Na semana passada, a UE e o Brasil adotaram decisões de adequação coordenadas, no âmbito de seus respectivos regimes de proteção de dados. Trata-se de uma simplificação significativa para empresas que operam em ambos os mercados, especialmente nos setores de tecnologia e serviços digitais.
As decisões e por que elas são importantes
Cada parte reconheceu formalmente que o arcabouço de proteção de dados da outra parte (GDPR da UE/LGPD brasileira) oferece um nível adequado de proteção para transferências internacionais de dados. Na prática, isso elimina a necessidade de “construir” a conformidade das transferências com o uso de instrumentos adicionais para transferências entre as duas regiões.
Quais são as implicações práticas?
Para transferências de dados pessoais entre UE–Brasil, a decisão de adequação significa:
- Não é necessário recorrer a instrumentos adicionais de transferência para transferências UE–Brasil dentro do escopo (por exemplo, SCCs, BCRs ou derrogações, como o consentimento explícito).
- Maior segurança jurídica para serviços digitais transfronteiriços, centros de serviços compartilhados, atendimento ao cliente, hospedagem em nuvem, análises, e estruturas semelhantes de tratamento de dados.
- Menos atrito em negociações comerciais e processos de contratação, pois as questões de transferência internacional tornam-se mais simples de tratar e documentar.
O que não muda?
A adequação remove uma barreira relevante para transferências, mas não elimina as obrigações de conformidade com o GDPR/LGPD. A adequação trata do mecanismo de transferência; não altera os requisitos subjacentes. Por exemplo, ainda é necessário: uma base legal para o tratamento, conformidade com os princípios fundamentais, contratos adequados entre operador/controlador conforme aplicável, respeito aos direitos dos titulares, e notificação de incidentes.
Também é importante lembrar que a adequação somente cobre transferências entre o Brasil e a UE/EEE, conforme descrito acima. Outras transferências ainda exigem os mecanismos e avaliações usuais.
O que você deve fazer agora
- Mapear seus fluxos de dados UE/EEE–Brasil (intragupo, fornecedores, plataformas, equipes de suporte, hospedagem etc.).
- Atualizar sua documentação de transferências (RoPA e similares) para refletir a adequação, quando aplicável.
- Revisar sua estrutura contratual. Quando SCCs existirem exclusivamente para transferências EU-Brasil, considerar simplificar.
- Garantir que seu(s) aviso(s) de privacidade descreva(m) as transferências internacionais com precisão, incluindo transferências entre a UE/EEE e o Brasil e a base legal aplicável (adequação, quando relevante).
- Por favor, sinta-se à vontade para entrar em contato conosco caso tenha qualquer dúvida sobre conformidade em proteção de dados ou sobre as implicações práticas das decisões de adequação UE–Brasil. Teremos prazer em ajudar.
Escrito por: Hugo Snobohm Hartzell (Nordic Desk e direito internacional da tecnologia), e Juliana G. Meyer Gottardi (sócia fundadora de Pacheco Neto Sanden Teisseire Advogados)
