CD nº 1/2026 — adequação da União Europeia

Página 1

Agência Nacional de Proteção de Dados Conselho Diretor Diretor Iagê Miola

VOTO Nº 1/2026/DIR-IM/CD

PROCESSO Nº 00261.005809/2024-32 INTERESSADO: União Europeia

VOTO Diretor Iagê Zendron Miola

1. ASSUNTO

1.1. Decisão de adequação entre Brasil e União Europeia.

1.2. EMENTA

1.3. TRANSFERÊNCIA INTERNACIONAL DE DADOS. RECONHECIMENTO DE NÍVEL DE PROTEÇÃO ADEQUADO. UNIÃO EUROPEIA. EXCLUSÃO DAS ATIVIDADES DE SEGURANÇA PÚBLICA, DEFESA NACIONAL, SEGURANÇA DO ESTADO E INVESTIGAÇÃO CRIMINAL. APROVAÇÃO DA MINUTA DE RESOLUÇÃO QUE RECONHECE A UNIÃO EUROPEIA COMO ORGANISMO INTERNACIONAL COM NÍVEL ADEQUADO DE PROTEÇÃO

1. RELATÓRIO

2.1. Em 02 de outubro de 2024, foi lavrado o Termo de Abertura de Projeto – TAP (SEI nº 0144026), com o objetivo de realizar análise para eventual emissão de decisão de adequação em relação à União Europeia (UE).

2.2. Em 10 de outubro de 2024, foi elaborada a Nota Técnica 226 (SEI nº 0148232), que tratou dos procedimentos preparatórios para a instauração da análise de decisão de adequação pela ANPD.

2.3. Em 15 de outubro de 2024, o Despacho Decisório CD/ANPD nº122/2024 (SEI nº 0150140) aprovou a instauração do procedimento de análise

Página 2

para decisão de adequação junto à UE.

2.4. Na sequência, foram encaminhados ofícios para cientificar o Ministério das Relações Exteriores (SEI nº 0156102), a Casa Civil (SEI nº 0156109), o Ministério da Justiça e Segurança Pública (SEI nº 0156110) e o Ministério do Desenvolvimento, Indústria, Comércio e Serviços (SEI nº 0156113), a respeito da instauração do presente processo.

2.5. Em 05 de setembro de 2025, a Comissão Europeia divulgou a versão preliminar da futura decisão de adequação relativa ao Brasil[1] , o que motivou o envio de novos ofícios aos Ministérios para cientificação (SEI nº 0210657, 0210658, 0210659 e 0210660)

2.6. Em 31 de outubro de 2025, foi emitida a Nota Técnica nº12/2025/TID/CGRII/ANPD (SEI nº 0219210), por meio da qual a Coordenação- Geral de Relações Institucionais e Internacionais (CGRII) realizou manifestação sobre o mérito da decisão de reconhecimento da equivalência do nível de proteção de dados pessoais da UE em relação à legislação brasileira, com fundamento nos arts. 33 e 34 da Lei nº 13.709/2018 (LGPD) e nos arts. 10 a 13 da Resolução CD/ANPD nº 19/2024. Em sua conclusão, a CGRII recomendou o reconhecimento da adequação do bloco europeu, na forma da minuta de Resolução anexa à Nota Técnica (SEI nº 0219937), que dispõe sobre o reconhecimento da União Europeia como organismo internacional com grau de proteção de dados pessoais adequado ao previsto na Lei nº 13.709/2018, para fins de transferência internacional de dados.

2.7. Em seguida, o Despacho (SEI nº 0221609) elaborado pela CGRII determinou o envio do processo à Procuradoria Federal Especializada da ANPD para análise jurídica quanto ao cumprimento dos requisitos previstos na Resolução CD/ANPD nº 19/2024.

2.8. No Parecer Nº 00063-2025-GAB-PFE-ANPD-PGF-AGU (SEI nº 0226175), a Procuradoria manifestou-se pela viabilidade jurídico-formal da minuta (SEI nº 0219937), condicionada ao atendimento prévio das recomendações constantes dos itens 71, 109 e 110 do referido parecer.

2.9. Em 13 de novembro de 2025, a CGRII, por meio do Despacho TID/CGRII (SEI nº 0226220) registrou os ajustes decorrentes do parecer, os quais foram incorporados à nova minuta da Resolução (SEI nº 0226264), bem como determinou os encaminhamentos necessários à deliberação final pelo Conselho Diretor, nos termos do § 2º do art. 13 do Regulamento de Transferência Internacional de Dados, atendendo à recomendação constante do item 71 do parecer.

2.10. Na mesma data, o processo foi distribuído a este Gabinete, conforme Certidão de Distribuição (SEI nº 0226330).

Página 3

2.11. É o relatório.

1. ANÁLISE

3.1. ASPECTOS FORMAIS

3.2. Verifico que o processo observou os requisitos formais estabelecidos nos arts. 11 a 14 da Resolução CD/ANPD nº 19/2024, que aprova o Regulamento de Transferência Internacional de Dados e o conteúdo das cláusulas-padrão contratuais e disciplina a emissão de decisões de adequação pela Agência Nacional de Proteção de Dados.

3.3. Nos termos do art. 13, I, o procedimento foi regularmente instaurado por decisão do Conselho Diretor, conforme o Despacho Decisório CD/ANPD nº 122/2024 (SEI nº 0150140), de 15 de outubro de 2024. A instrução processual foi conduzida pela área técnica competente, em conformidade com o art. 13, II, por meio da elaboração da Nota Técnica nº 226 (SEI nº 0148232), da Nota Técnica nº 12/2025/TID/CGRII/ANPD e da minuta de Resolução (SEI nº 0219937), com a devida análise de mérito.

3.4. Também foi cumprida a etapa prevista no art. 13, III, uma vez que a Procuradoria Federal Especializada, por meio do Parecer nº 00063-2025- GAB-PFE-ANPD-PGF-AGU (SEI nº 0226175), manifestou-se quanto à viabilidade jurídico-formal do ato normativo, condicionando ao atendimento das recomendações constantes do parecer, o que foi devidamente contemplado na Minuta de Resolução Corrigida (SEI nº 0226264).

3.5. Os órgãos públicos com competências relacionadas foram cientificados da instauração e dos avanços, em conformidade com o § 1º do art. 13, por meio dos OMcios 494 a 497 (SEI nº 0156102, 0156109, 0156110 e 0156113), bem como por comunicações subsequentes em razão da divulgação da versão preliminar da futura decisão de adequação pela Comissão Europeia (SEI nº 0210657, 0210658, 0210659, 0210660).

3.6. Do ponto de vista material, a Nota Técnica nº 12/2025 examinou os critérios previstos no art. 34 da LGPD, replicados nos arts. 11 e 12 da Resolução CD/ANPD nº 19/2024, incluindo: (i) as normas gerais e setoriais em vigor com impactos sobre a proteção de dados pessoais na União Europeia (art. 11, I e §1º); (ii) a natureza dos dados pessoais envolvidos na transferência (art. 11, II); (iii) a observância, pelo regime europeu, dos princípios gerais de proteção de dados pessoais e dos direitos dos titulares previstos na LGPD (art. 11, III); (iv) a existência de medidas de segurança adequadas para minimizar impactos às liberdades civis e aos direitos fundamentais, considerando a natureza dos dados e os riscos do tratamento (art. 11, IV e §2º);

Página 4

(v) a existência de garantias judiciais e institucionais, incluindo órgão regulador independente com competência para assegurar o cumprimento das normas de proteção de dados e garantir os direitos dos titulares (art. 11, V e §3º); (vi) as circunstâncias específicas relativas à transferência internacional de dados (art. 11, VI); (vii) os riscos e benefícios associados à eventual decisão de adequação, especialmente quanto à garantia dos princípios, dos direitos dos titulares e do regime de proteção de dados previsto na LGPD (art. 12, I); (viii) os impactos da decisão sobre o fluxo internacional de dados, as relações diplomáticas, o comércio internacional e a cooperação internacional entre Brasil e União Europeia, incluindo a análise sobre tratamento recíproco (art. 12, II e parágrafo único).

3.7. O processo foi encaminhado a este Gabinete após a conclusão da instrução e das adequações recomendadas pela PFE, atendendo ao procedimento previsto no Regulamento de Transferência Internacional de Dados.

3.8. Assim, entendo que estão atendidos todos os requisitos formais necessários para a deliberação pelo Conselho Diretor acerca da proposta de reconhecimento da União Europeia como organismo internacional com nível de proteção de dados pessoais adequado ao previsto na Lei nº 13.709/2018.

3.9. MÉRITO

3.10. Os fluxos de dados entre diferentes jurisdições – em particular, de dados pessoais – são cada vez mais centrais ao funcionamento da economia contemporânea. Os dados são pilares de importantes cadeias de valor globais e a sua circulação entre países está associada à inovação e à compeGGvidade em diversos setores econômicos. O Brasil, atento à importância do fluxo internacional de dados para o desenvolvimento econômico, estruturou na LGPD instrumentos que viabilizam e facilitam o fluxo seguro de dados pessoais por meio de garantias de um grau de proteção de dados pessoais adequado. A decisão de adequação é um desses instrumentos, cumprindo papel relevante para a consolidação de um ambiente regulatório que assegure proteção efetiva aos titulares na circulação internacional de dados pessoais.

3.11. Ao reconhecer que determinado país ou organismo internacional oferece nível de proteção adequado ao previsto na LGPD, cria-se uma base comum de garantias e salvaguardas, permitindo que os dados circulem e que sejam acompanhados pelos direitos dos titulares de dados garantidos pela legislação brasileira. A lógica instituída pela LGPD por meio

Página 5

do instrumento da decisão de adequação concretiza, assim, os fundamentos da disciplina da proteção de dados no Brasil. Ao mesmo tempo em que promove a proteção aos direitos humanos e fundamentais, ao livre desenvolvimento da personalidade, a dignidade e o exercício da cidadania pelas pessoas naturais, reconhece a centralidade dos dados pessoais para o desenvolvimento econômico e tecnológico e a inovação (Art. 2o da LGPD).

3.12. O equilíbrio entre a abertura à circulação de dados pessoais e a necessária proteção a um direito fundamental previsto constitucionalmente e concretizado pela LGPD é elemento central das discussões sobre fluxos internacionais. Estudo conjunto da Organização para a Cooperação e Desenvolvimento Econômico (OCDE) e da Organização Mundial do Comércio (OMC), intitulado Economic Implica ons of Data Regula on: Balancing Openness and Trust[2] , analisou os impactos econômicos decorrentes de diferentes modelos regulatórios de fluxo e de localização de dados. O relatório concluiu que regimes que combinam abertura à transferência internacional com salvaguardas consistentes de proteção tendem a gerar maiores ganhos econômicos, estimando-se efeitos positivos de 3,6% sobre exportações globais e de 1,77% sobre o PIB mundial, chegando a mais de 4% em países de renda baixa e média-baixa. [3]

3.13. A segurança desses fluxos, contudo, depende da existência de garantias e marcos regulatórios que assegurem previsibilidade aos agentes envolvidos e garantam proteção efetiva aos titulares de dados. Essa proteção não é apenas uma exigência técnica ou procedimental: trata de resguardar um direito fundamental, diretamente conectado às liberdades civis e à autodeterminação informativa. Nesse contexto, a decisão de adequação se torna relevante para assegurar a efetividade de direitos, ao mesmo tempo em que garante segurança para o estabelecimento de relações econômicas que geram valor a partir de dados pessoais de forma responsável e confiável.

3.14. A emissão da decisão de adequação com a União Europeia produzirá efeitos significativos tanto do ponto de vista do desenvolvimento econômico, quanto da proteção de direitos fundamentais. Por um lado, a decisão possibilitará o livre fluxo de dados entre o Brasil e o bloco, diminuindo a necessidade de instrumentos contratuais, podendo reduzir custos de transação e de conformidade e ampliando a segurança jurídica. Há evidências de que decisões semelhantes da UE com outros países têm o potencial de reduzir custos regulatórios e aumentaram o comércio digital bilateral. Em média, a concessão de adequação eleva o comércio digital com a UE em cerca de 7 a 9% em relação a setores não digitais. Além disso, o comércio digital com outros países que também receberam reconhecimento de adequação é intensificado, com aumentos próximos a 9% nos fluxos. [4]

Página 6

3.15. Ao mesmo tempo, a decisão reforçará salvaguardas de proteção adequada no tratamento de dados pessoais mesmo quando os dados são objeto de transferência internacional, assegurando a proteção dos titulares de dados em todo o ciclo do tratamento. Na prática, a decisão de adequação gerará benefícios concretos aos titulares de dados pessoais. Cotidianamente, dados pessoais de brasileiros e brasileiras são exportados do Brasil a países integrantes daquela jurisdição para que lá sejam tratados, seja em setores da economia digital (tais como plataformas digitais e redes sociais), passando pelo setor financeiro, pela indústria farmacêutica, automotiva, entre outras. Ao reconhecer que os fluxos com a União Europeia ocorrem sob salvaguardas compatíveis com a LGPD, reforça-se a efetividade dos direitos dos titulares, que passam a contar com maior segurança para exercer solicitações de acesso, correção, exclusão, oposição e revisão de decisões automatizadas, além de dispor de canais mais robustos de tutela e reparação diante de incidentes ou tratamentos indevidos.

3.16. I - Dos Critérios para Avaliação do Nível de Proteção de Dados Pessoais

3.17. Para avaliação material da adequação, o modelo adotado na LGPD e na regulamentação da ANPD para análise da decisão de adequação busca avaliar o ordenamento jurídico do país de destino. O foco da análise reside na adequação dos padrões de proteção, não na exigência de equivalência absoluta entre os sistemas. Esses critérios foram delimitados no art. 34 da Lei nº 13.709/2018 (LGPD), nos arts. 11 e 12 da Resolução CD/ANPD nº 19/2024. O atendimento aos critérios legais e regulatórios foi analisado pela CGRII na Nota Técnica nº 12/2025/TID/CGRII/ANPD (SEI nº 0219210) e a avaliação da sua conformidade jurídico-formal foi realizada pela Procuradoria Federal Especializada (SEI nº 0226175). No âmbito do presente voto cabe, portanto, avaliar, com base na instrução da análise já realizada, se os critérios previstos na LGPD e na resolução estão devidamente atendidos e, assim, se é possível encontrar equivalência substantiva entre os arcabouços jurídico- institucionais brasileiro e europeu.

3.18. A forte influência exercida pelo Regulamento Geral de Proteção de Dados Europeu (RGPD, General Data Protec on Regula on) na formulação da LGPD faz com que Brasil e União Europeia compartilhem uma lógica regulatória similar, baseada na abordagem de risco e na proteção de direitos fundamentais. Essa convergência estrutural favorece a aproximação entre os dois regimes jurídicos.

3.19. Nesse sentido, como parte do processo de avaliação de adequação do Brasil pela União Europeia, a Opinion 28/2025 do CEPD (Comitê Europeu de Proteção de Dados – CEPD) reconheceu que o arcabouço brasileiro apresenta elevado grau de convergência com o RGPD, tanto no

Página 7

plano normativo quanto no plano institucional, ressaltando que a LGPD incorpora princípios, direitos e bases legais compatíveis, além de salvaguardas específicas para dados sensíveis e para o tratamento de dados de crianças e adolescentes.

3.20. O CEPD também destacou a existência de uma estrutura institucional robusta e independente – notadamente a ANPD -, dotada de competências regulatórias, fiscalizatórias e sancionatórias alinhadas às exigências europeias, bem como a presença de garantias constitucionais relevantes relativas ao acesso e uso de dados pelo poder público, reconhecidas em precedentes julgados pelo Supremo Tribunal Federal. Para o CEPD, tomados em conjunto, esses elementos demonstram que o Brasil oferece nível de proteção compatível com o requerido pelo RGPD para fins de decisão de adequação.

3.21. Diante desse panorama de convergência regulatória e institucional entre os sistemas brasileiro e europeu, passo à avaliar se tais elementos podem ser identificados na instrução administrativa realizada pela CGRII.

3.22. Da avaliação da área técnica

3.23. A análise realizada pela CGRII conclui que a regulação jurídica da União Europeia apresenta “equivalência substantiva” e “nível equivalente de proteção”, conforme registrado na Nota Técnica nº12/2025/TID/CGRII/ANPD (SEI nº 0219210).

3.24. A partir do exame dos critérios previstos no art. 34 da LGPD e nos art. 11 e 12 do Regulamento de Transferência Internacional de Dados – RTID, a Coordenação-Geral aponta para convergência entre o sistema europeu e o ecossistema regulatório brasileiro de proteção de dados pessoais.

3.25. Para fins de verificação da aderência concreta aos requisitos normativos previstos na Resolução CD/ANPD nº 19, de 23 de agosto de 2024, procede-se a seguir à análise dos referidos artigos, conforme a sistemática estabelecida na Resolução.

3.26. II - Normas gerais e setoriais em vigor na União Europeia com impactos sobre a proteção de dados pessoais (art. 11, I)

3.27. No que se refere ao atendimento do critério previsto no art. 11, inciso I, da Resolução CD/ANPD nº 19, de 2024, verifico que a análise realizada pela CGRII (SEI nº 0219210) avaliou atos normativos relevantes para a proteção de dados, sendo os principais os Regulamentos Geral de Proteção de Dados Europeu (RGPD, General Data Protec on Regula on) , o Regulamento 2018/1725, de 23 de outubro de 2018 (EUDPR), bem como a Diretiva do Parlamento Europeu e do Conselho, 2016/680, de 27 de abril de 2016 (Law

Página 8

Enforcement Directive -LED), os quais compõem o quadro jurídico da proteção de dados da UE[5] . Além destes, também foram apontados como relevantes para a análise a Diretiva 2002/58/CE de 12 de julho de 2002 (ePrivacy), 2022/2555, de 14 de dezembro de 2022 e ainda, os Regulamentos 2024/1689, de 13 de junho de 2024 (AI Act) o 2022/2065 de 19 de outubro de 2022 (Digital Services Act) e o 2022/1925, de 14 de setembro de 2022 (Digital Markets Act), ainda que não tratem diretamente sobre a temática de proteção de dados pessoais.

3.28. Como destacado, o RGPD exclui do seu âmbito de incidência o tratamento de dados pessoais realizado por autoridades competentes para fins de prevenção, investigação, detecção ou repressão de infrações penais ou execução de sanções penais, dispondo de normativa própria para essas atividades. Embora a LGPD também não se aplique integralmente a tratamentos de dados com essas finalidades, que demandam legislação específica, a lei determina que devem ser observados os princípios gerais de proteção e os direitos do titular previstos em seu texto. Ainda que existam propostas legislativas em discussão - como o Anteprojeto de Lei de Proteção de Dados para Segurança Pública e Persecução Penal e o Projeto de Lei nº1515/2022 - não há, até o momento, diploma brasileiro equivalente à Diretiva (UE) 2016/680.

3.29. A CGRII identificou que o marco normativo europeu atende ao critério de normas gerais e setoriais previsto no art. 11, inciso I, da Resolução CD/ANPD nº 19/2024, apresentando regulamentação do tema, coerência interna, cobertura abrangente e integração entre instrumentos, sem lacunas ou incongruências que comprometam a proteção efetiva. Concluiu, ainda, que o sistema europeu demonstra maturidade institucional e grau de proteção equivalente ao da LGPD, revelando compatibilidade material suficiente para fins de decisão de adequação.

3.30. Na avaliação preliminar (SEI nº 0219210), a CGRII não apontou lacunas normativas relevantes, nem inconsistências sistêmicas no arcabouço europeu de proteção de dados. Assim, entendo estar atendido o critério previsto no art. 34, I, da LGPD, reproduzido no art. 11, inciso I, da Resolução CD/ANPD nº 19/2024, uma vez que não foram identificados elementos que alterem o cenário anteriormente mapeado pela Coordenação-Geral.

3.31. III. Natureza dos dados (art. 11, II)

3.32. Quanto ao critério previsto no art. 11, inciso II, da Resolução CD/ANPD nº 19/2024, verifico que o RGPD adota conceito amplo e tecnologicamente neutro de dado pessoal, alinhado à definição do art. 5º da LGPD, abrangendo identificadores diretos e indiretos. Identifico, ainda, que o regime europeu estabelece categorias especiais de dados, correspondentes

Página 9

aos dados sensíveis previstos na LGPD, sujeitas a regime jurídico mais restritivo, cuja regra geral é a proibição de tratamento, ressalvadas as exceções previstas no art. 9º, parágrafo 2º, do RGPD.

3.33. A análise técnica registrou também que operações envolvendo essas categorias, sobretudo em larga escala, demandam a elaboração de Relatório de Impacto à Proteção de Dados, nos termos do art. 35 do RGPD. A Coordenação-Geral igualmente observou proteção reforçada ao tratamento de dados de crianças e adolescentes, incluindo exigências de consentimento adequado, linguagem acessível e consideração do melhor interesse da criança, elementos convergentes com o regime da LGPD.

3.34. Diante do exposto, verifico que a análise atende ao critério relativo à natureza dos dados previsto no art. 11, inciso II, da Resolução CD/ANPD nº 19/2024, conforme avaliação da área técnica, apresentando nível de proteção compatível com o estabelecido pela LGPD.

3.35. IV. Princípios gerais e direitos dos titulares (art. 11, III)

3.36. Quanto ao critério previsto no art. 11, inciso III, da Resolução CD/ANPD nº 19/2024, verifico que há convergência substantiva entre os princípios do art. 5º do RGPD e aqueles previstos no art. 6º da LGPD, notadamente finalidade, minimização, necessidade, transparência, qualidade, segurança e responsabilização. A análise da CGRII apontou que os direitos assegurados aos titulares pelo RGPD (arts. 12 a 22), como acesso, retificação, eliminação, portabilidade, oposição e proteção contra decisões automatizadas, apresentam amplitude e efetividade equivalentes aos direitos previstos no art. 18 da LGPD.

3.37. A CGRII identificou também que o RGPD exige prazos definidos para resposta, obrigações robustas de informação e mecanismos claros de exercício dos direitos. Eventuais restrições aos direitos dos titulares são admitidas pelo RGPD somente em hipóteses estritas, mediante previsão legal específica e com observância dos princípios de necessidade, proporcionalidade e proteção da essência dos direitos fundamentais, nos termos do art. 23.

3.38. Diante do exposto, verifico que a análise satisfaz o critério relativo aos princípios gerais e direitos dos titulares previsto no art. 11, inciso III, da Resolução CD/ANPD nº 19/2024, conforme avaliação da área, demonstrando equivalência substantiva com o regime da LGPD.

3.39. V. Medidas de segurança adequadas para minimizar impactos às liberdades civis e aos direitos fundamentais, considerando a natureza dos dados e os riscos do tratamento (art. 11, IV e §2º)

3.40. Quanto ao critério previsto no art. 11, inciso IV, da Resolução

Página 10

CD/ANPD nº 19/2024, verifico que a CGRII examinou o regime europeu aplicável às medidas de segurança no tratamento de dados pessoais, com ênfase nas obrigações previstas nos arts. 32 a 36 do RGPD e nas orientações complementares do Comitê Europeu para a Proteção de Dados (CEPD).

3.41. O RGPD impõe aos controladores e operadores o dever de implementar medidas técnicas e organizacionais adequadas ao risco, considerando estado da arte, custos de implementação, natureza, escopo e finalidades do tratamento, bem como riscos aos direitos e liberdades dos titulares. Entre as medidas previstas constam pseudonimização, criptografia, mecanismos para assegurar confidencialidade, integridade, disponibilidade e resiliência dos sistemas, além de capacidade de restauração tempestiva do acesso aos dados em caso de incidente. Tais medidas devem ser proporcionais aos riscos identificados, em conformidade com abordagem baseada em risco e com o princípio de responsabilidade.

3.42. O RGPD também estabelece sistema estruturado de notificação de incidentes. O art. 33 da norma europeia prevê comunicação à autoridade supervisora em até 72 horas, salvo quando a violação não representar risco aos titulares. O art. 34 exige comunicação direta aos titulares quando houver alto risco. Esse modelo diferencia notificações obrigatórias às autoridades e comunicações aos titulares, conforme impacto potencial aos direitos e liberdades.

3.43. O sistema europeu adota abordagem baseada em risco que relaciona medidas exigidas ao nível de risco das operações de tratamento, incluindo obrigações adicionais para tratamentos de alto risco. No ordenamento brasileiro, a LGPD prevê obrigações correlatas. O art. 46 da Lei brasileira exige adoção de medidas técnicas e administrativas aptas a proteger os dados, observadas desde a concepção de produtos e serviços. O art. 48 prevê comunicação de incidentes à ANPD e aos titulares, regulamentada pela Resolução CD/ANPD nº 15/2024, que detalha critérios, prazos e procedimentos, inclusive flexibilizações para agentes de pequeno porte.

3.44. A CGRII concluiu estar atendido o critério relativo às medidas de segurança previsto no art. 11, inciso IV, da Resolução CD/ANPD nº 19/2024, identificando correspondência entre os regimes no que se refere à adoção de medidas proporcionais aos riscos, à notificação estruturada de incidentes e à exigência de avaliações prévias quando necessário.

3.45. Entendo, assim, que o critério estabelecido no art. 11, inciso IV, encontra-se atendido, não havendo elementos que indiquem divergência material em relação ao cenário analisado pela CGRII.

3.46. VI. Garantias judiciais e institucionais, incluindo órgão regulador independente com competência para assegurar o cumprimento das normas de

Página 11

proteção de dados e garantir os direitos dos titulares (art. 11, V e §3º)

3.47. Quanto ao critério previsto no art. 11, inciso V, da Resolução CD/ANPD nº 19/2024, verifico que o sistema europeu de proteção de dados se apoia em autoridades nacionais de supervisão independentes, criadas conforme o art. 51 do RGPD. A independência encontra respaldo no art. 52 do RGPD, na Carta de Direitos Fundamentais da União Europeia e no Tratado sobre o Funcionamento da UE, garantindo autonomia na atuação, mandatos estáveis, autonomia orçamentária e gestão própria de pessoal. O Comitê Europeu para a Proteção de Dados (CEPD), previsto no art. 68, coordena a atuação das autoridades nacionais e assegura aplicação consistente do RGPD.

3.48. As autoridades europeias exercem poderes previstos nos arts. 57 e 58 do RGPD, incluindo investigações, ordens de conformidade e aplicação de multas. Indicadores e estatísticas públicos apontam diversas investigações e sanções significativas desde a entrada em vigor do RGPD. O mecanismo one- stop-shop oferece coerência aos casos transfronteiriços, com decisões vinculantes quando não houver consenso entre as autoridades envolvidas.

3.49. Em relação aos mecanismos de reparação, os arts. 77 a 79 do RGPD asseguram vias administrativas e judiciais para tutela dos direitos dos titulares. A Diretiva 2020/1828 permite ações coletivas por entidades qualificadas. A jurisprudência do Tribunal de Justiça da União Europeia (TJUE) e da Corte Europeia de Direitos Humanos (CEDH) complementa esse sistema ao interpretar e aplicar o direito fundamental à proteção de dados.

3.50. Quanto à supervisão judicial das atividades de tratamento, embora o RGPD não se aplique às atividades de segurança nacional, estas permanecem sujeitas à Convenção Europeia de Direitos Humanos, à jurisprudência da CEDH e do TJUE e às constituições nacionais. Para atividades de aplicação da lei, a Diretiva 2016/680 estabelece garantias específicas, incluindo licitude, minimização, supervisão independente e acesso judicial. As Garantias Essenciais Europeias para Medidas de Vigilância e a Declaração OCDE sobre Acesso Governamental a Dados Pessoais estabelecem requisitos de legalidade, necessidade, proporcionalidade e reparação efetiva.

3.51. A Comissão Europeia dispõe de instrumento próprio para assegurar conformidade dos Estados membros com o RGPD, inclusive quanto à independência das autoridades de proteção de dados.

3.52. Verifico, assim, convergência do modelo europeu com o sistema protetivo brasileiro, consideradas as diferenças institucionais entre ambas as jurisdições. A ANPD, inicialmente criada como órgão da administração federal, foi transformada em autarquia de natureza especial pela Lei nº 14.460/2022 e, posteriormente, em agência reguladora pela Medida Provisória nº 1.317/2025. A LGPD atribui à ANPD competências normativas, fiscalizatórias e

Página 12

sancionatórias (arts. 55-J e 55-K), incluindo auditorias, aplicação de sanções, elaboração de diretrizes interpretativas, articulação institucional e mecanismos de reclamação simplificados.

3.53. O ordenamento brasileiro também assegura tutela administrativa e judicial aos titulares, conforme arts. 18 e 55-J, IV, da LGPD, reforçando compatibilidade com o padrão europeu.

3.54. Diante do exposto, verifico que a análise atende ao critério relativo às garantias judiciais e institucionais previsto no art. 11, inciso V, da Resolução CD/ANPD nº 19/2024, conforme avaliação da área técnica. Ademais, identifico que o disposto no § 3º do referido artigo é devidamente atendido no regime europeu, que conta com autoridades reguladoras independentes, dotadas de competência para assegurar o cumprimento das normas de proteção de dados e garantir os direitos dos titulares.

3.55. VII. Circunstâncias específicas relativas à transferência internacional de dados (art. 11, VI)

3.56. Quanto ao critério previsto no art. 11, inciso VI, da Resolução CD/ANPD nº 19/2024, verifico que o RGPD estabelece regime específico para transferências internacionais de dados pessoais, aplicável a qualquer transferência da União Europeia para países terceiros ou organizações internacionais, inclusive para transferências subsequentes de dados , conforme art. 44. O RGPD admite três mecanismos: decisões de adequação (art. 45), salvaguardas apropriadas (art. 46) e derrogações para situações específicas (art. 49).

3.57. As decisões de adequação permitem transferência sem exigência de salvaguardas adicionais, desde que a Comissão Europeia reconheça que o país terceiro oferece nível de proteção essencialmente equivalente. Na ausência de decisão de adequação, podem ser utilizadas salvaguardas apropriadas, como instrumentos juridicamente vinculantes entre autoridades públicas, cláusulas contratuais padrão, normas corporativas globais, códigos de conduta e certificações. As derrogações previstas no art. 49 operam apenas de forma excepcional e não podem ser utilizadas para transferências sistemáticas ou permanentes. O modelo europeu organiza esses mecanismos de forma sequencial, por meio de linguagem condicional (“na ausência de”), criando estrutura hierárquica que prioriza decisões de adequação.

3.58. Até o momento, a União Europeia adotou dezesseis decisões de adequação sob o RGPD, além da decisão referente à Organização Europeia de Patentes[6] . As decisões são objeto de revisão periódica pela Comissão Europeia, que pode mantê-las, modificá-las, suspendê-las ou revogá-las. O processo de adoção de uma decisão de adequação envolve como etapas: proposta da Comissão Europeia, parecer do CEPD, aprovação pelos Estados

Página 13

membros e decisão final por parte da Comissão.

3.59. No que se refere às transferências subsequentes, qualquer transferência posterior deve obedecer aos mecanismos previstos nos arts. 45 a 50 do RGPD. Isso significa que quando cobertas por decisão de adequação, as proteções aplicáveis também se estendem aos dados originários do Brasil. Isso significa que operadores brasileiros podem se beneficiar de fluxos de dados com os países do Espaço Econômico Europeu e com outras jurisdições que reconhecem as decisões de adequação da UE.

3.60. Neste sentido, decisão de adequação mútua entre Brasil e União Europeia trará benefícios para indivíduos, empresas e instituições públicas, reduzindo custos de conformidade, ampliando a segurança jurídica e simplificando operações. Como evidência desse potencial, a CGRII registra em sua análise dados sobre a relevância econômica das relações entre Brasil e UE e estudos que indicam impactos positivos sobre o comércio digital decorrentes de decisões de adequação anteriores.

3.61. Em relação ao sistema brasileiro, verifico que a LGPD prevê mecanismos de transferência internacional no art. 33, incluindo decisões de adequação da ANPD e salvaguardas contratuais. Diferentemente do RGPD, a LGPD não estabelece ordem de prevalência entre os mecanismos, permitindo sua escolha conforme as especificidades do caso concreto, conforme Voto nº 2/2025/DIR-AS/CD (SEI nº 0165158) e Despacho Decisório PR/ANPD 4 (SEI nº 0168477). Apesar das diferenças, em linha com a conclusão da CGRII, nota- se equivalência substancial entre os regimes.

3.62. Diante dos elementos acima, entendo que a análise atendeu ao critério previsto no art. 11, inciso VI, da Resolução CD/ANPD nº 19/2024, não havendo incompatibilidades que obstem o reconhecimento de nível adequado de proteção para fins de decisão de adequação.

3.63. VIII. Riscos e benefícios associados à decisão de adequação (art.12, I e II)

3.64. Riscos identificados (art. 12, I)

3.65. A análise da CGRII registrou riscos decorrentes da complexidade institucional do sistema europeu de proteção de dados, estruturado em autoridades nacionais coordenadas pelo CEPD. Essa multiplicidade pode gerar dificuldades operacionais na uniformidade da aplicação do RGPD. O mecanismo one-stop-shop, previsto nos arts. 60 a 66 do RGPD, mitiga esses riscos ao atribuir autoridade principal para casos transfronteiriços, embora sua eficácia dependa da cooperação entre autoridades com procedimentos distintos.

3.66. A Comissão Europeia apresentou, em julho de 2023, proposta

Página 14

de regulamento voltado à harmonização de procedimentos administrativos em casos transfronteiriços, com regras específicas sobre prazos, tramitação de reclamações e cooperação entre autoridades, buscando reforçar a operacionalidade do mecanismo de balcão único.

3.67. Benefícios identificados (art. 12, II e parágrafo único)

3.68. Em relação aos benefícios associados à decisão de adequação, como pontuado pela CGRII (SEI nº 0219210), a eliminação da necessidade de implementar requisitos adicionais para a transferência de dados pode reduzir de forma significativa os custos de conformidade e simplificar as operações de empresas e demais entidades que realizam fluxos internacionais de dados entre as duas jurisdições.

3.69. Nesse contexto, como também destacado pela UE, a medida “abre caminho para a criação da maior área global de fluxo confiável de dados”, com impacto em um mercado combinado de 670 milhões de pessoas[7] . A decisão permitirá a livre circulação de informações entre empresas, órgãos públicos e centros de pesquisa, aprofundando a cooperação bilateral baseada em confiança e direitos fundamentais.

3.70. A análise da CGRII apontou benefícios econômicos e regulatórios relacionados à eliminação de barreiras ao fluxo internacional de dados. A União Europeia é o segundo maior parceiro comercial do Brasil, representando 18,3% do comércio total, enquanto o Brasil representa 30,8% do comércio da UE com a América Latina. A adequação reduzirá custos de conformidade para empresas e facilitará intercâmbios de dados entre organizações brasileiras e europeias, equiparando transferências Brasil-UE às transferências intrabloco. Estudos citados na análise da CGRII indicam aumentos entre 6% e 14% no comércio digital em países que receberam decisões de adequação.

3.71. Decisão favorável ao reconhecimento de adequação do regime europeu tende a ampliar a segurança jurídica das operações de tratamento de dados pessoais entre Brasil e União Europeia, reduzir a dependência de instrumentos contratuais, ampliar a proteção aos titulares além das fronteiras e fortalecer o alinhamento regulatório entre as jurisdições.

3.72. A CGRII também registrou benefício adicional decorrente do reconhecimento indireto: controladores brasileiros se beneficiarão de fluxos livres de dados não apenas com os trinta países do Espaço Econômico Europeu, mas também com cerca de vinte outras jurisdições que aceitam decisões europeias de adequação como suficientes para suas legislações nacionais.

3.73. Além do setor privado, foram identificados benefícios para

Página 15

cooperação entre órgãos públicos, instituições de pesquisa e entidades acadêmicas, sobretudo em áreas que exigem tratamento transfronteiriço de dados, como ciência, saúde pública e tecnologia.

3.74. A adequação também facilitará o intercâmbio regulatório entre a ANPD e autoridades europeias, com compartilhamento de práticas e alinhamento institucional.

3.75. Foram registrados, ainda, potenciais efeitos positivos para compeGGvidade internacional de empresas brasileiras, atração de investimentos e fortalecimento das relações diplomáticas entre Brasil e União Europeia. Tais benefícios convergem com outros esforços de cooperação estratégica entre Brasil e UE em diversos âmbitos, com destaque para o Acordo de Parceria Mercosul – União Europeia, almejado pelo Brasil desde1999 e finalmente concluído em 2026.

3.76. Em síntese, os riscos identificados são predominantemente operacionais e mitigáveis mediante mecanismos de cooperação internacional, harmonização processual em curso na União Europeia e atuação coordenada entre autoridades. Em contrapartida, os benefícios identificados são substanciais e abrangem aspectos econômicos, regulatórios, institucionais e diplomáticos.

3.77. Diante do exposto, verifico que a análise atende ao critério previsto no art. 12, incisos I e II, da Resolução CD/ANPD nº 19/2024, conforme avaliação técnica. Os riscos não comprometem a equivalência da proteção, e os benefícios associados são significativos, incluindo impacto positivo sobre fluxos internacionais de dados, relações comerciais e cooperação institucional. Concluo que o sistema europeu satisfaz o disposto no art. 12, inclusive quanto à análise de tratamento recíproco e aos efeitos da adequação sobre a relação bilateral Brasil-União Europeia.

3.78. IX. Condicionantes e Monitoramento

3.79. Em relação ao escopo da decisão de adequação, importa registrar que as atividades de segurança pública, defesa nacional, segurança do Estado e investigação e repressão de infrações penais não estão abrangidas pela decisão, constituindo a única condicionante aplicável. Esta exclusão decorre diretamente do art. 4º, inciso III, da LGPD, que afasta tais atividades do regime geral da lei, e encontra correspondência no art. 2º, §2º, “a”, do RGPD, que igualmente exclui do seu âmbito atividades relacionadas à segurança nacional e matérias fora da competência da União Europeia.

3.80. Embora o RGPD não regule essas operações, os Estados do Espaço Econômico Europeu permanecem sujeitos a salvaguardas relevantes, como a Convenção Europeia de Direitos Humanos e a jurisprudência do

Página 16

Tribunal Europeu de Direitos Humanos, de modo que o afastamento decorre da existência de regime jurídico especializado, e não da ausência de proteção.

3.81. No caso brasileiro, o tratamento de dados para fins de segurança pública e defesa nacional é disciplinado de forma fragmentada, distribuída entre normas constitucionais, legislação processual penal e disposições setoriais, com aplicação dos princípios e direitos da LGPD. A inexistência de marco normativo abrangente impede, neste momento, comparação sistemática com o regime europeu e, portanto, justifica a sua exclusão do escopo da decisão de adequação. Essa delimitação evita também gerar expectativas incompatíveis quanto ao exercício de direitos em contextos de investigação criminal ou inteligência, preservando coerência entre a decisão de adequação e os limites definidos pela própria LGPD. Em suma, a exclusão da área de segurança pública constitui condicionante necessária e juridicamente fundamentada.

3.82. Além da condicionante acima, cumpre registrar que a decisão de adequação deverá ser objeto de monitoramento contínuo pela CGRII, nos termos do art. 14 da Resolução CD/ANPD nº 19/2024. Tal monitoramento é necessário para verificar eventual alteração das condições que fundamentam o presente reconhecimento, sobretudo diante da evolução normativa europeia.

3.83. Nesse ponto, merece destaque o chamado Pacote Digital da União Europeia (Digital Omnibus), anunciado em 19 de novembro de 2025. Trata-se de uma proposta da Comissão Europeia para promover alterações legislativas “em matéria de dados pessoais e não pessoais e cibersegurança e a determinados elementos do Regulamento Inteligência Artificial”[8] . Segundo a Comissão Europeia, as alterações têm por objetivo “impulsionar a compeGGvidade tecnológica e reduzir custos administrativos da UE, simplificando as regras, racionalizando os procedimentos, oferecendo soluções de balcão único e eliminando sobreposições e disposições desatualizadas” e teriam como impactos a criação de “oportunidades de inovação sem comprometer a proteção dos direitos dos cidadãos e das empresas europeias”. Integram a proposta alterações na RGPD que abarcam, entre outros temas, a definição de dados pessoais, o regime dos dados de categorias especiais, estabelecendo novas exceções ao seu tratamento, a utilização de dados pessoais para a inteligência artificial e a simplificação de determinadas obrigações para as empresas e organizações, por exemplo, em relação às avaliações de impacto sobre a proteção de dados e à notificação de violações de dados às autoridades competentes.

3.84. Como se trata, até o presente momento, de uma proposta da Comissão Europeia, são alterações que ainda não vigoram e que deverão ser

Página 17

apreciadas no curso do processo legislativo da União Europeia. Tais possíveis mudanças não foram, por isso, objeto da análise realizada peal CGRII. Tendo em vista a relevância das mudanças propostas, porém, avalio ser pertinente o monitoramento da eventual aprovação do Pacote Digital, para que seus eventuais impactos possam ser apreciados à luz da presente decisão de adequação. O monitoramento, a ser realizado pela CGRII, deve abarcar quaisquer outras alterações relevantes às condições analisadas no presente processo e que fundamentaram as suas conclusões.

1. CONCLUSÃO

4.1. Concluo, com base no exposto, que o sistema europeu apresenta nível de proteção compatível com as exigências da legislação brasileira. Considerando o contexto regulatório analisado, que demonstra a adequação ao nível de proteção de dados pessoais requerido pela LGPD, entendo como fundamentado e necessário o reconhecimento da adequação da União Europeia, nos termos da minuta de Resolução (SEI nº 0219937), com a definição de condições apropriadas e a implementação de mecanismos de monitoramento contínuo que garantam a preservação do nível de proteção que fundamenta a decisão.

4.2. Do ponto de vista jurídico, o parecer da PFE (SEI nº 0226175) confirmou que a presente avaliação observa os parâmetros previstos na legislação nacional, evidenciando equivalência substantiva entre os marcos normativos. Cumpre registrar, quanto ao escopo, a exclusão expressa das transferências internacionais de dados realizadas exclusivamente para fins de segurança pública, defesa nacional, segurança do Estado e atividades de investigação e repressão de infrações penais.

4.3. Estrutura e conteúdo da Resolução

4.4. No que diz respeito à estrutura da Resolução, não promovi alterações na minuta proposta pela CGRII, uma vez que está de acordo com o modelo adotado, usualmente, pela ANPD.

1. VOTO

5.1. Diante do exposto, considerando o atendimento aos requisitos formais previstos na Resolução CD/ANPD nº 19/2024, a análise constante da Nota Técnica nº 12/2025/TID/CGRII/ANPD e o parecer favorável da Procuradoria Federal Especializada, voto pela aprovação da minuta de Resolução que reconhece a União Europeia como organismo internacional com nível de proteção de dados pessoais adequado ao previsto na Lei nº13.709/2018, para fins de transferência internacional de dados pessoais, na forma da Minuta de Resolução Corrigida (SEI nº 0226264).

5.2. Para fins da decisão, ressalto que atividades de segurança

Página 18

pública, defesa nacional, segurança do Estado e investigação criminal não integram o escopo da decisão de adequação. Assim, o reconhecimento de adequação ora proposto não se aplica aos tratamentos de dados realizados exclusivamente para essas finalidades específicas.

5.3. Concluída a etapa de deliberação e após o encerramento do circuito decisório, deverá o processo ser encaminhado:

5.4. 1. à Secretaria-Geral da ANPD, para adoção das providências administrativas subsequentes; e

5.5. 2. à Coordenação-Geral de Relações Internacionais e Institucionais (CGRII), para acompanhamento das tratativas externas relativas à formalização divulgação da decisão e para a execução do seu monitoramento, quando passar a vigorar.

5.6. Ressalta-se que a publicação da Resolução e a divulgação oficial do reconhecimento de adequação deverão aguardar a data acordada para anúncio conjunto com a União Europeia, em 27 de janeiro de 2026, em razão da cerimônia planejada entre as partes e da necessidade de coordenação institucional para assinatura e comunicação simultâneas.

5.7. É como voto. __________ [1] EUROPEAN COMMISSION. Draft Adequacy Decision with Brazil. Disponível em: https://commission.europa.eu/document/f5aee532-70bf-41b1-a94a- 8e294a528f6a_en. [2] ORGANISATION FOR ECONOMIC CO-OPERATION AND DEVELOPMENT; WORLD TRADE ORGANIZATION. Economic Implications of Data Regulation: Balancing Openness and Trust. Paris: OECD Publishing, 2025. Disponível em: https://doi.org/10.1787/aa285504-en. [3] ORGANISATION FOR ECONOMIC CO-OPERATION AND DEVELOPMENT; WORLD TRADE ORGANIZATION. Economic Implications of Data Regulation: Balancing Openness and Trust. Paris: OECD Publishing, 2025. Disponível em: https://doi.org/10.1787/aa285504-en. [4] FERRACANE, Martina; HOEKMAN, Bernard; VAN DER MAREL, Erik; SANTI, Filippo. Digital trade, data protection and the EU adequacy club. Economica,

1. DOI: 10.1111/ecca.70016. Disponível em: https://eprints.lse.ac.uk/130102/1/ecca.70016.pdf. [5] European Comission. Legal framework of EU data protection. Disponível em: https://commission.europa.eu/law/law-topic/data-protection/legal- framework-eu-data-protection_en?prefLang=pt&etrans=pt.

Página 19

[6] EUROPEAN COMMISSION. Adequacy decisions. Disponível em: https://commission.europa.eu/law/law-topic/data-protection/international- dimension-data-protection/adequacy-decisions_en. [7] EUROPEAN COMMISSION. Draft Adequacy Decision with Brazil. Disponível em: https://commission.europa.eu/document/f5aee532-70bf-41b1-a94a- 8e294a528f6a_en. [8] UNIÃO EUROPEIA. Digital Package – FAQs. Estratégia Digital da União Europeia. Disponível em: https://digital-strategy.ec.europa.eu/pt/faqs/digital- package. Documento assinado eletronicamente por Iagê Zendron Miola, Diretor(a), em 19/01/2026, às 17:05, conforme horário oficial de Brasília, com fundamento no art. 6º, § 1º, do Decreto nº 8.539, de 8 de outubro de 2015. A autenticidade deste documento pode ser conferida no site https://anpd- super.mj.gov.br/sei/controlador_externo.php? acao=documento_conferir&id_orgao_acesso_externo=0, informando o código verificador 0236729 e o código CRC EE1872D8. SCN Quadra 06, Ed. Venâncio 3000, Bloco A, 9º andar - Bairro Asa Norte, Brasília/DF, CEP 70716-900 Telefone: (61) 2017-3338 / 3339 - https://www.gov.br/anpd/pt-br Referência: Caso responda a este documento, indicar expressamente o Processo nº 00261.005809/2024-32 SEI nº 0236729

Página 20

Agência Nacional de Proteção de Dados Conselho Diretor Diretora Miriam Wimmer

VOTO Nº 1/2026/DIR-MW/CD PROCESSO Nº 00261.005809/2024-32 INTERESSADOS: Agência Nacional de Proteção de Dados e União Europeia ASSUNTO: Decisão de adequação entre Brasil e União Europeia.

VOTO EM CIRCUITO DELIBERATIVO

VOTO X Acompanho o Relator (Voto nº 01/2026/DIR-IM/CD, SEI nº (0236729)

e me manifesto favoravelmente à redução do prazo mínimo de deliberação, nos termos do art. 41, § 1º, do Regimento Interno

Não acompanho o Relator

MIRIAM WIMMER Diretora

Documento assinado eletronicamente por Miriam Wimmer, Diretor(a), em 20/01/2026, às 14:29, conforme horário oficial de Brasília, com fundamento no art. 6º, § 1º, do Decreto nº 8.539, de 8 de outubro de 2015.

Página 21

A autenticidade deste documento pode ser conferida no site https://anpd- super.mj.gov.br/sei/controlador_externo.php? acao=documento_conferir&id_orgao_acesso_externo=0, informando o código verificador 0240175 e o código CRC 71D32F4E. SCN Quadra 06, Ed. Venâncio 3000, Bloco A, 9º andar - Bairro Asa Norte, Brasília/DF, CEP 70716-900 Telefone: (61) 2017-3338 / 3339 - https://www.gov.br/anpd/pt-br Referência: Caso responda a este documento, indicar expressamente o Processo nº 00261.005809/2024-32 SEI nº 0240175

Página 22

Agência Nacional de Proteção de Dados Gabinete do Diretor-Presidente

VOTO Nº 1/2026/GABPR PROCESSO Nº 00261.005809/2024-32 INTERESSADOS: Agência Nacional de Proteção de Dados e União Europeia ASSUNTO: Decisão de adequação entre Brasil e União Europeia.

VOTO EM CIRCUITO DELIBERATIVO

VOTO X Acompanho o Relator (Voto nº 01/2026/DIR-IM/CD, SEI nº (0236729)

e me manifesto favoravelmente à redução do prazo mínimo de deliberação, nos termos do art. 41, § 1º, do Regimento Interno

Não acompanho o Relator

WALDEMAR GONÇALVES ORTUNHO JÚNIOR Diretor-Presidente

Documento assinado eletronicamente por Waldemar Gonçalves Ortunho Junior, Diretor(a) Presidente, em 22/01/2026, às 06:34, conforme horário oficial de Brasília, com fundamento no art. 6º, § 1º, do Decreto nº 8.539, de 8 de outubro de 2015.

Página 23

A autenticidade deste documento pode ser conferida no site https://anpd- super.mj.gov.br/sei/controlador_externo.php? acao=documento_conferir&id_orgao_acesso_externo=0, informando o código verificador 0240717 e o código CRC 5C61289D. SCN Quadra 06, Ed. Venâncio 3000, Bloco A, 9º andar - Bairro Asa Norte, Brasília/DF, CEP 70716-900 Telefone: (61) 2017-3338 / 3339 - https://www.gov.br/anpd/pt-br Referência: Caso responda a este documento, indicar expressamente o Processo nº 00261.005809/2024-32 SEI nº 0240717

Página 24

Agência Nacional de Proteção de Dados Conselho Diretor Diretora Lorena Coutinho

VOTO Nº 3/2026/DIR-LC/CD PROCESSO Nº 00261.005809/2024-32 INTERESSADOS: Agência Nacional de Proteção de Dados e União Europeia ASSUNTO: Decisão de adequação entre Brasil e União Europeia.

VOTO EM CIRCUITO DELIBERATIVO

VOTO X Acompanho o Relator (Voto nº 01/2026/DIR-IM/CD, SEI nº (0236729)

e me manifesto favoravelmente à redução do prazo mínimo de deliberação, nos termos do art. 41, § 1º, do Regimento Interno

Não acompanho o Relator

LORENA GIUBERTI COUTINHO Diretora

Documento assinado eletronicamente por Lorena Giuberti Coutinho, Diretor(a), em 23/01/2026, às 10:06, conforme horário oficial de Brasília, com fundamento no art. 6º, § 1º, do Decreto nº 8.539, de 8 de outubro de 2015.

Página 25

A autenticidade deste documento pode ser conferida no site https://anpd- super.mj.gov.br/sei/controlador_externo.php? acao=documento_conferir&id_orgao_acesso_externo=0, informando o código verificador 0240812 e o código CRC 9D3F0290. SCN Quadra 06, Ed. Venâncio 3000, Bloco A, 9º andar - Bairro Asa Norte, Brasília/DF, CEP 70716-900 Telefone: (61) 2017-3338 / 3339 - https://www.gov.br/anpd/pt-br Referência: Caso responda a este documento, indicar expressamente o Processo nº 00261.005809/2024-32 SEI nº 0240812