O que conta como transferência internacional de dados
Quase toda empresa hoje depende de ferramentas que guardam dados em algum lugar do mundo. Nós observamos, na rotina de adequação de empresas pequenas e médias, que a pergunta “onde fica o servidor?” raramente é feita antes da contratação, e quase nunca é registrada depois. Só que, para a LGPD, o endereço do servidor importa.
A LGPD trata como transferência internacional o envio de dados pessoais para outro país, e o caso mais comum não envolve nenhuma remessa explícita. Basta que a empresa use uma nuvem, uma plataforma de atendimento, um sistema de e-mail marketing ou uma ferramenta de IA cujos servidores estejam fora do Brasil, ou que o fornecedor acesse os dados remotamente a partir do exterior, como no suporte técnico ou na manutenção.
Isso significa que uma clínica veterinária que guarda a ficha dos tutores em um sistema hospedado no exterior já realiza uma transferência. O mesmo vale para a loja virtual que usa uma ferramenta de e-mail marketing com servidores fora do país. Ninguém “enviou” nada, mas os dados dos clientes estão, de fato, em outra jurisdição.
Transferência sem mecanismo válido versus transferência amparada em hipótese legal
A diferença está menos na ferramenta e mais no processo. Duas empresas podem usar exatamente o mesmo serviço de nuvem. A primeira não sabe dizer em qual país estão os dados nem com base em qual hipótese legal eles saíram do Brasil. A segunda tem um registro simples, com o fornecedor, o país, o mecanismo escolhido e o contrato correspondente. Em uma fiscalização, só a segunda consegue responder.
As hipóteses do art. 33, em linguagem simples
O art. 33 da LGPD lista as situações em que a transferência é permitida. Para empresas pequenas e médias, cinco delas concentram quase todos os casos práticos:
| Hipótese | Quando se aplica | Exigência prática | Principal limitação |
|---|---|---|---|
| Decisão de adequação | Quando o destino foi reconhecido pela ANPD como de proteção equivalente à da LGPD (hoje, a União Europeia) | Confirmar que o destino está coberto e registrar a operação | Vale apenas para destinos reconhecidos |
| Cláusulas-padrão contratuais | Quando o destino não tem decisão de adequação | Incorporar ao contrato ou a um aditivo o modelo aprovado pela ANPD | Devem ser adotadas na íntegra, sem alterar o conteúdo |
| Normas corporativas globais | Quando a transferência ocorre entre empresas do mesmo grupo econômico | Aprovação prévia da ANPD | Servem apenas ao grupo e dependem de aprovação |
| Consentimento específico e em destaque | Quando não há outro mecanismo viável | Informar com clareza que a operação é internacional e os riscos envolvidos | Pode ser revogado e é frágil para operações contínuas |
| Execução de contrato ou obrigação legal | Quando a transferência é indispensável para cumprir contrato com o titular ou exigência legal | Demonstrar que a transferência é necessária, e não apenas conveniente | Não cobre operações adotadas por praticidade |
Decisão de adequação: o caminho mais simples, para quem tem sorte no destino
Em janeiro de 2026, a ANPD publicou a Resolução CD/ANPD nº 32/2026 e reconheceu a União Europeia como destino com nível adequado de proteção. Foi a primeira decisão de adequação formal da autoridade brasileira. Na prática, a transferência para fornecedores com dados hospedados na Europa passa a se apoiar diretamente nesse reconhecimento, sem exigir cláusulas adicionais.
Apesar disso, o reconhecimento é específico. Ele não se estende a outros países, e a ANPD não proferiu, até aqui, decisão equivalente para os demais destinos que as empresas costumam usar.
Cláusulas-padrão contratuais: o caminho mais usado
Para os demais destinos, o mecanismo mais utilizado são as cláusulas-padrão contratuais. Elas foram aprovadas pela Resolução CD/ANPD nº 19/2024, que também criou o Regulamento de Transferência Internacional de Dados. Trata-se de um texto contratual pronto, que a empresa e o fornecedor incorporam ao contrato principal ou a um aditivo. Por serem padronizadas, não admitem reescrita do conteúdo aprovado, mas dispensam a negociação de uma redação própria.
A resolução deu 12 meses para que os agentes de tratamento incorporassem essas cláusulas aos contratos existentes. Esse prazo terminou em agosto de 2025, de modo que contratos antigos, assinados antes da regulamentação e nunca atualizados, merecem uma revisão.
Consentimento: o atalho que costuma sair caro
O consentimento específico e em destaque também é uma hipótese prevista, mas é a que mais gera frustração. O titular precisa ser informado, de forma clara, de que a operação é internacional, e pode revogar a autorização a qualquer momento. Uma empresa que construa toda a sua operação sobre um consentimento revogável corre o risco de ter de interromper o serviço se um número relevante de clientes retirar a autorização.
Os erros mais comuns de empresas pequenas e médias
A prática de adequação mostra um conjunto previsível de equívocos. Nós os agrupamos em quatro.
O primeiro é achar que a regra só vale para quem tem filial ou cliente no exterior. A transferência independe do porte e da estrutura da empresa: depende apenas de para onde os dados vão.
O segundo é presumir que o contrato do fornecedor já resolve. Os termos de uso de grandes plataformas costumam descrever como o dado é tratado, mas não escolhem, em nome da empresa contratante, a hipótese legal do art. 33. Essa escolha é de quem exporta o dado.
O terceiro é usar o consentimento como atalho universal. Um escritório de contabilidade que inclui uma frase genérica no contrato de prestação de serviços, autorizando “o armazenamento em qualquer lugar do mundo”, não cumpre o requisito de consentimento específico e em destaque.
O quarto, e talvez o mais silencioso, é não saber que há transferência. Contudo, ela costuma aparecer em lugares pouco óbvios: o suporte remoto de uma ferramenta, o backup replicado em outra região, o subcontratado do fornecedor que processa os dados em um terceiro país. Entretanto, nenhum desses casos aparece no contrato principal, e é nesse ponto que o mapeamento faz diferença.
Como organizar isso na prática
Para a maioria das empresas pequenas e médias, o caminho é curto e não exige estrutura jurídica dedicada. Primeiro, listar os fornecedores que recebem dados pessoais e perguntar a cada um em quais países os dados são armazenados e acessados. Segundo, classificar cada caso: destino coberto por decisão de adequação ou destino que exige outro mecanismo. Terceiro, formalizar a escolha por meio das cláusulas-padrão, quando for o caso, ou do mecanismo cabível. Por fim, registrar tudo em um documento simples, atualizado a cada nova contratação.
Esse registro importa porque a LGPD valoriza a capacidade de demonstrar conformidade. Uma empresa que apresenta à ANPD uma lista de fornecedores, países e mecanismos escolhidos está em posição muito diferente da que precisa reconstruir o histórico às pressas, senão descobrir, no meio da fiscalização, que nunca soube onde seus dados estavam.
Conclusão
Transferência internacional de dados não é um tema restrito a multinacionais. Ela acontece sempre que uma ferramenta do dia a dia guarda ou acessa dados fora do Brasil. A LGPD não proíbe esse uso, mas exige que a empresa identifique a operação, escolha um mecanismo legal e formalize essa escolha. Com a regulamentação da ANPD em vigor e a União Europeia reconhecida como destino adequado, o caminho ficou mais claro, e a distância entre uma empresa preparada e uma exposta passou a ser, sobretudo, de organização.
Para aprofundar temas relacionados, vale consultar os artigos Como estruturar contratos de tratamento de dados com fornecedores e parceiros e LGPD em APIs e integrações entre sistemas: como estruturar cláusulas de proteção de dados entre parceiros técnicos no blog da DPOnet.
Perguntas frequentes (FAQ)
Dúvidas comuns sobre transferência internacional de dados e fornecedores no exterior
1. Usar uma nuvem com servidor fora do Brasil já é transferência internacional de dados?
Sim. Armazenar dados pessoais em servidores localizados no exterior, ou permitir que um fornecedor acesse esses dados a partir de outro país, configura transferência internacional e exige uma das hipóteses previstas no art. 33 da LGPD.
2. Preciso de consentimento dos clientes para usar fornecedores no exterior?
Nem sempre. O consentimento específico e em destaque é uma das hipóteses possíveis, mas existem outras, como a decisão de adequação, as cláusulas-padrão contratuais e a execução de contrato. A escolha depende do destino e da natureza da operação.
3. O que são as cláusulas-padrão contratuais da ANPD?
São um modelo de texto contratual aprovado pela Resolução CD/ANPD nº 19/2024, que deve ser incorporado ao contrato ou a um aditivo com o fornecedor no exterior. Elas são adotadas na íntegra, sem alteração do conteúdo, e garantem as salvaguardas exigidas para destinos sem decisão de adequação.
4. A decisão de adequação da União Europeia vale para qualquer país?
Não. A Resolução CD/ANPD nº 32/2026 reconhece apenas a União Europeia como destino com nível adequado de proteção. Para os demais países, a empresa precisa recorrer a outro mecanismo, como as cláusulas-padrão contratuais.
