00261.000968/2021-06
PRESIDÊNCIA DA REPÚBLICA
Autoridade Nacional de Proteção de Dados
Coordenação-Geral de Normatização
Coordenação-Geral de Relações Institucionais e Internacionais
Nota Técnica nº 20/2022/CGN/ANPD
Assunto: Proposta de realização de Tomada de Subsídios para
regulamentação de transferência internacional de dados pessoais, nos
termos dos arts. 33 e 35 da LGPD da Lei nº 13.709, de 14 de agosto de
2018.
- INTRODUÇÃO
1.1. O item 9 da agenda regulatória bianual 2021-2022 da Autoridade Nacional
de Proteção de Dados (ANPD), aprovada pela Portaria nº 11, de 27 de janeiro de
2021, trata da regulamentação da transferência internacional de dados pessoais,
incluindo a avaliação de nível de proteção de dados de país estrangeiro ou de
organismo internacional e a definição do conteúdo de cláusulas-padrão contratuais,
dentre outros, nos termos dos artigos 33 a 35 da Lei nº 13.709, de 14 de agosto de
2018, a Lei Geral de Proteção de Dados Pessoais (LGPD).
1.2. O processo de regulamentação é norteado pelos fundamentos da
disciplina da proteção de dados pessoais previstos no art. 2º da LGPD, bem como
pelas diretrizes estabelecidas pela Portaria nº 16, de 8 de julho de 2021, que aprova o
processo de regulamentação no âmbito da ANPD. O referido instrumento normativo
estabelece os procedimentos para elaboração, revisão, implementação,
monitoramento e avaliação da regulamentação da Autoridade, dentre as quais consta
a etapa de Análise de Impacto Regulatório (AIR).
1.3. De acordo com o estabelecido no art. 14 da referida Portaria, a Análise
de Impacto Regulatório (AIR) estabelece mecanismos de participação de especialistas
e da sociedade por meio da tomada de subsídios, bem como coleta de dados e
informações que a equipe de projeto considerar relevantes.
1.4. A tomada de subsídios consiste, portanto, em importante instrumento
regulatório que visa obter elementos, informações e dados relevantes para o
processo de regulamentação a partir da escuta dos diferentes stakeholders que,
possivelmente, serão afetados pela publicação de ato normativo. Realizada ainda no
curso da elaboração de proposta normativa, a AIR permite identificar e aprimorar os
aspectos significativos à matéria em questão, delimitando os problemas a serem
enfrentados e as possíveis alternativas regulatórias.
1.5. Nesse sentido, vale salientar que a tomada de subsídios ora proposta se
alinha à recomendação constante do manual Diretrizes gerais e guia orientativo para
elaboração de Análise de Impacto Regulatório – AIR[1] publicado pela Casa Civil da
Presidência da República:
A boa prática regulatória recomenda que a consulta e o diálogo com
os atores interessados no problema regulatório devem começar o
mais cedo possível, ainda nos estágios iniciais da AIR. O objetivo é
convidar os atores relevantes a contribuir para melhorar a qualidade da análise
que orientará a decisão. Quando envolvidos após já tomada a decisão, a
Nota Técnica 20 (3367935) SEI 00261.000968/2021-06 / pg. 1
tendência é que estes atores só se debrucem sobre a minuta apresentada,
questionando seus dispositivos sem considerar o processo de análise que
culminou em sua proposição, mesmo que a AIR seja disponibilizada para
consulta junto com o instrumento. [Grifos no original]
1.6. Em conformidade com o disposto no inciso II, do art. 12, da Portaria nº
16/2021, a equipe de projeto poderá, no exercício de seu poder discricionário,
elaborar proposta de Tomada de Subsídios com a finalidade de obter insumos para o
processo de regulamentação. A Tomada de Subsídios proposta pode ser aberta ao
público ou restrita a convidados, com a finalidade de obter insumos para o processo
de regulamentação, por meio do encaminhamento de contribuições escritas ou
reuniões técnicas.
1.7. Nessa etapa do processo, pretende-se avaliar a conveniência e a
oportunidade da realização de tomada de subsídios para amparar a AIR.
1.8. É o relatório. - ANÁLISE
2.1. O Capítulo V da LGPD, que trata especificamente da Transferência
Internacional de Dados, apresenta, em seu art. 33, as hipóteses legais que autorizam
a transferência internacional de dados pessoais, in verbis:
Art. 33. A transferência internacional de dados pessoais somente é permitida nos
seguintes casos:
I – para países ou organismos internacionais que proporcionem grau de proteção
de dados pessoais adequado ao previsto nesta Lei;
II – quando o controlador oferecer e comprovar garantias de cumprimento dos
princípios, dos direitos do titular e do regime de proteção de dados previstos
nesta Lei, na forma de:
a) cláusulas contratuais específicas para determinada transferência;
b) cláusulas-padrão contratuais;
c) normas corporativas globais;
d) selos, certificados e códigos de conduta regularmente emitidos;
III – quando a transferência for necessária para a cooperação jurídica internacional
entre órgãos públicos de inteligência, de investigação e de persecução, de acordo
com os instrumentos de direito internacional;
IV – quando a transferência for necessária para a proteção da vida ou da
incolumidade física do titular ou de terceiro;
V – quando a autoridade nacional autorizar a transferência;
VI – quando a transferência resultar em compromisso assumido em acordo de
cooperação internacional;
VII – quando a transferência for necessária para a execução de política pública ou
atribuição legal do serviço público, sendo dada publicidade nos termos do inciso I
do caput do art. 23 desta Lei;
VIII – quando o titular tiver fornecido o seu consentimento específico e em
destaque para a transferência, com informação prévia sobre o caráter
internacional da operação, distinguindo claramente esta de outras finalidades; ou
IX – quando necessário para atender as hipóteses previstas nos incisos II, V e VI
do art. 7º desta Lei.
2.2. Por sua vez, o art. 35 da LGPD dispõe que a ANPD definirá o conteúdo
de cláusulas-padrão contratuais, bem como a verificação de cláusulas contratuais
específicas para uma determinada transferência, normas corporativas globais ou
selos, certificados e códigos de conduta, descritos no inciso II do caput do art. 33.
Adicionalmente, o §1º do art. 35 estabelece que, para a verificação prevista no caput
Nota Técnica 20 (3367935) SEI 00261.000968/2021-06 / pg. 2
do art. 35, devem ser considerados os requisitos, condições e garantias mínimas
para a observância dos direitos, garantias e princípios da LGPD quando da
transferência de dados pessoais para outra jurisdição.
2.3. Assim, é necessário que se discuta, neste momento, a regulamentação
dos arts. 33 e 35 da LGPD, de forma que a proteção dos dados pessoais de titulares
brasileiros não seja um impedimento à inserção do País na economia global, bem
como a inovação e o desenvolvimento econômico não prejudiquem a proteção de um
direito fundamental tão apreciado e em solidificação no território nacional.
2.4. Da mesma forma, é relevante considerar possíveis modelos
internacionais vigentes que poderão nortear a regulamentação a ser editada pela
ANPD, bem como a possibilidade de se estabelecer regramento diferenciado a partir
dos modelos existentes.
2.5. Os mecanismos de transferência internacional de dados tornaram-se
instrumentos chave para o desenvolvimento da economia digital e, também, para a
garantia da efetiva proteção dos dados pessoais ao cruzarem fronteiras. A
implementação de várias regulações em proteção de dados ao redor do globo revela
a preocupação geral com os fluxos transfronteiriços de dados. Contudo a grande
diversidade de modelos de proteção de dados traz consigo a necessidade de um
esforço de convergência e interoperabilidade entre esses diferentes sistemas a fim
de que tais fluxos sejam permitidos.
2.6. Nesse sentido, as cláusulas-padrão contratuais (CPC) têm sido o
mecanismo de transferência internacional de dados mais utilizado mundialmente,
funcionando inclusive como ferramenta de convergência entre diferentes sistemas.
Isso porque esse mecanismo permite compatibilizar, via instrumento contratual, as
regras de proteção de dados de diferentes jurisdições, em especial aquelas do país
que exporta os dados pessoais. Ademais, as CPCs podem ser consideradas um
instrumento de prateleira e de menor custo de implementação em comparação aos
demais. Dessa forma, elas acabam sendo a opção para pequenas e médias
empresas.
2.7. Outras opções de mecanismos de transferência internacional de dados
não conseguem atender a necessidade urgente de regularizar, de maneira ubíqua, os
fluxos transfronteiriços. Por exemplo, as decisões de adequação possuem um
processo relativamente moroso além de atenderem apenas às localizações
geográficas analisadas na avaliação da adequação. Selos e certificados ainda não
foram regulamentados pela Autoridade, dado que a definição dos padrões técnicos
mínimos de segurança é tema bastante complexo e está sendo estudado pela ANPD
para que sejam aplicados na regulamentação. Códigos de conduta regularmente
emitidos, a seu turno, possuem um estreito espectro de utilização. Portanto, dada a
urgência dos atores em verem regulamentado algum mecanismo que possibilite a
transferência internacional de dados em consonância com a Lei, é natural que as
cláusulas-padrão contratuais sejam o primeiro mecanismo a ser normatizado pela
ANPD.
2.8. Ademais, há de se considerar que a escolha dos mecanismos que devem
ser regulamentados e o momento mais oportuno para sua realização é uma decisão
que possui aspectos de mérito, mas também elementos estratégicos. Se a
disponibilização de instrumentos para as transferências internacionais é premente,
escolher regulamentar de uma só vez todos os mecanismos previstos no art. 33 da
LGPD implicaria uma maior demora em se expedir o regulamento. Por outro lado, é
racional considerar em conjunto mecanismos que possuam critérios de análise
essencialmente semelhantes, uma vez que essa abordagem otimiza os esforços da
ANPD ao mesmo tempo em que organiza os regulamentos de acordo com uma
Nota Técnica 20 (3367935) SEI 00261.000968/2021-06 / pg. 3
mesma lógica.
2.9. Assim, dado que há urgência em se regulamentar o tema, que iniciar
pelas cláusulas-padrão contratuais é a opção que disponibiliza à sociedade o
mecanismo de maior alcance, e que a regulamentação de cláusulas contratuais
específicas e de normas corporativas globais segue requisitos fundamentalmente
similares aos das CPCs, a ANPD optou por incluir nesse primeiro bloco de
regulamentação esses três instrumentos, o que denominou de “instrumentos
contratuais”.
2.10. Nesse contexto, a equipe de projeto considera oportuna e conveniente a
realização de Tomada de Subsídios para o presente projeto de regulamentação com o
objetivo de receber contribuições dos diferentes agentes econômicos, titulares de
dados pessoais e dos demais afetados pelo problema regulatório relativo à
transferência internacional de dados.
2.11. Para tanto, as contribuições à tomada de subsídios devem ocorrer em
forma de respostas às questões sobre:
a) a) o conteúdo das cláusulas-padrão contratuais, previstas no art.
33, II, b, e
b)b) a regulamentação necessária para utilização das cláusulas
contratuais específicas e das normas corporativas globais, nos termos
do art. 33, II, a, c e art. 35, caput, e §§1º, 2º e 5º.
c) As informações colhidas com a Tomada de Subsídios serão aplicadas
pela ANPD na elaboração de AIR sobre o tema.
2.12. Assegurados os direitos dos titulares de dados, o livre fluxo de dados é
algo extremamente desejável ao desenvolvimento da economia digital. A LGPD
permite que isso ocorra após proferida uma decisão de adequação. O grau de
proteção adequado à LGPD envolve a análise de todos os aspectos arrolados no art.
34 para que se entenda que a estrutura de proteção de dados estrangeira é
compatível com essa lei, o que carece de regulamentação pela ANPD e demandará
um tempo substantivo de implementação.
2.13. Por adotar regime de exceção para as transferências internacionais de
dados pessoais, a LGPD exige que, na ausência de uma decisão de adequação, sejam
necessárias salvaguardas adicionais, como as previstas no inciso II do art. 33:
cláusulas contratuais específicas; cláusulas-padrão contratuais; normas corporativas
globais; ou selos, certificados e códigos de conduta regularmente emitidos. O
problema que se pretende resolver com o regulamento objeto desta tomada de
subsídios é disponibilizar meios eficazes e rápidos capazes de permitir as
transferências internacionais de maneira adequada, na ausência de decisão de
adequação abrangendo o país destino da transferência.
2.14. Dada a complexidade do tema das transferências internacionais e a
diversidade de opções adotadas para lidar com ele, a equipe de projetos avaliou que
seria fundamental consultar as partes interessadas e a sociedade de maneira ampla.
Sabe-se que a maioria dos processos de regulamentação do tema ao redor do
mundo se utilizaram de consultas semelhantes, de forma que essa etapa se inspira
nas boas práticas regulatórias internacionais.
2.15. Assim, a equipe de projeto elaborou os questionamentos (SEI nº
3370435) com o fito de auxiliar a ANPD na elaboração de AIR. Em todas as
perguntas, para possibilitar a adequada compreensão da ANPD sobre a resposta,
solicitam-se as devidas justificativas, com dados e informações que as suportem. - ANEXOS
Nota Técnica 20 (3367935) SEI 00261.000968/2021-06 / pg. 4
3.1. Aviso da Tomada de Subsídio nº 2/2022 (SEI nº 3368496);
3.2. Perguntas da tomada de subsídios nº 2/2022 (SEI nº 3370435) - REFERÊNCIAS
[1] Diretrizes gerais e guia orientativo para elaboração de Análise de Impacto
Regulatório – AIR / Subchefia de Análise e Acompanhamento de Políticas
Governamentais [et al.]. Brasília: Presidência da República, 2018. - CONCLUSÃO
5.1. Diante do exposto, a equipe de projeto, em conformidade com os arts.
12, inciso II, 18 e 19 da Portaria nº 16/2021, considera conveniente e oportuna a
realização de tomada de subsídios, do tipo aberta ao público, a ser efetivada por meio
de encaminhamento de contribuições escritas pela Plataforma Participa + Brasil, com
prazo de contribuição de 30 (trinta) dias, a contar da publicação do aviso da tomada
de subsídios no Diário Oficial da União. Ressalta-se que a Tomada de Subsídios não
representa o posicionamento final da ANPD.
5.2. À consideração superior.
Brasília, 17 de maio de 2022.
DAVI TEÓFILO NUNES OLIVEIRA
Assistente Técnico
SABRINA FERNANDES MACIEL FAVERO
Especialista em Políticas Públicas e Gestão Governamental
FERNANDO DE MATTOS MACIEL
Coordenador de Normatização
CAROLINE NAZARÉ DOS SANTOS CHUCRE KAPPEL
Coordenadora de Relações Institucionais
De acordo. Encaminhe-se o Aviso para assinatura do Diretor Presidente da ANPD e,
posteriormente, para Secretaria Geral para providências referentes à publicação no
Diário Oficial da União.
Brasília, 17 de maio de 2022.
RODRIGO SANTANA DOS SANTOS
Coordenador-Geral de Normatização, substituto
Nota Técnica 20 (3367935) SEI 00261.000968/2021-06 / pg. 5
JULIANA MULLER REIS JORGE
Coordenadora-Geral de Relações Institucionais e Internacionais
Documento assinado eletronicamente por Sabrina Fernandes Maciel
Favero, ANPD – Autoridade Nacional de Proteção de Dados, em
17/05/2022, às 11:43, conforme horário oficial de Brasília, com fundamento
no § 3º do art. 4º, do Decreto nº 10.543, de 13 de novembro de 2020. .
Documento assinado eletronicamente por Fernando de Mattos Maciel,
Coordenador(a), em 17/05/2022, às 11:45, conforme horário oficial de
Brasília, com fundamento no § 3º do art. 4º, do Decreto nº 10.543, de 13 de
novembro de 2020. .
Documento assinado eletronicamente por Rodrigo Santana dos Santos,
Coordenador(a)-Geral substituto(a), em 17/05/2022, às 11:45, conforme
horário oficial de Brasília, com fundamento no § 3º do art. 4º, do Decreto nº
10.543, de 13 de novembro de 2020. .
Documento assinado eletronicamente por Davi Teófilo Nunes de Oliveira,
ANPD – Autoridade Nacional de Proteção de Dados, em 17/05/2022, às
11:49, conforme horário oficial de Brasília, com fundamento no § 3º do art. 4º,
do Decreto nº 10.543, de 13 de novembro de 2020. .
Documento assinado eletronicamente por Caroline Nazaré dos Santos
Chucre Kappel, Assessor(a) Técnico(a), em 17/05/2022, às 14:22,
conforme horário oficial de Brasília, com fundamento no § 3º do art. 4º, do
Decreto nº 10.543, de 13 de novembro de 2020. .
Documento assinado eletronicamente por Juliana Muller Reis Jorge,
Coordenador(a)-Geral, em 17/05/2022, às 14:41, conforme horário oficial
de Brasília, com fundamento no § 3º do art. 4º, do Decreto nº 10.543, de 13
de novembro de 2020. .
A autenticidade do documento pode ser conferida informando o código
verificador 3367935 e o código CRC 92151698 no site:
https://sei-pr.presidencia.gov.br/sei/controlador_externo.php?
acao=documento_conferir&id_orgao_acesso_externo=0
Referência: Processo nº 00261.000968/2021-06 SEI nº 3367935
Nota Técnica 20 (3367935) SEI 00261.000968/2021-06 / pg. 6