Muitas empresas em decorrência de sua atividade e na função de controladoras de dados pessoais realizam a transferência internacional de dados pessoais.
De acordo com a LGPD, os dados pessoais serão transferidos para um país estrangeiro ou organismo internacional do qual o país seja membro (Art. 5º, XV, da LGPD) e que implica o uso compartilhado de dados (Art. 5º, XVI, da LGPD).
Mas o que configura uma transferência internacional de dados? Podemos listar alguns exemplos:
Armazenamento de dados pessoais em servidores localizados fora do Brasil;
Contratação de provedor de computação em nuvem;
Compartilhamento de dados pessoais de RH entre empresas do mesmo grupo;
A LGPD elencou em seu Capítulo V, nos artigos 33 ao 36 da LGPD as hipóteses o qual é permitida a transferência de dados, com uma série de garantias e mecanismos protetivos aos direitos dos titulares de dados pessoais.
Mas como saber o nível de proteção do país para o qual a transferência será realizada? O art. 34 da LGPD apresenta que nível de proteção de dados do país estrangeiro ou do organismo internacional mencionado no inciso I do caput do art. 33 da Lei será avaliado pela ANPD, e que levará em consideração:(a) as normas gerais e setoriais da legislação em vigor no país de destino ou no organismo internacional; (b) a natureza dos dados; (c) a observância dos princípios gerais de proteção de dados pessoais e direitos dos titulares previstos na LGPD; (d) a adoção de medidas de segurança previstas em regulamento; (e) a existência de garantias judiciais e institucionais para o respeito aos direitos de proteção de dados pessoais; e (f) outras circunstâncias específicas relativas à transferência.
O Brasil ainda não reconheceu outro país com nível necessário para a transferência internacional, e não tem o reconhecimento pelas autoridades estrangeiras, assim, até que seja avaliado pela ANPD o nível de proteção de dados do país estrangeiro ou do organismo internacional, temos que observar as regras estabelecidas no art. 33 da Lei e aferir caso a caso a necessidade de tal transferência.
Deste modo, deve-se observar se o país ou organismo internacional proporciona o grau de proteção de dados pessoais adequado ao previsto na Lei, e o controlador deve comprovar garantias de cumprimento dos princípios, dos direitos do titular com cláusulas contratuais específicas para determinada transferência; cláusulas-padrão contratuais; normas corporativas globais e selos, certificados e códigos de conduta regularmente emitidos. Respeitando os critérios estabelecidos na Lei.
Assim, se a transferência seja realizada para um grau de proteção de dados pessoais diverso do Brasil os controladores têm o dever de garantir que essa transferência internacional não afetará negativamente o nível de proteção dos dados pessoais de seus titulares, e devem informar para os titulares, detalhes adicionais sobre a transferência internacional de dados.
Nota-se que o legislador permitiu a transferência internacional, mas devendo cumprir as determinações expostas na Lei, pois caso não seja cumprida as determinações legais os direitos e liberdades fundamentais dos titulares serão expostos em riscos podendo causar danos efetivos.
Comments