de transparência e alterações dos instrumentos.

4.3.2.18. O CAPÍTULO IX, por fim, trata das disposições finais. Este capítulo foi criado a partir do deslocamento da temática referente ao pedido

Página 13

de reconsideração, a fim de abarcar a possibilidade da sua interposição também com relação ao pedido de aprovação de cláusulas equivalentes e solicitação de emissão de decisão de adequação pela ANPD.

4.3.2.19. Pelo exposto, verifico que, do ponto de vista da estrutura normativa, a minuta atende ao objetivo proposto, uma vez que regulamenta os pontos omissos da LGPD, conferindo aplicabilidade prática aos dispositivos legais.

4.3.2.20. Passo então à análise do conteúdo do Regulamento.

4.3.3. Conteúdo do Regulamento (Anexo I)

Preliminarmente, destaca-se que o documento analisado (0130203) passou por alterações de ordem meramente redacional, sem implicações substantivas, com o objetivo de tornar mais clara a redação dos dispositivos e uniformizar as terminologias utilizadas. Cabe ressaltar que tais modificações não serão apresentadas de forma individualizada no presente voto. Contudo, a fim de facilitar a identificação das modificações propostas, todas as alterações foram consolidadas na versão com marcas (0138959) juntada ao processo. A versão final sem marcas também foi juntada (0138965).

4.3.3.2. Informo ainda que, houve necessidade de renumerar os artigos em função da realocação de dispositivos.

4.3.3.3. No que diz respeito ao mérito da minuta do Regulamento, examinarei a seguir os aspectos de maior relevância, em especial, no que toca às alterações de cunho substancial.

4.3.3.4. Com relação às questões não levantadas neste voto, em homenagem ao princípio da eficiência, acolho a fundamentação adotada pela área técnica, constantes da Nota Técnica nº 214/2024/CON1/CGN/ANPD (0121143) e Nota Técnica nº 218/2024/CON1/CGN/ANPD ( 0129083), no que couber.

ANEXO I – REGULAMENTO DE TRANSFERÊNCIA INTERNACIONAL DE DADOS CAPÍTULO III - TRANSFERÊNCIA INTERNACIONAL DE DADOS

Seção III

• Aplicação da Legislação Nacional de Proteção de Dados Pessoais

· Artigo 7º

4.3.3.5. A minuta proposta apresenta as condições para a aplicação da LGPD às transferências internacionais de dados. Entretanto, o documento não

Página 14

dispôs sobre as exceções de aplicação à LGPD.

4.3.3.6. Conforme depreende-se da Nota Técnica nº 214/2024/CON1/CGN/ANPD (0121143), houve contribuições da sociedade no sentido de serem previstas exceções à aplicação da LGPD. Neste sentido, entendo que a matéria é pertinente ao contexto do presente Regulamento.

4.3.3.7. A redação atual da LGPD não é suficientemente clara quanto às condições específicas de exceções de aplicação para transferências internacionais de dados, o que pode dificultar o fluxo entre jurisdições, inclusive comprometendo a avaliação de emissão decisão de adequação por outros países em favor do Brasil.

4.3.3.8. A falta de clareza na redação, ademais, pode gerar incertezas e obstáculos para os agentes de tratamento, impactando negativamente a conformidade das operações de tratamento de dados. Por este motivo, incluí uma proposta de dispositivo no Regulamento, visando esclarecer essa lacuna. Esta inclusão é imperativa para garantir um ambiente regulatório favorável ao fluxo de dados, ao mesmo tempo que assegura a proteção dos titulares.

4.3.3.9. O artigo proposto tem, portanto, o objetivo de regulamentar e estabelecer a interpretação do art. 4º, IV, da LGPD. Este dispositivo legal excepciona a aplicação da LGPD no caso de dados provenientes do exterior, desde que atendidas determinadas condições. A redação é a seguinte: Art. 4º Esta Lei não se aplica ao tratamento de dados pessoais: […]IV - provenientes de fora do território nacional e que não sejam objeto de comunicação, uso compartilhado de dados com agentes de tratamento brasileiros ou objeto de transferência internacional de dados com outro país que não o de proveniência, desde que o país de proveniência proporcione grau de proteção de dados pessoais adequado ao previsto nesta Lei.

4.3.3.10. É importante ressaltar que a exceção de aplicação da LGPD estabelecida no art. 4º, IV, deve ser lida em conjunto com o art. 3º, inciso I, e § 2º, da LGPD. Confira-se: Art. 3º Esta Lei aplica-se a qualquer operação de tratamento realizada por pessoa natural ou por pessoa jurídica de direito público ou privado, independentemente do meio, do país de sua sede ou do país onde estejam localizados os dados, desde que:

Página 15

I - a operação de tratamento seja realizada no território nacional; […]§ 2º Excetua-se do disposto no inciso I deste artigo o tratamento de dados previsto no inciso IV do caput do art. 4º desta Lei.

4.3.3.11. Portanto, numa leitura conjunta e sistemática desses dois dispositivos, verifica-se que o art. 4º, IV, cria uma exceção à regra geral de que a LGPD se aplica quando houver tratamento no território nacional. Por isso, a redação do caput do artigo proposto se inicia reafirmando a regra geral, isto é, a de que a LGPD se aplica aos dados provenientes do exterior sempre que estes sejam objeto de tratamento no Brasil.

4.3.3.12. Por sua vez, o § 1º do artigo proposto apresenta as duas hipóteses e as respectivas condições que devem ser atendidas para que a exceção seja aplicável, sendo elas:

4.3.3.13. (i) o simples trânsito de dados pessoais, sem a ocorrência de comunicação ou uso compartilhado de dados com agente de tratamento situado em território nacional; ou

4.3.3.14. (ii) o retorno dos dados exclusivamente ao país ou organismo internacional de proveniência, desde que este país ou organismo seja reconhecido como adequado pela ANPD, que seja aplicável ao caso a legislação do país estrangeiro ou organismo internacional e que a decisão de adequação tenha previsto expressamente a situação específica em que a LGPD não será aplicável.

4.3.3.15. As duas hipóteses e as respectivas condições estão previstas no próprio art. 4º, IV, da LGPD.

4.3.3.16. A primeira hipótese (“trânsito de dados pessoais”) decorre da menção a dados provenientes do exterior que não sejam “objeto de comunicação” e “uso compartilhado de dados com agentes de tratamento brasileiros”. Assim, entende-se que o dispositivo se refere ao trânsito de dados pessoais, ou seja, uma simples passagem dos dados pelo Brasil com destino a outro país ou organismo internacional. Nesta hipótese, por não haver propriamente um tratamento de dados no Brasil, não há aplicação da LGPD à operação, de forma coerente, inclusive, com o que estabelece o art. 3º, I, da LGPD.

4.3.3.17. Ressalte-se que a menção a “organismo internacional” efetuada na proposta de artigo tem por objetivo compatibilizar a redação do

Página 16

dispositivo regulamentar com a definição de “transferência internacional de dados” prevista na LGPD (art. 5º, XV). A referência a “organismo internacional” consta também do art. 34 da LGPD, que estabelece os critérios para a avaliação do nível de proteção de dados do “país estrangeiro ou organismo internacional” para fins de emissão de decisão de adequação pela ANPD.

4.3.3.18. A segunda hipótese (“retorno dos dados exclusivamente ao país ou organismo de proveniência”) está prevista na segunda parte do inciso IV do art. 4º da LGPD e apresenta três condições:

4.3.3.19. (i) Inicialmente, o dispositivo se refere a dados provenientes do exterior que “não sejam […] objeto de transferência internacional de dados com outro país que não o de proveniência […]”. A forma negativa utilizada indica, a contrário sensu, que a transferência internacional deve ser exclusivamente para o país de proveniência. Ou seja, ao mencionar que os dados não devem ser objeto de transferência “a outro país que não o de proveniência”, o art. 4º, IV, da LGPD, exige que, para a incidência da exceção, os dados devem retornar somente ao próprio país de proveniência. Esta condição está prevista no inciso II do artigo proposto;

4.3.3.20. (ii) A segunda condição é que seja aplicável ao caso a legislação do país ou do organismo internacional reconhecido como adequado. Essa previsão decorre da própria referência à adequação do país ou organismo internacional e afasta expressamente uma situação de não aplicação de nenhuma legislação protetiva sobre a operação de transferência internacional de dados;

4.3.3.21. (iii) Por fim, o art. 4º, IV, da LGPD, exige que o país de proveniência seja reconhecido como adequado por decisão da ANPD, condição esta detalhada nas alíneas “a” e “c” do inciso II do § 1º e no § 2º do artigo proposto.

4.3.3.22. Importante ressaltar que, ao se referir à necessidade de que o país de proveniência seja reconhecido como adequado, o dispositivo legal (art. 4º, IV, da LGPD) remete ao conteúdo da própria decisão de adequação. Nesse sentido, o art. 34, IV, da LGPD, estabelece os critérios que devem ser considerados pela ANPD para avaliar o nível de proteção de dados de país estrangeiro ou organismo internacional, incluindo, entre outros, a observância dos princípios gerais de proteção de dados, a existência de garantias judiciais e institucionais e outras circunstâncias específicas relativas à transferência. Por sua vez, a minuta de Regulamento de Transferência Internacional prevê a possibilidade de estabelecimento de “condicionantes” na decisão de adequação.

4.3.3.23. Assim, a interpretação proposta é a de que a exceção à aplicação da LGPD prevista na parte final do art. 4º, IV, somente ocorrerá

Página 17

quando assim expressamente prevista na própria decisão de adequação. Trata-se de interpretação restritiva e mais protetiva aos direitos dos titulares, que confere maior segurança jurídica à aplicação da legislação nacional e respeito à soberania do país.

4.3.3.24. Dessa forma, a decisão e a interpretação sobre a incidência da exceção legal serão realizadas pela própria ANPD – e não pelas organizações que realizam transferências internacionais de dados. Ademais, a interpretação será específica para determinados casos excepcionais, objeto de motivação pela autoridade e divulgação pública. Com isso, são afastados os riscos de interpretações indevidas e amplas ou, ainda, de criação de zonas cinzentas nas quais determinadas operações com dados pessoais no Brasil não estariam submetidas ao regime jurídico protetivo da LGPD.

4.3.3.25. Nesta linha, vale enfatizar que o § 2º do artigo proposto assegura que a LGPD não poderá ser excepcionada diante de situações que possam violar ou colocar em risco a observância dos princípios gerais de proteção de dados pessoais e os direitos dos titulares previstos na legislação nacional. Trata-se de critério essencial e limitador, que deverá ser necessariamente considerado pela ANPD na eventual hipótese de reconhecimento da não aplicação da LGPD a determinadas transferências internacionais de dados para país ou organismo internacional que possua nível de proteção de dados pessoais adequado ao previsto na legislação nacional.

4.3.3.26. Com base na fundamentação supramencionada, proponho a seguinte redação: Redação da Minuta da Resolução Proposta do Relator Texto original Texto incluído/alterado/suprimido

(…)

Art. 8º Aplica-se a Lei nº 13.709, de 14 de agosto de 2018, aos dados pessoais provenientes do exterior sempre que estes sejam objeto de tratamento no território nacional.

§ 1º A Lei nº 13.709, de 14 de agosto de 2018, não se aplica aos dados pessoais provenientes do exterior somente quando ocorrer:

I - trânsito de dados pessoais, sem a ocorrência de comunicação ou uso

Página 18

compartilhado de dados com agente de tratamento situado em território nacional; ou

II - retorno dos dados pessoais, objeto de tratamento no território nacional, exclusivamente ao país ou organismo internacional de proveniência, desde que:

a) o país ou organismo internacional de proveniência proporcione grau de proteção de dados pessoais adequado, reconhecido por decisão da ANPD;

b) a legislação do país ou as normas aplicáveis ao organismo internacional de proveniência se apliquem à operação realizada; e

c) a situação específica e excepcional de não aplicação da Lei nº 13.709, de 14 de agosto de 2018, esteja expressamente prevista na decisão de adequação referida na alínea “a”.

§ 2º Para fins do inciso II do § 1º, a decisão de adequação emitida pela ANPD não excepcionará a aplicação da Lei nº 13.709, de 14 de agosto de 2018, em situações que possam violar ou colocar em risco a observância dos princípios gerais de proteção de dados pessoais e os direitos dos titulares previstos na legislação nacional.

§ 3º A não aplicação da Lei nº 13.709, de 14 de agosto de 2018, nas hipóteses previstas neste artigo não afasta a necessidade de observância de outras

Página 19

leis ou regulamentos, especialmente os que dispõem sobre inviolabilidade e sigilo das comunicações, requisitos técnicos e de segurança e acesso a dados por autoridades públicas.

CAPÍTULO IV

• DECISÃO DE ADEQUAÇÃO

· Art. 9º – exclusão do parágrafo único

4.3.3.27. O parágrafo único foi inserido após consulta pública, considerando que havia contribuições no sentido de ser inserida a expressão “nível de proteção funcionalmente equivalente”. 4. 3. 3. 28. O caput do dispositivo trata do mecanismo da decisão de adequação. Trata-se de mecanismo no qual a ANPD avalia o nível de proteção de dados pessoais de país estrangeiro ou de organismo internacional, a partir dos critérios estabelecidos no art. 34 da LGPD.

4.3.3.29. O dispositivo proposto especifica que a adequação pressupõe a equivalência substancial entre a legislação brasileira e o país ou organismo internacional de destino dos dados. Esta previsão, no meu entendimento, pode gerar interpretações equivocadas quanto à expressão “equivalência do nível de proteção”.

4.3.3.30. Isto porque a equivalência pretendida, frise-se, é do nível de proteção de dados pessoais e não da legislação do país ou organismo internacional de destino. A partir da análise da legislação do destinatário, a ANPD verificará a equivalência ou não do nível de proteção de dados pessoais como um todo.

4.3.3.31. Isto significa dizer que a análise da legislação, que naturalmente não é equivalente, em razão das especificidades de cada ordenamento jurídico, é o meio para se chegar à conclusão pela equivalência ou não do nível de proteção. Ademais, a ANPD pode determinar condicionantes na decisão de adequação para que o país ou organismo internacional alcance o nível de proteção adequado, conforme preceitua o art. 12, inciso II, do Regulamento.

4.3.3.32. Neste sentido, proponho a exclusão do referido parágrafo. Redação da Minuta da Resolução Proposta do Relator Texto original Texto incluído/alterado/suprimido

Página 20

Art. 9º (…)

Parágrafo único. A adequação referida no caput pressupõe a equivalência substancial entre a legislação brasileira e a do país ou organismo internacional avaliado, o que poderá ser reconhecido ainda que estes adotem regras e procedimentos distintos daqueles previstos na Lei nº 13.709, de 14 de agosto de 2018.

Art. 10 (…)

Parágrafo único. A adequação referida no caput pressupõe a equivalência substancial entre a legislação brasileira e a do país ou organismo internacional avaliado, o que poderá ser reconhecido ainda que estes adotem regras e procedimentos distintos daqueles previstos na Lei nº 13.709, de 14 de agosto de 2018.

· Art. 10 – exclusão dos parágrafos 4º e 5º

4.3.3.33. Os parágrafos 4º e 5º do art. 10 foram propostos segundo o entendimento de que seria necessária a indicação de critérios adicionais aos previstos no Regulamento. Entretanto, no atual estágio de maturidade da norma, verifico que os critérios constantes do dispositivo, somados aos parágrafos 1º, 2º e 3º, são suficientes para regulamentar o tema.

4.3.3.34. Além disso, por conveniência e oportunidade, a ANPD poderá emitir materiais, documentos e guias para auxiliar na interpretação e aplicação das normas de proteção de dados, conforme preceitua o art. 55-J, XVIII e XX, da LGPD. Estes instrumentos complementares poderão ser elaborados sem a necessidade de que tal previsão esteja expressamente indicada no Regulamento, proporcionando maior flexibilidade na resposta às demandas e evoluções do cenário regulatório.

4.3.3.35. Neste sentido, proponho a exclusão dos referidos parágrafos. Redação da Minuta da Resolução Proposta do Relator Texto original Texto incluído/alterado/suprimido

Art. 10 (…)

§ 4º A ANPD poderá dispor, por meio de orientações ou normas complementares, sobre os critérios de avaliação do nível de proteção de dados pessoais, previstos no caput deste artigo.

Art. 11 (…)

§ 4º A ANPD poderá dispor, por meio de orientações ou normas complementares, sobre os critérios de avaliação do nível de proteção de dados pessoais, previstos no caput deste artigo.

Página 21

§ 5º As orientações e normas complementares mencionadas no § 4º serão desenvolvidas com a finalidade de fornecer diretrizes técnicas, jurídicas e organizacionais que subsidiem a correta aplicação dos critérios de adequação, visando à proteção dos direitos e garantias dos titulares.

§ 5º As orientações e normas complementares mencionadas no § 4º serão desenvolvidas com a finalidade de fornecer diretrizes técnicas, jurídicas e organizacionais que subsidiem a correta aplicação dos critérios de adequação, visando à proteção dos direitos e garantias dos titulares.

· Art. 12 – alteração do parágrafo primeiro e exclusão do parágrafo terceiro

4.3.3.36. No que concerne ao parágrafo primeiro, considerando a decisão de adequação envolve o reconhecimento de outro país como adequado, para fins de realização de transferências internacionais de dados, é pertinente que outros órgãos e entidades da Administração Pública com competências afetas ao tema possam se manifestar durante o processo. Assim, a redação amplia a possibilidade de inclusão de atores relevantes ao processo, como outros Ministérios além do MRE.

4.3.3.37. A decisão da ANPD pode causar impacto em diversos setores, sendo certo que tais órgãos e entidades podem apresentar perspectivas e cenários valiosos, que podem subsidiar a avaliação da ANPD. Por este motivo, proponho a alteração do dispositivo para endereçar possibilidade de participação de outros atores no processo.

4.3.3.38. No mais, pelos motivos já expostos no tópico anterior, entendo ser desnecessária a edição de normas complementares ou inclusão de critérios adicionais para a plena entrada em vigor das normas relativas à decisão de adequação. Por esse motivo, proponho a exclusão do parágrafo terceiro. Redação da Minuta da Resolução Proposta do Relator Texto original Texto incluído/alterado/suprimido

Art. 12 (…)

§ 1º O Ministério das Relações Exteriores será cientificado da instauração do processo, sendo-lhe facultada a apresentação de

Art. 13 (…)

§ 1º O s órgãos e entidades da Administração Pública com competências afetas ao tema poderão ser cientificados da instauração do

Página 22

manifestação nos autos, no âmbito de suas competências legais.

(…)

§ 3º O Conselho Diretor poderá editar normas complementares sobre o procedimento de emissão de decisão de adequação, bem como sobre o procedimento de reavaliação periódica do nível de proteção e de revisão da decisão de adequação.

processo, sendo-lhes facultada a apresentação de manifestação, no âmbito de suas competências legais.

(…)

§ 3º O Conselho Diretor poderá editar normas complementares sobre o procedimento de emissão de decisão de adequação, bem como sobre o procedimento de reavaliação periódica do nível de proteção e de revisão da decisão de adequação.

Seção III - Cláusulas-padrão Contratuais Equivalentes · Art. 17 – Alteração parágrafo terceiro

4.3.3.39. Considerando a similitude da questão, adoto a motivação disposta acima para justificar a alteração promovida no dispositivo. Neste sentido, proponho a seguinte redação: Redação da Minuta da Resolução Proposta do Relator Texto original Texto incluído/alterado/suprimido

Art. 17 (…)

§3º O Ministério das Relações Exteriores será cientificado da instauração do processo, sendo-lhe facultada a apresentação de manifestação nos autos, no âmbito de suas competências legais.

Art. 18 (…)

§3º Os órgãos e entidades da Administração Pública com competências afetas ao tema poderão ser cientificados da instauração do processo, sendo-lhes facultada a apresentação de manifestação, no âmbito de suas competências legais.

· Art. 19 – Alteração do caput e exclusão do parágrafo terceiro

Página 23

4.3.3.40. A minuta ora analisada prevê a que as cláusulas-padrão contratuais reconhecidas como equivalentes serão aprovadas por Despacho Decisório. Considerando, entretanto, que as cláusulas-padrão serão aprovadas por Resolução, por paralelismo, os demais mecanismos de transferências internacionais devem ser aprovados pelo mesmo instrumento.

4.3.3.41. Quanto ao parágrafo terceiro, proponho a sua exclusão, uma vez que, as disposições constantes do Capítulo V aplicam-se às cláusulas equivalentes, independentemente, da iniciativa para instauração do procedimento para reconhecimento da equivalência (de obcio ou a requerimento dos interessados), uma vez que se configuram um tipo de cláusula-padrão, conforme preceitua o art. 19, parágrafo único. O único dispositivo que não se aplica é o parágrafo quarto do art. 17, o que é evidente já que ele se refere ao “requerimento”. Redação da Minuta da Resolução Proposta do Relator Texto original Texto incluído/alterado/suprimido

Art. 19. As cláusulas-padrão contratuais reconhecidas como equivalentes serão aprovadas por Despacho Decisório do Conselho Diretor e publicadas na página da ANPD na Internet.

§ 3º As disposições constantes neste Capítulo aplicam-se, no que couber, ao procedimento de reconhecimento de equivalência de cláusulas-padrão instaurado de ofício pela ANPD.

Art. 20. As cláusulas-padrão contratuais reconhecidas como equivalentes serão aprovadas por Resolução do Conselho Diretor e publicadas na página da ANPD na Internet.

§ 3º As disposições constantes neste Capítulo aplicam-se, no que couber, ao procedimento de reconhecimento de equivalência de cláusulas-padrão instaurado de ofício pela ANPD.

CAPÍTULO VII - DAS NORMAS CORPORATIVAS GLOBAIS

· Art. 24 –Exclusão do parágrafo segundo

4.3.3.42. A minuta trouxe previsão da possibilidade de as entidades sem fins lucrativos poderem se valer das normas corporativas globais. Entretanto, tal previsão amplia, indevidamente, a incidência das normas corporativas. As NCG´s são essencialmente pensadas para grandes empresas, refletindo suas estruturas e necessidades complexas, conforme indicado pelo termo

Página 24

“corporativas”.

4.3.3.43. O próprio conceito de NCG está, intrinsecamente, relacionado a aspectos econômicos, o que é incompatível com a natureza e os objetivos das entidades sem fins lucrativos. A extensão, portanto, da aplicação a estas entidades desvirtua o propósito do mecanismo, e pode gerar confusões e dificuldades na implementação e conformidade regulatória.

4.3.3.44. Por essas razões, entendo pela importância de restringir a aplicação das NCG´s às corporações, preservando a eficácia e aplicabilidade das Normas Corporativas Globais.

4.3.3.45. Por este motivo, proponho a supressão do dispositivo.

Redação da Minuta da Resolução Proposta do Relator Texto original Texto incluído/alterado/suprimido

Art. 24 (…)

§2º As disposições constantes neste Capítulo aplicam-se às entidades sem fins lucrativos.

Art. 25 (…)

§2º As disposições constantes neste Capítulo aplicam-se às entidades sem fins lucrativos.

· Art. 26 – Alteração do parágrafo primeiro

4.3.3.46. A minuta traz o termo “em prazo razoável”, para fins de obrigação de notificação à entidade responsável sempre que um membro do grupo ou conglomerado de empresas situado em outro país esteja submetido a uma determinação legal que impeça o cumprimento das normas corporativas, ressalvada a hipótese de expressa proibição legal de realizar essa notificação. Entretanto, entendo que o termo “imediata”, utilizado anteriormente, é mais adequado ao contexto da situação, motivo pelo qual proponho a alteração.

4.3.3.47. A proposta indica a obrigação de notificação imediata quanto às alterações nas garantias apresentadas como suficientes à observância dos princípios, dos direitos do titular e do regime de proteção de dados previsto na LGPD, quando um membro do grupo situado em outro país estiver submetido a uma determinação legal que impeça o cumprimento das normas corporativas.

4.3.3.48. A intenção do dispositivo é que a notificação seja realizada com

Página 25

urgência, ou seja, tão logo identificada. Isto porque se trata de alterações nas garantias apresentadas pelas NCG’s aprovadas pela ANPD, as quais representam, no contexto específico do comando regulamentar, diminuição da proteção dos princípios, direitos dos titulares e do regime de proteção de proteção de dados conferido pela LGPD.

4.3.3.49. Vale ressaltar que a notificação é feita à entidade responsável, que, segundo disposto no art. 3º, inciso VII, do Regulamento, “é a sociedade empresária, com sede no Brasil, que responde por qualquer violação de norma corporativa global, ainda que decorrente de ato praticado por um membro do grupo ou conglomerado de empresas com sede em outro país.”

4.3.3.50. Neste sentido, a depender da natureza da alteração, é possível que seja necessário revogar a aprovação da NCG ou impor condicionantes. Considerando o papel da entidade responsável perante ANPD, a sua notificação, o quanto antes, é crucial para que a ANPD possa, eventualmente, tomar as medidas necessárias ao resguardo dos direitos dos titulares.

4.3.3.51. No mais, permitir a notificação em prazo razoável abriria espaço para interpretações, o que poderia vulnerabilizar a proteção dos direitos dos titulares. Assim, o quanto antes a entidade responsável for notificada, mais rápido poderá a ANPD atuar, se for o caso.

4.3.3.52. Por tais motivos, proponho a alteração do dispositivo, na forma indicada abaixo:

Redação da Minuta da Resolução Proposta do Relator Texto original Texto incluído/alterado/suprimido

Art. 26 (…)

§ 1º Para fins de cumprimento do inciso VIII, a norma corporativa global deve prever obrigação de notificação em prazo razoável à entidade responsável sempre que um membro situado em outro país esteja submetido a uma determinação legal que impeça o cumprimento das obrigações corporativas, ressalvada a hipótese de expressa proibição legal de realizar essa notificação.

Art. 27 (…)

§ 1º Para fins de cumprimento do inciso VIII, a norma corporativa global deve prever obrigação de notificação imediata à entidade responsável sempre que um membro do grupo ou conglomerado de empresas situado em outro país esteja submetido a uma determinação legal que impeça o cumprimento das normas corporativas, ressalvada a hipótese de expressa proibição legal de realizar essa notificação.

Página 26

CAPÍTULO VIII – DO PROCESSO DE APROVAÇÃO DE CLÁUSULAS CONTRATUAIS ESPECÍFICAS E NORMAS CORPORATIVAS GLOBAIS

· Art. 28 – exclusão dos parágrafos primeiro e segundo e inserção do inciso III

4.3.3.53. Trata-se de alterações realizadas na minuta após consulta pública. Segundo a Nota Técnica nº 214/2024/CON1/CGN/ANPD, a intenção foi de “4.284 (…) contemplar, ainda que de forma mitigada, as NGCs já aprovadas por países terceiros. Assim, foi dada a faculdade ao controlador que procurar aprovação de NCG junto à ANPD, visando a validade em território nacional, anexe no processo aquela já admitida internacionalmente.”

4.3.3.54. A proposta de inserção dos parágrafos primeiro e segundo endereça a preocupação louvável da sociedade. É importante explicar, entretanto, que a proposta posta à consulta pública não entra em detalhes sobre qual documento deve ser submetido à aprovação da ANPD, uma vez que se trata de questões afetas ao juízo do peticionante.

4.3.3.55. O inciso I, do então art. 28 determina que o requerimento deverá ser instruído com a íntegra da norma corporativa global. Dessa forma, não vislumbro empecilho à instrução do requerimento com uma NCG que foi aprovada por outra Autoridade. Cabe destacar, de toda forma, a necessidade do preenchimento dos requisitos do Capítulo VII do Regulamento, conforme preceitua o inciso III do referido artigo, o que pode ser demonstrado, inclusive por eventuais aditivos à NCG, ser for o caso.

4.3.3.56. A substância avulta, portanto, sobre a forma, cabendo ao agente de tratamento decidir acerca do documento que será apresentado no requerimento de aprovação, bem como da sobre a forma pela qual demonstrará o atendimento dos requisitos do Capítulo VII do Regulamento.

4.3.3.57. A seguir, o art. 29, inciso I, dispõe que o requerimento “será analisado pela área técnica competente, nos termos do Regimento Interno da ANPD, que se manifestará sobre o mérito do pedido, indicando, se for o caso, as condicionantes a serem observadas”.

4.3.3.58. Neste sentido, caso a ANPD entenda pela necessidade de ajustes, serão impostas condicionantes para utilização da NCG posta à aprovação.

4.3.3.59. Feitas essas considerações, e tendo em vista que as preocupações ventiladas já se encontram endereçadas no texto da norma, proponho a sua exclusão.

4.3.3.60. No mais, proponho a inserção do inciso III ao artigo 28 a fim de

Página 27

estabelecer a necessidade de instrução o processo, se for o caso, com cópia da decisão da autoridade de proteção de dados que tenha aprovado a norma corporativa global objeto do requerimento de aprovação, a fim de subsidiar a análise da ANPD.

4.3.3.61. Por tais motivos, proponho o seguinte texto:

Redação da Minuta da Resolução Proposta do Relator Texto original Texto incluído/suprimido/alterado

Art. 28. (…)

(…)

(…)

§1º O agente de tratamento vinculado a grupo ou conglomerado de empresas que já esteja vinculado a normas corporativas globais aprovadas em outras jurisdições poderá submeter tais normas ao exame da ANPD, acompanhadas, quando necessário, de eventuais aditamentos a serem firmados para assegurar o cumprimento dos requisitos estabelecidos neste Regulamento.

§2º Na hipótese prevista no §1º, a área técnica da ANPD indicará eventuais condicionantes a serem incluídas no próprio aditamento apresentado, com o objetivo de

Art. 29. (…)

(…)

III - se for o caso, cópia da decisão da autoridade de proteção de dados que tenha aprovado as cláusulas específicas ou normas corporativas globais objeto do requerimento de aprovação; e

§1º O agente de tratamento vinculado a grupo ou conglomerado de empresas que já esteja vinculado a normas corporativas globais aprovadas em outras jurisdições poderá submeter tais normas ao exame da ANPD, acompanhadas, quando necessário, de eventuais aditamentos a serem firmados para assegurar o cumprimento dos requisitos estabelecidos neste Regulamento.

§2º Na hipótese prevista no §1º, a área técnica da ANPD indicará eventuais condicionantes a serem incluídas no próprio aditamento apresentado, com o

Página 28

apresentado, com o objetivo de viabilizar a manutenção das normas corporativas globais já existentes.

objetivo de viabilizar a manutenção das normas corporativas globais já existentes.

· Art. 34 – Alteração do caput e realocação de dispositivo

4.3.3.62. O dispositivo traz previsão acerca da resolução de casos omissos no Regulamento. A competência para resolução de situações, eventualmente, não previstas em Regulamentos da ANPD decorre do Regimento Interno da ANPD e da própria LGPD, que estabelece, sem em art. 55-J, inciso XX, a competência da ANPD para “deliberar, na esfera administrativa, em caráter terminativo, sobre a interpretação desta Lei, as suas competências e os casos omissos.” Neste sentido, proponho a exclusão do dispositivo.

4.3.3.63. Ato contínuo proponho a realocação da temática tratada no art. 30 para a seção de Disposições Finais, a fim de abarcar a possibilidade de interposição de pedido de reconsideração também das decisões do Conselho Diretor nos procedimentos de solicitação de emissão de decisão de adequação e de requerimento de aprovação de cláusulas-padrão equivalentes.

Redação da Minuta da Resolução Proposta do Relator Texto original Texto incluído/alterado/suprimido

Art. 34. Os casos omissos neste Regulamento serão resolvidos pelo Conselho Diretor da ANPD.

(…)

Art. 34. Caberá pedido de reconsideração das decisões do Conselho Diretor, devidamente fundamentado, no prazo de 10 (dez) dias úteis, contados da ciência oficial pelo interessado, na forma do art. 12 do Anexo da Resolução CD/ANPD nº 1, de 28 de outubro de 2021, nos procedimentos instaurados para:

I – emissão de decisão de adequação;

II - reconhecimento de equivalência de cláusulas-padrão contratuais; ou

III – aprovação de cláusulas

Página 29

contratuais específicas e normas corporativas globais.

Parágrafo único. O pedido de reconsideração será distribuído e tramitará na forma do Regimento Interno da ANPD.

Estrutura do Regulamento (Anexo II – Cláusulas-padrão contratuais)

4.3.3.64. No que concerne à estrutura das cláusulas-contratuais padrão, faço referência ao disposto no Relatório de Análise de Impacto Regulatório (0051803), o qual justifica a escolha pela alternativa que apresenta o modelo de cláusulas com menor flexibilidade. Senão vejamos: 8.3 Análise de impactos e comparação das alternativas identificadas

1. Quanto à alternativa B, tendo em vista o momento de construção cultural e institucional com relação à proteção de dados pessoais no Brasil, a adoção de cláusulas-padrão contratuais com maior rigidez tem potencial de apresentar maior padronização e consequente maior rapidez na regularização dos fluxos de dados transfronteiriços, implicando maior segurança jurídica e em um menor esforço da ANPD em termos de fiscalização e monitoramento do atendimento dos preceitos fixados na legislação.

1. Essa abordagem pode facilitar o livro fluxo de informações e a regularização das transferências internacionais de dados, além de trazer maior proteção aos titulares de dados pessoais, tendo em vista a impossibilidade de flexibilização dos princípios, garantias e direitos previstos no modelo disponibilizado.

1. Embora o endereçamento dos instrumentos contratuais esteja de acordo com o princípio da responsabilidade e prestação de contas (accountability), que exige que os agentes de tratamento sejam responsáveis e possam demonstrar conformidade com os

Página 30

princípios relativos ao tratamento de dados pessoais, elas podem exigir um custo de adequação elevado, especialmente para as pequenas e médias empresas.

1. Por outro lado, tais custos podem ser encarados como investimentos, especialmente considerando os efeitos negativos da ausência de conformidade de tratamento às regras de proteção de dados que são sentidos além das sanções, afetando também a reputação das organizações, dificultando a internacionalização. Desse modo, aquele agente que porventura não esteja em conformidade com os tratamentos de dados, pode vir a ser penalizado pelo próprio mercado na cadeia de tratamento de dados.

1. De acordo com o art. 35 da LGPD, as cláusulas-padrão contratuais são o único caso dentre os mecanismos de transferência internacional para o qual a ANPD deve fornecer um modelo ou conteúdo. Nesse sentido, caso já haja contratos prévios assinados entre exportadores e importadores, pode ser necessário prever um período de transição ou forma de recepção de cláusulas já negociadas e vigentes, de forma a reduzir o impacto de renegociações contratuais na atividade econômica.

4.3.3.65. Importante mencionar ainda o quadro constante do Anexo (0051806), o qual apresenta comentários acerca de cada uma das cláusulas, demonstrando as razões pela qual a ANPD entendeu pelo formato e conteúdo adotado. Conteúdo do Regulamento (Anexo II – Cláusulas-padrão contratuais) · Cláusula 16 – alteração do item 16.1 e exclusão do item 16.2

4.3.3.66. Trata-se de cláusula que dispõe sobre a necessidade da comunicação de incidente de segurança que possa acarretar risco ou dano relevante aos titulares. Considerando que foi publicada a Resolução CD/ANPD nº 15, de 24 de abril de 2024, que aprovou o Regulamento de Incidente de Segurança – RCIS, proponho a alteração no texto da cláusula, a fim de adequá-la ao texto do Regulamento. Redação da Minuta da Resolução Proposta do Relator

Página 31

Texto original Texto incluído/alterado/suprimido

16.1. Em caso de incidente de segurança que possa acarretar risco ou dano relevante para os Titulares, a Parte Designada deverá comunicá-la à ANPD e aos Titulares, conforme previsto no Regulamento de Comunicação de Incidente de Segurança - RCIS -, aprovado pela Resolução CD/ANPD nº 15, de 24 de abril de 2024.

16.2. A comunicação à ANPD e aos Titulares será realizada no prazo e nos moldes definidos pelo Regulamento de Comunicação de Incidente de Segurança, no que couber.

16.1. A Parte Designada deverá comunicar à ANPD e aos Titulares, no prazo de 3 (três) dias úteis, a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante para os Titulares, observado o disposto na Legislação Nacional.

16.2. A comunicação à ANPD e aos Titulares será realizada no prazo e nos moldes definidos pelo Regulamento de Comunicação de Incidente de Segurança, no que couber.

4.3.4. Atendimento geral ao objetivo proposto

4.3.4.1. O Termo de Abertura de Projeto ( 0051725) informou como objeto do projeto “Regulamentar a transferência internacional de dados, nos termos do disposto nos arts. 33, 34, 35 e 36 da Lei nº 13.709, de 14 de agosto de 2018.”

4.3.4.2. O Relatório de Análise de Impacto Regulatório (0051803), por sua vez, descreveu como objetivos específicos a serem alcançados com a intervenção regulatória: “1) identificar requisitos, condições e garantias mínimas necessárias para uma transferência internacional de dados; 2) definir o conteúdo das cláusulas-padrão contratuais, e 3) definir fluxograma do processo de verificação de cláusulas contratuais específicas e de normas corporativas globais, com definição de forma, prazos e requisitos.”

4.3.4.3. Conforme depreende-se da minuta, a proposta de Regulamento de Transferência Internacional de Dados estabeleceu um conjunto de normas e diretrizes que asseguram a proteção dos dados pessoais quando for realizada uma transferência internacional de dados.

Página 32

4.3.4.4. O regulamento apresenta disposições que permitem que as transferências internacionais sejam realizadas de maneira segura e em conformidade com os direitos dos titulares dos dados, promovendo a integridade, a privacidade e a proteção das informações pessoais em um contexto globalizado.

4.3.4.5. No mais, verifica-se que foram regulamentados aspectos essenciais à eficácia da norma constante do art. 33 da LGPD, tais como: 1) o conceito de transferência internacional de dados; 2) o conceito de coleta internacional de dados; 3) conceito das figuras do exportador e do importador; 4) critérios para emissão de decisão de adequação; 5) requisitos para aprovação de cláusulas equivalentes, específicas e normas corporativas globais; 3) procedimentos de aprovação de cláusulas e 4) conteúdo das cláusulas-padrão contratuais.

4.3.4.6. Ne ste sentido, a partir da análise da estrutura e o conteúdo da minuta, os quais foram amplamente debatidos junto à sociedade e construídos de maneira devidamente fundamentada, verifico que o Regulamento atende aos objetivos propostos.

1. VOTO

5.1. Ante o exposto, voto pela aprovação da Minuta da Resolução que aprova o Regulamento de Transferência Internacional de Dados e o conteúdo das cláusulas-padrão contratuais, nos termos do presente voto.

5.2. Por fim, considerando a relevância da matéria e a premente necessidade de regulamentação do tema, proponho a votação por meio de circuito deliberativo, nos termos do art. 40, parágrafo primeiro, do Regimento Interno da ANPD.

5.3. À Secretaria-Geral para providências pertinentes.

5.4. É como voto.

JOACIL BASILIO RAEL Diretor Relator

Página 33

Documento assinado eletronicamente por Joacil Basílio Rael, Diretor(a), em 15/08/2024, às 11:37, conforme horário oficial de Brasília, com fundamento no art. 6º, § 1º, do Decreto nº 8.539, de 8 de outubro de 2015. A autenticidade deste documento pode ser conferida no site https://anpd- super.mj.gov.br/sei/controlador_externo.php? acao=documento_conferir&id_orgao_acesso_externo=0, informando o código verificador 0137807 e o código CRC FEDB9322. SCN Quadra 06, Conjunto A, Ed. Venâncio 3000, Bloco A, 9º andar, - Bairro Asa Norte, Brasília/DF, CEP 70716-900 Telefone: (61) 2025-8156 - https://www.gov.br/anpd/pt-br Referência: Caso responda a este documento, indicar expressamente o Processo nº 00261.000968/2021-06 SEI nº 0137807

Página 34

Autoridade Nacional de Proteção de Dados Conselho Diretor Diretora Miriam Wimmer Brasília-DF, na data da assinatura. VOTO Nº 8/2024/DIR-MW/CD/ANPD

PROCESSO Nº 00261.000968/2021-06 INTERESSADO: Autoridade Nacional de Proteção de Dados

VOTO EM CIRCUITO DELIBERATIVO Nº 17/2024 DIRETORA MIRIAM WIMMER

Voto no Circuito Deliberativo nº 17/2024

X Acompanho o Relator - Voto nº 21/2024/DIR-JR/CD (SEI n º

0137807)

Não acompanho o Relator, nos termos do Voto indicado a seguir:

MIRIAM WIMMER Diretora Documento assinado eletronicamente por Miriam Wimmer, Diretor(a), em 16/08/2024, às 15:28, conforme horário oficial de Brasília, com fundamento no art. 6º, § 1º, do Decreto nº 8.539, de 8 de outubro de 2015.

Página 35

A autenticidade deste documento pode ser conferida no site https://anpd- super.mj.gov.br/sei/controlador_externo.php? acao=documento_conferir&id_orgao_acesso_externo=0, informando o código verificador 0139879 e o código CRC 575AFBA1. SCN Quadra 06, Conjunto A, Ed. Venâncio 3000, Bloco A, 9º andar, - Bairro Asa Norte, Brasília/DF, CEP 70716-900 Telefone: (61) 2025-8166 - https://www.gov.br/anpd/pt-br Referência: Caso responda a este documento, indicar expressamente o Processo nº 00261.000968/2021-06 SEI nº 0139879

Página 36

Autoridade Nacional de Proteção de Dados Conselho Diretor Diretor Arthur Sabbat Brasília-DF, na data da assinatura. VOTO Nº 14/2024/DIR-AS/CD/ANPD PROCESSO Nº 00261.000968/2021-06 INTERESSADO: ANPD

CIRCUITO DELIBERATIVO Nº 17/2024 (0139666)

Caso o prazo do Circuito Deliberativo seja inferior a 7 dias, nos termos do § 1º do art. 41 do Regimento Interno:

Concordo com a redução do prazo

Não concordo com a redução do prazo X Não aplicável à hipótese

Voto no Circuito Deliberativo: X Acompanho o Relator, conforme VOTO Nº 21/2024/DIR-JR/CD

(SEI Nº 0137807)

Não acompanho a Relatoria, nos seguintes termos:

ARTHUR PEREIRA SABBAT Diretor

Página 37

Documento assinado eletronicamente por Arthur Pereira Sabbat, Diretor(a), em 16/08/2024, às 15:35, conforme horário oficial de Brasília, com fundamento no art. 6º, § 1º, do Decreto nº 8.539, de 8 de outubro de 2015. A autenticidade deste documento pode ser conferida no site https://anpd- super.mj.gov.br/sei/controlador_externo.php? acao=documento_conferir&id_orgao_acesso_externo=0, informando o código verificador 0139927 e o código CRC 5546C87C. SCN Quadra 06, Conjunto A, Ed. Venâncio 3000, Bloco A, 9º andar, - Bairro Asa Norte, Brasília/DF, CEP 70716-900 Telefone: (61) 2025-8161 - https://www.gov.br/anpd/pt-br Referência: Caso responda a este documento, indicar expressamente o Processo nº 00261.000968/2021-06 SEI nº 0139927

Página 38

Autoridade Nacional de Proteção de Dados Gabinete do Diretor-Presidente Brasília-DF, na data da assinatura. VOTO Nº 12/2024/GABPR/ANPD PROCESSO Nº 00261.000968/2021-06 INTERESSADO: ANPD

CIRCUITO DELIBERATIVO Nº 17/2024 (0139666) DIRETOR-PRESIDENTE WALDEMAR GONÇALVES ORTUNHO JUNIOR

Voto no Circuito Deliberativo: X Acompanho o Relator, conforme VOTO Nº 21/2024/DIR-JR/CD

(SEI Nº 0137807)

Não acompanho a Relatoria, nos seguintes termos:

WALDEMAR GONÇALVES ORTUNHO JUNIOR Diretor-Presidente

Documento assinado eletronicamente por Waldemar Gonçalves Ortunho Junior, Diretor(a) Presidente, em 19/08/2024, às 16:13, conforme horário oficial de Brasília, com fundamento no art. 6º, § 1º, do Decreto nº 8.539, de 8 de outubro de 2015.

Página 39

A autenticidade deste documento pode ser conferida no site https://anpd- super.mj.gov.br/sei/controlador_externo.php? acao=documento_conferir&id_orgao_acesso_externo=0, informando o código verificador 0140074 e o código CRC EED56DF9. SCN Quadra 06, Conjunto A, Ed. Venâncio 3000, Bloco A, 9º andar, - Bairro Asa Norte, Brasília/DF, CEP 70716-900 Telefone: (61) 2025-8171 - https://www.gov.br/anpd/pt-br Referência: Caso responda a este documento, indicar expressamente o Processo nº 00261.000968/2021-06 SEI nº 0140074