CD nº 17/2024 — Regulamento de Transferência Internacional de Dados e cláusulas-padrão contratuais

Página 1

Autoridade Nacional de Proteção de Dados

Conselho Diretor

Diretor Joacil Rael

VOTO Nº 21/2024/DIR-JR/CD

PROCESSO Nº

00261.000968/2021-06

DIRETOR RELATOR

JOACIL BASILIO RAEL

1

.

ASSUNTO

1

.

1

.

Minuta de Resolução que aprova o Regulamento de Transferência

Internacional de Dados e o conteúdo das Cláusulas-Padrão Contratuais.

2

.

EMENTA

2

.

1

.

MINUTA DE RESOLUÇÃO. APROVAÇÃO DO REGULAMENTO DE

TRANSFERÊNCIA INTERNACIONAL DE DADOS E DO CONTEÚDO DAS CLÁUSULAS-

PADRÃO CONTRATUAIS. ANÁLISE DOS ASPECTOS PROCESSUAIS. ANÁLISE DA

MINUTA DO REGULAMENTO APÓS REALIZAÇÃO DE CONSULTA PÚBLICA.

ALTERAÇÕES DE NATUREZA MATERIAL APRESENTADAS NA SEÇÃO DE ANÁLISE.

ALTERAÇÕES REDACIONAIS EXPOSTAS NA VERSÃO COM MARCAS DE REVISÃO.

VOTO PELA APROVAÇÃO DA MINUTA. PROVIDÊNCIAS A SEREM TOMADAS PELA

SECRETARIA-GERAL.

3

.

RELATÓRIO

3

.

1

.

Trata-se de proposta de Regulamento de Transferência

Internacional de Dados, a

qual tem por obje>vo regulamentar

o art. 33,

incisos I e II, alíneas “a”, “b” e “c”, art. 34, art. 35, §§ 1º, 2º e 5º, e art. 36 da Lei

nº 13.709, de 14 de agosto de 2018 – Lei Geral de Proteção de Dados Pessoais

(LGPD)

, e do conteúdo de Cláusulas-Padrão Contratuais (CPC).

3

.

2

.

O tema encontra-se previsto no item 4 da Agenda Regulatória

da Autoridade Nacional de Proteção de dados (ANPD) para o biênio

Voto 21 (0137807) SEI 00261.000968/2021-06 / pg. 1

Página 2

2023/2024, aprovada pela Portaria CD/ANPD nº11, de 27 de dezembro de 2023.

3.3.O processo iniciou-se com o Termo de Abertura de Projeto (0051725), em 10 de novembro de 2021 e contou com integrantes de diversas Coordenações desta Autoridade.

3.4.Após reuniões de estudos e, considerando a complexidade do tema, optou-se pela realização de Tomada de Subsídios (0051731). Analisadas as contribuições recebidas, elaborou-se a primeira minuta (0051799), a qual foi submetida a consulta interna entre o período de 30 de janeiro até 24 de fevereiro de 2023 (0051798).

3.5.Ato contínuo, elaborou-se o Relatório de Análise de Impacto Regulatório (AlR) (0051803) que, por sua vez, subsidiou a proposta de Resolução que dispõe sobre Regulamento de Transferência Internacional de Dados e os modelos de cláusulas-padrão contratuais (0051802 0051804 0051805)

3.6.O processo seguiu para avaliação da Procuradoria Federal Especializada da ANPD, que opinou pelo prosseguimento do processo, por meio do PARECER N. 0025/2023/GAB/PFE/ANPD/PGF/AGU, condicionando-0ao cumprimento de algumas recomendações (0051807).

3.7.Por meio da Nota Técnica nº 51/2023/CGN/ANPD (0051811), a Coordenação Geral de Normatização indicou que a minuta fosse submetida a Consulta e Audiências públicas. As indicações foram deferidas pelo Conselho Diretor, nos termos do voto da Relatora (0051817) em circuito deliberativo (0051832).

3.8.Após análise das contribuições, a CGN elaborou a Nota técnica nº 214 (0121143) e, posteriormente, houve novo posicionamento da PFE, por meio do Parecer n. 00030/2024/GAB/PFE/ANPD/PGF/AGU (0127555), com sugestões de alterações na minuta.

3.9.Ato contínuo, a CGN apresentou nova Nota Técnica nº 218(0129083), que foi encaminhada à Secretaria-Geral para providências cabíveis.

3.10.Foram anexadas ao processo as versões finais da minuta, com marcas e sem marcas (0130202 e 0130203) para avaliação do Conselho-Diretor.3.11.O Processo foi distribuído a este gabinete após sorteio realizado

É o relato.

3.13.Passo à análise.

Voto 21 (0137807)SEI 00261.000968/2021-06 / pg. 2

Página 3

ANÁLISE

Contexto do processo

4.1.1.Com a promulgação da LGPD, iniciou-se um novo regime jurídico para o tratamento de dados pessoais no Brasil, atribuindo à ANPD a prerrogativa de assegurar, implementar e fiscalizar o cumprimento da lei em todo o território nacional. A ANPD possui, portanto, competência de estabelecer normas e diretrizes voltadas para a interpretação e a implementação da LGPD.

4.1.2.A Lei Geral de Proteção de Dados (“LGPD”) define, em seu art.5º, inciso XV, que transferência internacional de dados é toda transferência de dados pessoais para país estrangeiro ou organismo internacional do qual o país seja membro. A proteção deve acompanhar o local do armazenamento para proteger o titular de dados, garantindo respeito aos princípios, diretrizes e fundamentos da LGPD.

4.1.3.Conceitua-se, assim, a transferência internacional como o fluxo de dados para além das fronteiras do país. Trata-se de conceito impreciso,que exige melhores contornos, a fim de garantir a correta aplicação do regime de transferências previsto no Capítulo V da LGPD.

4.1.4.Face ao exposto, tem-se, portanto, a necessidade de intervenção regulatória em decorrência das determinações da LGPD de forma a assegurar que os dados pessoais transferidos para país estrangeiro ou organismo internacional do qual o Brasil seja membro mantenham nível de proteção adequado conforme os princípios, diretrizes e fundamentos estabelecidos na Lei.

4.1.5.A transferência internacional de dados pessoais deve estar sujeita a um sistema de garantias que assegure os princípios e fundamentos que regem o direito fundamental à proteção de dados sejam respeitados quando da transferência desses dados para outro país, em especial quando o local de destino não compartilhe desse núcleo central principiológico.

4.1.6.O Capítulo V da LGPD foi destinado à temática Transferência Internacional de Dados. O artigo 33 da LGPD prevê os mecanismos que podem ser utilizados para realizar transferências internacionais de dados. Em seguida,a LGPD estabelece, no art. 34, os critérios para avaliação do nível de proteção de dados do país estrangeiro ou do organismo internacional, para fins de decisão de adequação. O art. 35, por sua vez informa que a definição do conteúdo de cláusulas-padrão contratuais será realizada pela autoridade nacional.

Voto 21 (0137807)SEl 00261.000968/2021-06 / pg. 3

Página 4

34, art. 35, §§ 1º, 2º e 5º, e art. 36 da Lei nº 13.709, de 14 de agosto de 2018Lei Geral de Proteção de Dados Pessoais (LGPD). Vejamos o teor dos dispositivos:

Art. 33. A transferência internacional de dados pessoais somente é permitida nos seguintes casos:

I - para países ou organismos internacionais que proporcionem grau de proteção de dados pessoais adequado ao previsto nesta Lei;

Il - quando o controlador oferecer e comprovar garantias de cumprimento dos princípios, dos direitos do titular e do regime de proteção de dados previstos nesta Lei, na forma de:

a) cláusulas contratuais específicas para determinada transferência;

b) cláusulas-padrão contratuais;

c) normas corporativas globais;

(…)

Parágrafo único. Para os fins do inciso I deste artigo, as pessoas jurídicas de direito público referidas no

parágrafo único do

art. 1º da Lei nº 12.527, de 18 de novembro de 2011 (Lei de Acesso à Informação), no âmbito de suas competências legais, e responsáveis, no âmbito de suas atividades, poderão requerer à autoridade nacional a avaliação do nível de proteção a dados pessoais conferido por país ou organismo internacional.

Art. 34. O nível de proteção de dados do país estrangeiro ou do organismo internacional mencionado no inciso I do caput do

art. 33 desta Lei será avaliado pela autoridade nacional, que levará em consideração:

I - as normas gerais e setoriais da legislação em vigor no país de destino ou no organismo internacional;

Voto 21 (0137807)SEI 00261.000968/2021-06 / pg. 4

Página 5

Il - a natureza dos dados;

II - a observância dos princípios gerais de proteção de dados pessoais e direitos dos titulares previstos nesta Lei;

IV - a adoção de medidas de segurança previstas em regulamento;

V - a existência de garantias judiciais e institucionais para o respeito aos direitos de proteção de dados pessoais; e

VI - outras circunstâncias específicas relativas àtransferência.

Art. 35. A definição do conteúdo de cláusulas-padrão contratuais, bem como a verificação de cláusulas contratuais específicas para uma determinada transferência, normas corporativas globais ou selos,certificados e códigos de conduta, a que se refere o inciso Il do caput do

art. 33 desta Lei, será realizada pela autoridade nacional.

§ 1º Para a verificação do disposto no caput deste artigo,deverão ser considerados os requisitos, as condições e as garantias mínimas para a transferência que observem os direitos, as garantias e os princípios desta Lei.

§ 2º Na análise de cláusulas contratuais, de documentos ou de normas corporativas globais submetidas àaprovação da autoridade nacional, poderão ser requeridas informações suplementares ou realizadas diligências de verificação quanto às operações de tratamento, quando necessário.

§ 5º As garantias suficientes de observância dos princípios gerais de proteção e dos direitos do titular referidas no caput deste artigo serão também analisadas de acordo com as medidas técnicas e organizacionais adotadas pelo operador, de acordo com o previsto nos §

§ 1º e 2º do art.

Voto 21 (0137807)SEl 00261.000968/2021-06 / pg. 5

Página 6

46 desta Lei.

Art. 36. As alterações nas garantias apresentadas como suficientes de observância dos princípios gerais de proteção e dos direitos do titular referidas no inciso Il do

art. 33 desta Lei deverão ser comunicadas à autoridade nacional.

4.1.8.A seguir, serão analisados os aspectos processuais e de mérito do regulamento proposto, incluindo a estrutura e conteúdo da Resolução e do Regulamento, bem como o conteúdo das cláusulas-padrão contratuais.

4.2. Aspectos processuais

4.2.1.Inicialmente, verifico que foram observados os procedimentos formais aplicáveis à hipótese, de modo que a instauração e a instrução do processo obedeceram às disposições regimentais, havendo a necessária motivação para a edição do ato normativo.

4.2.2.Nesse sentido, foram seguidas as etapas pertinentes do processo de regulamentação, conforme previstas no art. 4º da Portaria ANPD nº 16, de 8 de julho de 2021, a saber: Agenda Regulatória, Projeto de Regulamentação, Análise de Impacto Regulatório, Consulta Interna e Análise Jurídica.

4.2.3.A Portaria nº 35, de 4 de novembro de 2022 tornou pública a Agenda Regulatória para o biênio 2023-2024, que previu em seu item 4 a continuação e finalização da regulamentação da transferência internacional de dados.

4.2.4.Adicionalmente, é importante mencionar que a Resolução é o ato administrativo adequado para produzir os efeitos jurídicos pretendidos,uma vez que a edição de regulamento “expressa decisão quanto ao provimento normativo de competência da ANPD”,em conformidade com o art. 51 do Regimento Interno.

4.2.5.De forma mais detalhada, o art. 63 do Regimento estabelece o seguinte:

Art. 63. Os atos de caráter normativo da ANPD serão expedidos por meio de Resoluções, de competência exclusiva do Conselho Diretor,observados os procedimentos relativos à Consulta Pública e à Audiência Pública.

Voto 21 (0137807)SEl 00261.000968/2021-06 / pg. 6

Página 7

precedida de Análise de Impacto Regulatório, que será elaborado nos termos da legislação pertinente, contendo informações e dados sobre os prováveis efeitos do ato, a fim de verificar a razoabilidade do impacto e subsidiar a tomada de decisão.

4.2.6.Por fim, verificado o atendimento aos requisitos formais aplicáveis, bem como que o ato normativo escolhido é adequado ao propósito de regulamentar a transferência internacional de dados, passo à análise de mérito da minuta.

4.3. Aspectos de Mérito

4.3.1. Estrutura e conteúdo da Resolução

4.3.1.1.No que diz respeito à estrutura da Resolução, não promovi alterações, uma vez que está de acordo com o modelo adotado, usualmente,pela ANPD.

4.3.1.2.Com relação à redação, promovi alterações no preâmbulo e no art. 1º, a fim de substituir a expressão “modelo” por “conteúdo”, adequandose o texto à linguagem da LGPD.

4.3.1.3.No art. 2º, proponho alteração do texto para que o Regulamento entre em vigor na data de sua publicação, na forma do art. 18,inciso IV, do Decreto nº 12.002, de 22 de abril de 2024, por considerar que não há circunstâncias aptas a ensejar a previsão de vacatio legis. No caso em tela,a urgência de entrada em vigor da norma se justifica, uma vez que a regulamentação confere amparo jurídico às transferências internacionais de dados.

4.3.1.4.Importa ressaltar que a intervenção regulatória da ANPD tem sido esperada pela sociedade desde o advento da LGPD, o que ressalta a necessidade da entrada em vigor imediata do Regulamento de Transferência Internacional de Dados. A entrada em vigor do Regulamento trará maior segurança jurídica aos agentes de tratamento, permitindo que as operações de tratamento de dados sejam realizadas com segurança jurídica e conformidade. Além disso, assegurará uma proteção mais robusta aos dados dos titulares, fortalecendo os mecanismos de governança e mitigação de riscos associados às transferências internacionais de dados.

4.3.1.5.Este arcabouço jurídico é fundamental para o desenvolvimento sustentável das atividades de tratamento de dados pessoais, promovendo maior confiança no ambiente digital e incentivando o cumprimento das obrigações regulatórias pelos agentes de tratamento.

Voto 21 (0137807)SEI 00261.000968/2021-06 / pg.7

Página 8

4.3.1.6.

Tabela

Redação da Minuta da Resolução	Proposta do Relator
Texto original	Texto incluído/alterado/suprimido
Art. 2º Esta Resolução entre em vigor:	Art. 2º Esta Resolução entra em vigor na data de sua publicação.
I - 12 (doze) meses após a sua data de publicação, quanto aos arts. 14 a 33 do Anexo II; Il - - na data de sua publicação,
quanto aos demais artigos desta norma e do Anexo I e quanto ao Anexo II.

4.3.1.7.Não se olvida, entretanto, a necessidade uma ponderação quanto aos ajustes que devem ser feitos nos instrumentos contratuais,atualmente, utilizados pelos agentes de tratamento para transferências internacionais de dados, a fim de se adequarem às cláusulas-padrão contratuais definidas pela ANPD neste Regulamento.

4.3.1.8.Neste último caso, considerando a complexidade das relações jurídicas que envolvem o tratamento de dados pessoais, é razoável a fixação de prazo para adaptação dos contratos que têm como objetivo reger transferências internacionais de dados.

Tabela

Redação da Minuta da Resolução	Proposta do Relator
Texto original	Texto incluído/alterado/suprimido
Art. 2º (...) (...)	Art. 2º (..) Parágrafo único. Os agentes de tratamento que utilizam cláusulas contratuais para realizar transferências internacionais de dados deverão incorporar as cláusulas-padrão contratuais aprovadas pela ANPD aos seus respectivos instrumentos

Voto 21 (0137807)SEl 00261.000968/2021-06 / pg. 8

Página 9

Tabela

contratuais, no prazo de até 12 (doze) meses, contados da data de publicação desta Resolução.

4.3.1.10.Sendo isto que tinha a analisar, passo às considerações sobre a minuta do Regulamento propriamente dito.

Estrutura do Regulamento (Anexos)

4.3.2.1.Inicialmente, destaco que inseri seções em alguns capítulos do Regulamento, com o intuito de facilitar o entendimento da norma. Ademais,inseri ainda um capítulo ao final para tratar de temática transversal aos assuntos trazidos no regulamento.

Tabela

Redação da Minuta da Resolução	Proposta do Relator
Texto original	Texto alterado
ANEXO - REGULAMENTO DE TRANSFERÊNCIA INTERNACIONAL DE DADOS PESSOAIS CAPÍTULO I - DISPOSIÇÕES GERAIS (...) CAPÍTULO II - DAS DEFINIÇÕES INTERNACIONAL DE DADOS Seção I - Requisitos Gerais Seção II Caracterização da Seção Transferência Internacional de Dados Seção III - Aplicação da Legislação Nacional de Proteção de Dados Pessoais Seção IV - Hipótese legal e Mecanismo de Transferência	ANEXO REGULAMENTO DE TRANSFERÊNCIA INTERNACIONAL DE DADOS PESSOAIS CAPÍTULO I - DISPOSIÇÕES GERAIS Seção I - Objetivo e Escopo Seção II - Diretrizes CAPÍTULO II - DAS DEFINIÇÕES CAPÍTULO III - DA TRANSFERÊNCIA CAPÍTULO II - DA TRANSFERÊNCIA INTERNACIONAL DE DADOS Seção I - Requisitos Gerais Il • Caracterização da Transferência Internacional de Dados Seção III - Aplicação da Legislação Nacional de Proteção de Dados Pessoais Seção IV - Hipótese legal e Mecanismo de Transferência

Voto 21 (0137807)SEI 00261.000968/2021-06 / pg. 9

Página 10

Tabela

CAPÍTULO IV - DA DECISÃO DE CAPÍTULO IV - D A DECISÃO DE ADEQUAÇÃO ADEQUAÇÃO Seção I Disposições Gerais (...) Seção II - Critérios para Avaliação do Nível de Proteção de Dados Pessoais Seção III - Emissão de Decisão de Adequação CAPÍTULO V - DAS CLÁUSULAS- PADRÃO CONTRATUAIS CAPÍTULO V - ĐAS CLÁUSULAS-PADRÃO CONTRATUAIS Seção I - Disposições gerais Seção II Cláusulas-padrão - Seção I - Disposições gerais contratuais equivalentes Seção II Medidas de Transparência Seção III - Cláusulas-padrão Contratuais Equivalentes CAPÍTULO VI - DAS CLÁUSULAS CONTRATUAIS ESPECÍFICAS CAPÍTULO VI - DAS CLÁUSULAS CAPÍTULO CONTRATUAIS ESPECÍFICAS VII - DAS NORMAS CORPORATIVAS GLOBAIS CAPÍTULO VII - ĐAS NORMAS CAPÍTULO VIII - DO PROCESSO DE CORPORATIVAS GLOBAIS APROVAÇÃO DE CLÁUSULAS CAPÍTULO VIII - DISPOSIÇÕES COMUNS CONTRATUAIS ESPECÍFICAS E DE ÀS CLÁUSULAS CONTRATUAIS NORMAS CORPORATIVAS GLOBAIS ESPECÍFICAS E DE NORMAS (...) CORPORATIVAS GLOBAIS Seção I - Procedimento de Aprovação (...) Seção II Medidas de Transparência Seção III Alterações CAPÍTULO IX DISPOSIÇÕES FINAIS

Voto 21 (0137807)SEl 00261.000968/2021-06 / pg. 10

Página 11

dependem de regulamentação pela ANPD, para conferir eficácia aos mecanismos de transferência internacional de dados previstos no art. 33 da LGPD.

4.3.2.4.Os CAPíTuLOS I e ll são pertinentes a todo tipo de regulamento.Tais capítulos apontam, respectivamente, as disposições gerais da norma e definições essenciais à sua interpretação.

4.3.2.5.Já o CAPíTuLO Ill apresenta os requisitos gerais para se realizar uma transferência internacional de dados. É importante ressaltar que o Regulamento adotou uma abordagem sequencial, a fim de estipular um caminho objetivo a ser percorrido pelos agentes de tratamento para realizar uma transferência internacional de dados.

4.3.2.6.Neste sentido, o primeiro passo é a caracterização da Transferência Internacional de Dados. Esta seção explicita quando tal operação ocorre e, de igual modo, quando não se configura, como no caso de coleta internacional de dados pessoais. Ressalta-se que, mesmo nessas situações, deve-se observar as disposições da Lei nº 13.709, de 14 de agosto de 2018, quando verificada uma das hipóteses indicadas no art. 3º da referida Lei.

4.3.2.7.Importa destacar ainda a delimitação das figuras do Exportador e Importador, os quais são essenciais à caracterização de uma Transferência Internacional de Dados, e não correspondem, necessariamente, às figuras do controlador e operador, respectivamente, conforme é possível depreender do conceito estabelecido pelo art. 3º, I e ll, do Regulamento.

4.3.2.8.As transferências internacionais de dados podem ocorrer de diversas formas, com variações nas posições dos agentes de tratamento (controlador e operador) dependendo da operação. Diferentemente dessas variações, as posições das figuras do exportador e importador permanecem constantes: o exportador é o agente que envia os dados, enquanto o importador é aquele que os recebe em uma determinada operação de transferência internacional de dados.

4.3.2.9.O segundo passo é verificar a aplicabilidade da LGPD à operação de tratamento de dados. As disposições do art. 33 são aplicáveis apenas quando a lei se aplica a operação em questão. Para confirmar esta aplicabilidade, o agente de tratamento deve avaliar as situações descritas no art. 3º e 4º da LGPD.

4.3.2.10.Em terceiro lugar, é necessário que o agente de tratamento adote uma hipótese legal para legitimar o tratamento de dados.Considerando que a transferência de dados é uma forma de tratamento,conforme disposto no art. 5º, incisos X e XVI, da LGPD, é inafastável a

Voto 21 (0137807)SEl 00261.000968/2021-06 / pg. 11

Página 12

necessidade de optar por uma hipótese legal, que varia a depender da categoria de dados pessoais objeto do tratamento.

4.3.2.11.Neste sentido, deve-se destacar que a transferência internacional de dados pressupõe a existência de uma hipótese legal adequada para legitimar o tratamento de dados (conforme os artigos 7º e 11ºda LGPD), em conjunto a adoção de mecanismos específicos para transferência internacional de dados, conforme o art. 33 da LGPD e o regulamento em aprovação.

4.3.2.12.A efetiva utilização de hipótese legal adequada, associada aos mecanismos de transferência internacional de dados, pode auxiliar na conformidade e proteção dos dados pessoais nas transferências internacionais de dados, assegurando a observância das disposições legais e regulatórias aplicáveis.

4.3.2.13.Ultrapassadas tais questões, chega-se ao momento de escolher um dos mecanismos de transferência internacional de dados previstos no art.33 da LGPD, cabendo ressaltar que não há ordem de preferência entre eles,podendo o agente de tratamento optar pelo mecanismo que entender pertinente.

4.3.2.14.É importante destacar que, apesar da ausência de hierarquia entre os mecanismos, alguns podem ser adotados imediatamente pelos agentes de tratamento, enquanto outros, devido à necessidade de aprovação prévia pela ANPD, podem requerer um período de espera maior. Esta distinção deve ser considerada na escolha do mecanismo, especialmente quando houver demandas urgentes ou específicas que exijam uma rápida adequação.

4.3.2.15.Em especial no que toca aos mecanismos, salienta-se que o Regulamento não dispõe sobre selos, certificados e códigos de conduta (art.33, inciso II, alínea “d”, da LGPD), uma vez que se entendeu não ser o momento oportuno para regulamentação de tais mecanismos, sendo que, no futuro, tais mecanismos poderão ser devidamente regulamentados pela ANPD.

4.3.2.16.Os CAPíTULOS IV, V, VI e VII dispõem sobre os mecanismos de transferência internacional de dados, estabelecendo conceitos, características,procedimentos e requisitos específicos para cada um deles.

4.3.2.17.O CAPíTuLo VIIl aponta o procedimento para aprovação das cláusulas específicas e normas corporativas globais, bem como dispõe sobre medidas de transparência e alterações dos instrumentos.

Voto 21 (0137807)SEl 00261.000968/2021-06 / pg. 12

Página 13

de reconsideração, a fim de abarcar a possibilidade da sua interposição também com relação ao pedido de aprovação de cláusulas equivalentes e solicitação de emissão de decisão de adequação pela ANPD.

4.3.2.19.Pelo exposto, verifico que, do ponto de vista da estrutura normativa, a minuta atende ao objetivo proposto, uma vez que regulamenta os pontos omissos da LGPD, conferindo aplicabilidade prática aos dispositivos legais.

Passo então à análise do conteúdo do Regulamento.

4.3.3. Conteúdo do Regulamento (Anexo I)

4.3.3.1.Preliminarmente, destaca-se que o documento analisado (013o203) passou por alterações de ordem meramente redacional, sem implicações substantivas, com o objetivo de tornar mais clara a redação dos dispositivos e uniformizar as terminologias utilizadas. Cabe ressaltar que tais modificações não serão apresentadas de forma individualizada no presente voto. Contudo, a fim de facilitar a identificação das modificações propostas,todas as alterações foram consolidadas na versão com marcas (0138959)juntada ao processo. A versão final sem marcas também foi juntada (0138965).

4.3.3.2.Informo ainda que, houve necessidade de renumerar os artigos em função da realocação de dispositivos.

4.3.3.3.No que diz respeito ao mérito da minuta do Regulamento,examinarei a seguir os aspectos de maior relevância, em especial, no que toca às alterações de cunho substancial.

4.3.3.4.Com relação às questões não levantadas neste voto, em homenagem ao princípio da eficiência, acolho a fundamentação adotada pela área técnica, constantes da Nota Técnica nº 214/2024/CON1/CGN/ANPD (0121143) e Nota Técnica nº 218/2024/CON1/CGN/ANPD (0129083), no que couber.

ANEXO I REGULAMENTO DE TRANSFERÊNCIA INTERNACIONAL DE DADOS CAPÍTULO III - TRANSFERÊNCIA INTERNACIONAL DE DADOS

Seção IIl - Aplicação da Legislação Nacional de Proteção de Dados Pessoais

· Artigo 7º

Voto 21 (0137807)SEl 00261.000968/2021-06 / pg. 13

Página 14

dispôs sobre as exceções de aplicação à LGPD.

4.3.3.6.Conforme depreende-se da Nota Técnica nº214/2024/CON1/CGN/ANPD (0121143), houve contribuições da sociedade no sentido de serem previstas exceções à aplicação da LGPD. Neste sentido,entendo que a matéria é pertinente ao contexto do presente Regulamento.

4.3.3.7.A redação atual da LGPD não é suficientemente clara quanto às condições específicas de exceções de aplicação para transferências internacionais de dados, o que pode dificultar o fluxo entre jurisdições,inclusive comprometendo a avaliação de emissão decisão de adequação por outros países em favor do Brasil.

4.3.3.8.A falta de clareza na redação, ademais, pode gerar incertezas e obstáculos para os agentes de tratamento, impactando negativamente a conformidade das operações de tratamento de dados. Por este motivo, incluíuma proposta de dispositivo no Regulamento, visando esclarecer essa lacuna.Esta inclusão é imperativa para garantir um ambiente regulatório favorável ao fluxo de dados, ao mesmo tempo que assegura a proteção dos titulares.

4.3.3.9.O artigo proposto tem, portanto, o objetivo de regulamentar e estabelecer a interpretação do art. 4º, IV, da LGPD. Este dispositivo legal excepciona a aplicação da LGPD no caso de dados provenientes do exterior,desde que atendidas determinadas condições. A redação é a seguinte:

Art. 4º Esta Lei não se aplica ao tratamento de dados pessoais:

IV - provenientes de fora do território nacional e que não sejam objeto de comunicação, uso compartilhado de dados com agentes de tratamento brasileiros ou objeto de transferência internacional de dados com outro país que não o de proveniência, desde que o país de proveniência proporcione grau de proteção de dados pessoais adequado ao previsto nesta Lei.

4.3.3.10.É importante ressaltar que a exceção de aplicação da LGPD estabelecida no art. 4º, IV, deve ser lida em conjunto com o art. 3º, inciso I, e §2º, da LGPD. Confira-se:

Art. 3º Esta Lei aplica-se a qualquer operação de tratamento realizada por pessoa natural ou por pessoa jurídica de direito público ou privado,independentemente do meio, do país de sua sede ou do país onde estejam localizados os dados, desde que:

Página 15

I - a operação de tratamento seja realizada no território nacional;

§ 2º Excetua-se do disposto no inciso I deste artigo o tratamento de dados previsto no inciso IV do caput do

art.4º desta Lei.

4.3.3.11.Portanto, numa leitura conjunta e sistemática desses dois dispositivos, verifica-se que o art. 4º, IV, cria uma exceção à regra geral de que a LGPD se aplica quando houver tratamento no território nacional. Por isso, a redação do caput do artigo proposto se inicia reafirmando a regra geral, isto é,a de que a LGPD se aplica aos dados provenientes do exterior sempre que estes sejam objeto de tratamento no Brasil.

4.3.3.12.Por sua vez, o § 1º do artigo proposto apresenta as duas hipóteses e as respectivas condições que devem ser atendidas para que a exceção seja aplicável, sendo elas:

4.3.3.13.(i) o simples trânsito de dados pessoais, sem a ocorrência de comunicação ou uso compartilhado de dados com agente de tratamento situado em território nacional; ou

4.3.3.14.(ii) o retorno dos dados exclusivamente ao país ou organismo internacional de proveniência, desde que este país ou organismo seja reconhecido como adequado pela ANPD, que seja aplicável ao caso a legislação do país estrangeiro ou organismo internacional e que a decisão de adequação tenha previsto expressamente a situação específica em que a LGPD não será aplicável.

4.3.3.16.A primeira hipótese (“trânsito de dados pessoais”) decorre da menção a dados provenientes do exterior que não sejam “objeto de comunicação” e “uso compartilhado de dados com agentes de tratamento brasileiros”. Assim, entende-se que o dispositivo se refere ao trânsito de dados pessoais, ou seja, uma simples passagem dos dados pelo Brasil com destino a outro país ou organismo internacional. Nesta hipótese, por não haver propriamente um tratamento de dados no Brasil, não há aplicação da LGPD à operação, de forma coerente, inclusive, com o que estabelece o art. 3º,I, da LGPD.

Voto 21 (0137807)SEl 00261.000968/2021-06 / pg. 15

Página 16

dispositivo regulamentar com a definição de “transferência internacional de dados” prevista na LGPD (art. 5º, XV). A referência a “organismo internacional”consta também do art. 34 da LGPD, que estabelece os critérios para a avaliação do nível de proteção de dados do “país estrangeiro ou organismo internacional” para fins de emissão de decisão de adequação pela ANPD.

4.3.3.18.A segunda hipótese (“retorno dos dados exclusivamente ao país ou organismo de proveniência”) está prevista na segunda parte do inciso IV do art. 4º da LGPD e apresenta três condições:

4.3.3.19.(i) Inicialmente, o dispositivo se refere a dados provenientes do exterior que “não sejam [.….] objeto de transferência internacional de dados com outro país que não o de proveniência [..]”. A forma negativa utilizada indica, a contrário sensu, que a transferência internacional deve ser exclusivamente para o país de proveniência. Ou seja, ao mencionar que os dados não devem ser objeto de transferência “a outro país que não o de proveniência”, o art. 4º,IV, da LGPD, exige que, para a incidência da exceção, os dados devem retornar somente ao próprio país de proveniência. Esta condição está prevista no inciso Il do artigo proposto;

4.3.3.20.(ii) A segunda condição é que seja aplicável ao caso a legislação do país ou do organismo internacional reconhecido como adequado. Essa previsão decorre da própria referência à adequação do país ou organismo internacional e afasta expressamente uma situação de não aplicação de nenhuma legislação protetiva sobre a operação de transferência internacional de dados;

4.3.3.21.(iii) Por fim, o art. 4º, IV, da LGPD, exige que o país de proveniência seja reconhecido como adequado por decisão da ANPD, condição esta detalhada nas alíneas “a” e “c” do inciso Il do § 1º e no § 2º do artigo proposto.

4.3.3.22.Importante ressaltar que, ao se referir à necessidade de que o país de proveniência seja reconhecido como adequado, o dispositivo legal (art. 4º, IV, da LGPD) remete ao conteúdo da própria decisão de adequação.Nesse sentido, o art. 34, IV, da LGPD, estabelece os critérios que devem ser considerados pela ANPD para avaliar o nível de proteção de dados de país estrangeiro ou organismo internacional, incluindo, entre outros, a observância dos princípios gerais de proteção de dados, a existência de garantias judiciais e institucionais e outras circunstâncias específicas relativas à transferência.Por sua vez, a minuta de Regulamento de Transferência Internacional prevê a possibilidade de estabelecimento de “condicionantes” na decisão de adequação.

Voto 21 (0137807)SEl 00261.000968/2021-06 / pg. 16

Página 17

quando assim expressamente prevista na própria decisão de adequação.Trata-se de interpretação restritiva e mais protetiva aos direitos dos titulares,que confere maior segurança jurídica à aplicação da legislação nacional e respeito à soberania do país.

4.3.3.24.Dessa forma, a decisão e a interpretação sobre a incidência da exceção legal serão realizadas pela própria ANPD - e não pelas organizações que realizam transferências internacionais de dados. Ademais, a interpretação será específica para determinados casos excepcionais, objeto de motivação pela autoridade e divulgação pública. Com isso, são afastados os riscos de interpretações indevidas e amplas ou, ainda, de criação de zonas cinzentas nas quais determinadas operações com dados pessoais no Brasil não estariam submetidas ao regime jurídico protetivo da LGPD.

4.3.3.25.Nesta linha, vale enfatizar que o § 2º do artigo proposto assegura que a LGPD não poderá ser excepcionada diante de situações que possam violar ou colocar em risco a observância dos princípios gerais de proteção de dados pessoais e os direitos dos titulares previstos na legislação nacional. Trata-se de critério essencial e limitador, que deverá ser necessariamente considerado pela ANPD na eventual hipótese de reconhecimento da não aplicação da LGPD a determinadas transferências internacionais de dados para país ou organismo internacional que possua nível de proteção de dados pessoais adequado ao previsto na legislação nacional.

4.3.3.26.Com base na fundamentação supramencionada, proponho a seguinte redação:

Tabela

Redação da Minuta da Resolução	Proposta do Relator
Texto original	Texto incluído/alterado/suprimido
(..) Voto 21 (0137807) SEI 00261.000968/2021-06 / pg. 17	Art. 8º Aplica-se a Lei nº 13.709, de 14 de agosto de 2018, aos dados pessoais provenientes do exterior sempre que estes sejam objeto de tratamento no território nacional. § 1º A Lei nº 13.709, de 14 de agosto de 2018, não se aplica aos dados pessoais provenientes do exterior somente quando ocorrer: I - trânsito de dados pessoais, sem a ocorrência de comunicação ou uso

Página 18

Tabela

compartilhado de dados com agente de tratamento situado em território
nacional; ou
Il - retorno dos dados pessoais, objeto de tratamento no território nacional, exclusivamente ao país ou organismo
internacional de proveniência, desde que:
a) o país ou organismo internacional de
proveniência proporcione grau de proteção de dados pessoais adequado,
	reconhecido por decisão da ANPD;
	b) a legislação do país ou as normas
realizada; e	aplicáveis ao organismo internacional de proveniência se apliquem à operação
	c) a situação específica e excepcional de não aplicação da Lei nº 13.709, de 14 de
	agosto de 2018, esteja expressamente
referida na alínea “a”.	prevista na decisão de adequação
	§ 2º Para fins do inciso Il do § 1º, a
ANPD não excepcionará a aplicação da Lei nº 13.709, de 14 de agosto de 2018,	decisão de adequação emitida pela
em situações que possam violar ou
colocar em risco a observância dos princípios gerais de proteção de dados
pessoais e os direitos dos titulares
previstos na legislação nacional.
§ 3º A não aplicação da Lei nº 13.709, de 14 de agosto de 2018, nas hipóteses previstas neste artigo não afasta a necessidade de observância de outras

Voto 21 (0137807)SEI 00261.000968/2021-06 / pg. 18

Página 19

Tabela

leis ou regulamentos, especialmente os que dispõem sobre inviolabilidade e sigilo das comunicações, requisitos técnicos e de segurança e acesso a dados por autoridades públicas.

CAPÍTULO IV - DECISÃO DE ADEQUAÇÃO

· Art. 9º exclusão do parágrafo único

4.3.3.27.O parágrafo único foi inserido após consulta pública,considerando que havia contribuições no sentido de ser inserida a expressão “nível de proteção funcionalmente equivalente”.

4.3.3.28.O caput do dispositivo trata do mecanismo da decisão de adequação. Trata-se de mecanismo no qual a ANPD avalia o nível de proteção de dados pessoais de país estrangeiro ou de organismo internacional, a partir dos critérios estabelecidos no art. 34 da LGPD.

4.3.3.29.O dispositivo proposto especifica que a adequação pressupõe a equivalência substancial entre a legislação brasileira e o país ou organismo internacional de destino dos dados. Esta previsão, no meu entendimento,pode gerar interpretações equivocadas quanto à expressão “equivalência do nível de proteção”.

4.3.3.30.Isto porque a equivalência pretendida, frise-se, é do nível de proteção de dados pessoais e não da legislação do país ou organismo internacional de destino. A partir da análise da legislação do destinatário, a ANPD verificará a equivalência ou não do nível de proteção de dados pessoais como um todo.

4.3.3.31.Isto significa dizer que a análise da legislação, que naturalmente não é equivalente, em razão das especificidades de cada ordenamento jurídico, é o meio para se chegar à conclusão pela equivalência ou não do nível de proteção. Ademais, a ANPD pode determinar condicionantes na decisão de adequação para que o país ou organismo internacional alcance o nível de proteção adequado, conforme preceitua o art. 12, inciso lI, do Regulamento.

Tabela

Redação da Minuta da Resolução	Proposta do Relator
Texto original	Texto incluído/alterado/suprimido

Página 20

Tabela

Art. 9º (...) legislação brasileira e a do país ou organismo internacional avaliado, o que poderá ser reconhecido ainda que estes adotem regras eprocedimentos distintos daqueles procedimentos distintos daquelesprevistos na Lei nº 13.709, de 14 de previstos na Lei nº 13.709, de 14 deagosto de 2018. agosto de 2018.

Art. 10 (...) Parágrafo único. A adequaçãoParágrafo único. A adequação referida referida no caput pressupõe ano caput pressupõe a equivalência equivalência substancial entre asubstancial entre a legislação brasileira e a do país ou organismo internacional avaliado, o que poderá ser reconhecido ainda que estes adotem regras e

· Art. 10 exclusão dos parágrafos 4º e 5º

4.3.3.33.Os parágrafos 4º e 5º do art. 10 foram propostos segundo o entendimento de que seria necessária a indicação de critérios adicionais aos previstos no Regulamento. Entretanto, no atual estágio de maturidade da norma, verifico que os critérios constantes do dispositivo, somados aos parágrafos 1º, 2º e 3º, são suficientes para regulamentar o tema.

4.3.3.34.Além disso, por conveniência e oportunidade, a ANPD poderáemitir materiais, documentos e guias para auxiliar na interpretação e aplicação das normas de proteção de dados, conforme preceitua o art. 55-J,XVIII e XX, da LGPD. Estes instrumentos complementares poderão ser elaborados sem a necessidade de que tal previsão esteja expressamente indicada no Regulamento, proporcionando maior flexibilidade na resposta às demandas e evoluções do cenário regulatório.

Tabela

Redação da Minuta da Resolução	Proposta do Relator
Texto original	Texto incluído/alterado/suprimido
Art. 10 (...) § 4º A ANPD poderá dispor, por meio de orientações ou normasorientações ou normas complementares, complementares, sobre os critériossobre os critérios de avaliação do nível de avaliação do nível de proteçãode proteção de dados pessoais, de dados pessoais, previstos noprevistos no caput deste artigo. caput deste artigo.	Art. 11 (...) § 4º A ANPD poderá dispor, por meio de

Voto 21 (0137807)SEl 00261.000968/2021-06 / pg. 20

Página 21

Tabela

§ 5º As orientações e normascomplementares mencionadas no § 4º complementares mencionadas no § | 4º serão desenvolvidas com af finalidade de fornecer diretrizes técnicas, jurídicas e organizacionais que subsidiem a correta aplicação dos critérios de adequação, visando à proteção dos direitos e garantias dos titulares.	§ 5º As orientações e normas serão desenvolvidas com a finalidade de fornecer diretrizes técnicas, jurídicas e organizacionais que subsidiem a correta aplicação dos critérios de adequação, visando à proteção dos direitos e garantias dos titulares.

Art. 12 alteração do parágrafo primeiro e

afo primeiro e exclusão do parágrafo terce

4.3.3.36.No que concerne ao parágrafo primeiro, considerando a decisão de adequação envolve o reconhecimento de outro país como adequado, para fins de realização de transferências internacionais de dados, é pertinente que outros órgãos e entidades da Administração Pública com competências afetas ao tema possam se manifestar durante o processo. Assim, a redação amplia a possibilidade de inclusão de atores relevantes ao processo, como outros Ministérios além do MRE.

4.3.3.37. A decisão da ANPD pode causar impacto em diversos setores,sendo certo que tais órgãos e entidades podem apresentar perspectivas e cenários valiosos, que podem subsidiar a avaliação da ANPD. Por este motivo,proponho a alteração do dispositivo para endereçar possibilidade de participação de outros atores no processo.

4.3.3.38.No mais, pelos motivos já expostos no tópico anterior, entendo ser desnecessária a edição de normas complementares ou inclusão de critérios adicionais para a plena entrada em vigor das normas relativas à decisão de adequação. Por esse motivo, proponho a exclusão do parágrafo terceiro.

Tabela

Redação da Minuta da Resolução	Proposta do Relator
Texto original	Texto incluído/alterado/suprimido
Art. 12 (...) § 1º O Ministério das Relações§ 1º Os órgãos e entidades da Exteriores será cientificado daAdministração	Art. 13 (...) Pública com instauração do processo, sendo-lhecompetências afetas ao tema poderão facultada a apresentação de|ser cientificados da instauração do

Voto 21 (0137807)SEI 00261.000968/2021-06 / pg. 21

Página 22

Tabela

manifestação nos autos, no âmbito de suas competências legais. (...) § 3º O Conselho Diretor poderá editar normas complementares sobre o procedimento de emissão de decisão de adequação, bem como sobre o procedimento de proteção e de revisão da decisão dedecisão de adequação. adequação.

processo, sendo-lhes facultada a apresentação de manifestação, no âmbito de suas competências legais. (...) § 3º O Conselho Diretor poderá editar normas complementares sobre o procedimento de emissão de decisão de adequação, bem como sobre o procedimento de reavaliação periódica reavaliação periódica do nível dedo nível de proteção e de revisão da

Seção III - Cláusulas-padrão Contratuais Equivalentes

· Art. 17 Alteração parágrafo terceiro

4.3.3.39.Considerando a similitude da questão, adoto a motivação disposta acima para justificar a alteração promovida no dispositivo. Neste sentido, proponho a seguinte redação:

Tabela

Redação da Minuta da Resolução	Proposta do Relator
Texto original	Texto incluído/alterado/suprimido
Art. 17 (...) §3º O Ministério das Relações Exteriores será cientificado daAdministração instauração do processo, sendo-lhecompetências afetas ao tema poderão facultada a apresentação de manifestação nos autos, no âmbito de suas competências legais.	Art. 18 (...) §3º Os órgãos e entidades da Pública com ser cientificados da instauração do processo, sendo-lhes facultada a apresentação de manifestação, no âmbito de suas competências legais.

Voto 21 (0137807)SEI 00261.000968/2021-06 / pg. 22

Página 23

4.3.3.40.A minuta ora analisada prevê a que as cláusulas-padrão contratuais reconhecidas como equivalentes serão aprovadas por Despacho Decisório. Considerando, entretanto, que as cláusulas-padrão serão aprovadas por Resolução, por paralelismo, os demais mecanismos de transferências internacionais devem ser aprovados pelo mesmo instrumento.

4.3.3.41.Quanto ao parágrafo terceiro, proponho a sua exclusão, uma vez que, as disposições constantes do Capítulo V aplicam-se às cláusulas equivalentes, independentemente, da iniciativa para instauração do procedimento para reconhecimento da equivalência (de ofício ou a requerimento dos interessados), uma vez que se configuram um tipo de cláusula-padrão, conforme preceitua o art. 19, parágrafo único. O único dispositivo que não se aplica é o parágrafo quarto do art. 17, o que é evidente já que ele se refere ao “requerimento”.

Tabela

Redação da Minuta da Resolução	Proposta do Relator
	Texto original	Texto incluído/alterado/suprimido
Art. 19. As cláusulas-padrão contratuais reconhecidas como equivalentes serão aprovadas por Despacho Decisório do Conselho ao ofício pela ANPD.	Diretor e publicadas na página dana Internet. ANPD na Internet. § 3º As disposições constantes neste Capítulo aplicam-se, no que couber, procedimento de reconhecimento de equivalência de cláusulas-padrão instaurado de	Art. 20. As cláusulas-padrão contratuais reconhecidas como equivalentes serão aprovadas por Resolução do Conselho Diretor e publicadas na página da ANPD § 3º As disposições constantes neste Capítulo aplicam-se, no que couber, ao procedimento de reconhecimento de equivalência de cláusulas-padrão instaurado de ofício pela ANPD.

CAPÍTULO VII - DAS NORMAS CORPORATIVAS GLOBAIS

· Art. 24 -Exclusão do parágrafo segundo

4.3.3.42.A minuta trouxe previsão da possibilidade de as entidades sem fins lucrativos poderem se valer das normas corporativas globais. Entretanto,tal previsão amplia, indevidamente, a incidência das normas corporativas. As NCG’s são essencialmente pensadas para grandes empresas, refletindo suas estruturas e necessidades complexas, conforme indicado pelo termo

Voto 21 (0137807)SEl 00261.000968/2021-06 / pg. 23

Página 24

“corporativas”.

4.3.3.43.O próprio conceito de NcG está, intrinsecamente, relacionado a aspectos econômicos, o que é incompatível com a natureza e os objetivos das entidades sem fins lucrativos. A extensão, portanto, da aplicação a estas entidades desvirtua o propósito do mecanismo, e pode gerar confusões e dificuldades na implementação e conformidade regulatória.

4.3.3.44.Por essas razões, entendo pela importância de restringir a aplicação das NcG’s às corporações, preservando a eficácia e aplicabilidade das Normas Corporativas Globais.

Tabela

Redação da Minuta da Resolução	Proposta do Relator
Texto original	Texto incluído/alterado/suprimido
Art. 24 (...) §2º As disposições constantes neste Capítulo aplicam-se às entidades sem fins lucrativos.	Art. 25 (...) §2º As disposições constantes neste Capítulo aplicam-se às entidades sem fins lucrativos.

· Art. 26 Alteração do parágrafo primeiro

4.3.3.46.A minuta traz o termo “em prazo razoável”, para fins de obrigação de notificação à entidade responsável sempre que um membro do grupo ou conglomerado de empresas situado em outro país esteja submetido a uma determinação legal que impeça o cumprimento das normas corporativas, ressalvada a hipótese de expressa proibição legal de realizar essa notificação. Entretanto, entendo que o termo “imediata”, utilizado anteriormente, é mais adequado ao contexto da situação, motivo pelo qual proponho a alteração.

4.3.3.47.A proposta indica a obrigação de notificação imediata quanto às alterações nas garantias apresentadas como suficientes à observância dos princípios, dos direitos do titular e do regime de proteção de dados previsto na LGPD, quando um membro do grupo situado em outro país estiver submetido a uma determinação legal que impeça o cumprimento das normas corporativas.

Voto 21 (0137807)

SEl 00261.000968/2021-06 / pg. 24

Página 25

urgência, ou seja, tão logo identificada. Isto porque se trata de alterações nas garantias apresentadas pelas NCG’s aprovadas pela ANPD, as quais representam, no contexto específico do comando regulamentar, diminuição da proteção dos princípios, direitos dos titulares e do regime de proteção de proteção de dados conferido pela LGPD.

4.3.3.49.Vale ressaltar que a notificação é feita à entidade responsável,que, segundo disposto no art. 3º, inciso VII, do Regulamento, “é a sociedade empresária, com sede no Brasil, que responde por qualquer violação de norma corporativa global, ainda que decorrente de ato praticado por um membro do grupo ou conglomerado de empresas com sede em outro país.”

4.3.3.50.Neste sentido, a depender da natureza da alteração, é possível que seja necessário revogar a aprovação da NcG ou impor condicionantes.Considerando o papel da entidade responsável perante ANPD, a sua notificação, o quanto antes, é crucial para que a ANPD possa, eventualmente,tomar as medidas necessárias ao resguardo dos direitos dos titulares.

4.3.3.51.No mais, permitir a notificação em prazo razoável abriria espaço para interpretações, o que poderia vulnerabilizar a proteção dos direitos dos titulares. Assim, o quanto antes a entidade responsável for notificada, mais rápido poderá a ANPD atuar, se for o caso.

4.3.3.52.Por tais motivos, proponho a alteração do dispositivo, na forma indicada abaixo:

Tabela

Redação da Minuta da Resolução	Proposta do Relator
Texto original	Texto incluído/alterado/suprimido
Art. 26 (...) § 1º Para fins de cumprimento do inciso VIII, a norma corporativa global deve prever obrigação de notificação em prazo razoável à entidade responsável sempre que um membro situado em outro país esteja submetido a uma determinação legal que impeça o cumprimento das obrigações corporativas, ressalvada a hipótese de expressa proibição legal de realizar essa notificação.	Art. 27 (...) § 1º Para fins de cumprimento do inciso VIII, a norma corporativa global deve prever obrigação de notificação imediata à entidade responsável sempre que um membro do grupo ou conglomerado de empresas situado em outro país esteja submetido a uma determinação legal que impeça o cumprimento das normas corporativas, ressalvada a hipótese de expressa proibição legal de realizar essa notificação.

Voto 21 (0137807)SEl 00261.000968/2021-06 / pg. 25

Página 26

CAPÍTULO VIII- DO PROCESSO DE APROVAÇÃO DE CLÁUSULAS CONTRATU ESPECÍFICAS E NORMAS CORPORATIVAS GLOBAIS

· Art. 28 exclusão dos parágrafos primeiro e segundo e inserção do inciso III

4.3.3.53.Trata-se de alterações realizadas na minuta após consulta pública. Segundo a Nota Técnica nº 214/2024/CON1/CGN/ANPD, a intenção foi de “4.284 (.….) contemplar, ainda que de forma mitigada, as NGCs já aprovadas por países terceiros. Assim, foi dada a faculdade ao controlador que procurar aprovação de NCG junto à ANPD, visando a validade em território nacional,anexe no processo aquela já admitida internacionalmente.”

4.3.3.54.A proposta de inserção dos parágrafos primeiro e segundo endereça a preocupação louvável da sociedade. É importante explicar,entretanto, que a proposta posta à consulta pública não entra em detalhes sobre qual documento deve ser submetido à aprovação da ANPD, uma vez que se trata de questões afetas ao juízo do peticionante.

4.3.3.55.O inciso I, do então art. 28 determina que o requerimento deverá ser instruído com a íntegra da norma corporativa global. Dessa forma,não vislumbro empecilho à instrução do requerimento com uma NcG que foi aprovada por outra Autoridade. Cabe destacar, de toda forma, a necessidade do preenchimento dos requisitos do Capítulo VIl do Regulamento, conforme preceitua o inciso Ill do referido artigo, o que pode ser demonstrado, inclusive por eventuais aditivos à NcG, ser for o caso.

4.3.3.56.A substância avulta, portanto, sobre a forma, cabendo ao agente de tratamento decidir acerca do documento que será apresentado no requerimento de aprovação, bem como da sobre a forma pela qual demonstrará o atendimento dos requisitos do Capítulo Vll do Regulamento.

4.3.3.57.A seguir, o art. 29, inciso I, dispõe que o requerimento “seráanalisado pela área técnica competente, nos termos do Regimento Interno da ANPD, que se manifestará sobre o mérito do pedido, indicando, se for o caso, as condicionantes a serem observadas”.

4.3.3.58.Neste sentido, caso a ANPD entenda pela necessidade de ajustes, serão impostas condicionantes para utilização da NcG posta àaprovação.

4.3.3.59.Feitas essas considerações, e tendo em vista que as preocupações ventiladas já se encontram endereçadas no texto da norma,proponho a sua exclusão.

Página 27

estabelecer a necessidade de instrução o processo, se for o caso, com cópia da decisão da autoridade de proteção de dados que tenha aprovado a norma corporativa global objeto do requerimento de aprovação, a fim de subsidiar a análise da ANPD.

Tabela

Redação da Minuta da Resolução	Proposta do Relator
Texto original	Texto incluído/suprimido/alterado
Art. 28. (...)	Art. 29. (...)
(...)	(...)
(...)	III - se for o caso, cópia da decisão da
autoridade de proteção de dados que	tenha aprovado as cláusulas específicas
ou normas corporativas globais objeto	do requerimento de aprovação; e
§1º O agente de tratamento	vinculado a grupo ou conglomerado
sitos estabelecidos − neste R	a normas corporativas globais
aprovadas em outras jurisdições	outras jurisdições poderá submeter tais
poderá submeter tais normas ao	exame da ANPD, acompanhadas,
acompanhadas, quando necessário, de	quando necessário, de eventuais
eventuais aditamentos a serem firmados	aditamentos a serem firmados para
para assegurar o cumprimento dos	assegurar o cumprimento dos
requisitos	estabelecidos
requisitos estabelecidos	neste
Regulamento.	Regulamento.
§2º Na hipótese prevista no §1º, a	área técnica da ANPD indicará
técnica da ANPD indicará eventuais	eventuais condicionantes a serem
condicionantes a serem incluídas no	incluídas no próprio aditamento

Voto 21 (0137807)SEl 00261.000968/2021-06 / pg. 27

Página 28

Tabela

apresentado, com o objetivo de objetivo de viabilizar a manutenção das viabilizar a manutenção das normas normas corporativas globais já corporativas globais já existentes. existentes.

· Art. 34 Alteração do caput e realocação de dispositivo

4.3.3.62.O dispositivo traz previsão acerca da resolução de casos omissos no Regulamento. A competência para resolução de situações, eventualmente,não previstas em Regulamentos da ANPD decorre do Regimento Interno da ANPD e da própria LGPD, que estabelece, sem em art. 55-J, inciso XX, a competência da ANPD para “deliberar, na esfera administrativa, em caráter terminativo, sobre a interpretação desta Lei, as suas competências e os casos omissos.” Neste sentido, proponho a exclusão do dispositivo.

4.3.3.63.Ato contínuo proponho a realocação da temática tratada no art.30 para a seção de Disposições Finais, a fim de abarcar a possibilidade de interposição de pedido de reconsideração também das decisões do Conselho Diretor nos procedimentos de solicitação de emissão de decisão de adequação e de requerimento de aprovação de cláusulas-padrão equivalentes.

Tabela

Redação da Minuta da Resolução	Proposta do Relator
Texto original	Texto incluído/alterado/suprimido
Art. 34. Os casos omissos neste Regulamento serão resolvidos pelo Conselho Diretor da ANPD. (...)	Art. 34. Caberá reconsideraçãodas Conselho Diretor, fundamentado, no prazo de 10 (dez) pelo interessado, na forma do art. 12 do Anexo da Resolução CD/ANPD nº 1, de 28 de outubro de 2021, nos procedimentos instaurados para: I - emissão de decisão de adequação; cláusulas-padrão contratuais; ou III aprovação	pedido de decisões do devidamente dias úteis, contados da ciência oficial Il - reconhecimento de equivalência de de cláusulas

Página 29

Tabela

contratuais específicas e normas corporativas globais. Parágrafo único. O pedido de reconsideração será distribuído e tramitará na forma do Regimento Interno da ANPD.

Estrutura do Regulamento (Anexo II - Cláusulas-padrão contratuais)

4.3.3.64.No que concerne à estrutura das cláusulas-contratuais padrão,faço referência ao disposto no Relatório de Análise de Impacto Regulatório (0051803), o qual justifica a escolha pela alternativa que apresenta o modelo de cláusulas com menor flexibilidade. Senão vejamos:

8.3 Análise de impactos e comparação das alternativas identificadas

215. Quanto à alternativa B, tendo em vista o momento de construção cultural e institucional com relação àproteção de dados pessoais no Brasil, a adoção de cláusulas-padrão contratuais com maior rigidez tem potencial de apresentar maior padronização e consequente maior rapidez na regularização dos fluxos de dados transfronteiriços, implicando maior segurança jurídica e em um menor esforço da ANPD em termos de fiscalização e monitoramento do atendimento dos preceitos fixados na legislação.

216. Essa abordagem pode facilitar o livro fluxo de informações e a regularização das transferências internacionais de dados, além de trazer maior proteção aos titulares de dados pessoais, tendo em vista a impossibilidade de flexibilização dos princípios, garantias e direitos previstos no modelo disponibilizado.

217. Embora o endereçamento dos instrumentos contratuais esteja de acordo com o princípio da responsabilidade e prestação de contas (accountability),que exige que os agentes de tratamento sejam responsáveis e possam demonstrar conformidade com os

Voto 21 (0137807)SEI 00261.000968/2021-06 / pg. 29

Página 30

princípios relativos ao tratamento de dados pessoais, elas podem exigir um custo de adequação elevado,especialmente para as pequenas e médias empresas.

218. Por outro lado, tais custos podem ser encarados como investimentos, especialmente considerando os efeitos negativos da ausência de conformidade de tratamento às regras de proteção de dados que são sentidos além das sanções, afetando também a reputação das organizações, dificultando a internacionalização.Desse modo, aquele agente que porventura não esteja em conformidade com os tratamentos de dados, pode vir a ser penalizado pelo próprio mercado na cadeia de tratamento de dados.

219. De acordo com o art. 35 da LGPD, as cláusulas-padrão contratuais são o único caso dentre os mecanismos de transferência internacional para o qual a ANPD deve fornecer um modelo ou conteúdo. Nesse sentido, caso jáhaja contratos prévios assinados entre exportadores e importadores, pode ser necessário prever um período de transição ou forma de recepção de cláusulas já negociadas e vigentes, de forma a reduzir o impacto de renegociações contratuais na atividade econômica.

4.3.3.65.Importante mencionar ainda o quadro constante do Anexo (0051806), o qual apresenta comentários acerca de cada uma das cláusulas,demonstrando as razões pela qual a ANPD entendeu pelo formato e conteúdo adotado.

Conteúdo do Regulamento (Anexo II - Cláusulas-padrão contratuais)

· Cláusula 16 alteração do item 16.1 e exclusão do item 16.2

4.3.3.66.Trata-se de cláusula que dispõe sobre a necessidade da comunicação de incidente de segurança que possa acarretar risco ou dano relevante aos titulares. Considerando que foi publicada a Resolução CD/ANPD nº15, de 24 de abril de 2024, que aprovou o Regulamento de Incidente de Segurança - RCiS, proponho a alteração no texto da cláusula, a fim de adequá-la ao texto do Regulamento.

Proposta do Relator

Voto 21 (0137807)SEI 00261.000968/2021-06 / pg. 30

Página 31

Tabela

Texto original

Texto incluído/alterado/suprimido

16.1. Em caso de incidente de 16.1. A Parte Designada deverá . segurança que possa acarretar risco ou dano relevante para os Titulares, a Parte Designada deverá comunicá- la à ANPD e aos Titulares, conforme previsto no Regulamento de Comunicação de Incidente de Segurança - RCIS -, aprovado pela Resolução CD/ANPD nº 15, de 24 de abril de 2024. 16.2. A comunicação à ANPD e a0s16.2. A comunicação à ANPD e a0s Titulares será realizada no prazo eTitulares será realizada no prazo e nos nos moldes definidos pelo Regulamento de Comunicação de Incidente de Segurança, no queno que couber. couber.

comunicar à ANPD e aos Titulares, no prazo de 3 (três) dias úteis, a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante para os Titulares, observado o disposto na Legislação Nacional. moldes definidos pelo Regulamento de Comunicação de Incidente de Segurança,

4.3.4. Atendimento geral ao objetivo proposto

4.3.4.1.O Termo de Abertura de Projeto (0051725) informou como objeto do projeto “Regulamentar a transferência internacional de dados, nos termos do disposto nos arts. 33, 34, 35 e 36 da Lei nº 13.709, de 14 de agosto de 2018.”

4.3.4.2.O Relatório de Análise de Impacto Regulatório (0051803), por sua vez, descreveu como objetivos específicos a serem alcançados com a intervenção regulatória: “1) identificar requisitos, condições e garantias mínimas necessárias para uma transferência internacional de dados; 2) definir o conteúdo das cláusulas-padrão contratuais, e 3) definir fluxograma do processo de verificação de cláusulas contratuais específicas e de normas corporativas globais, com definição de forma, prazos e requisitos.”

4.3.4.3.Conforme depreende-se da minuta, a proposta de Regulamento de Transferência Internacional de Dados estabeleceu um conjunto de normas e diretrizes que asseguram a proteção dos dados pessoais quando for realizada uma transferência internacional de dados.

Voto 21 (0137807)SEI 00261.000968/2021-06 / pg. 31

Página 32

4.3.4.4.O regulamento apresenta disposições que permitem que as transferências internacionais sejam realizadas de maneira segura e em conformidade com os direitos dos titulares dos dados, promovendo a integridade, a privacidade e a proteção das informações pessoais em um contexto globalizado.

4.3.4.5.No mais, verifica-se que foram regulamentados aspectos essenciais à eficácia da norma constante do art. 33 da LGPD, tais como: 1) o conceito de transferência internacional de dados; 2) o conceito de coleta internacional de dados; 3) conceito das figuras do exportador e do importador; 4) critérios para emissão de decisão de adequação; 5) requisitos para aprovação de cláusulas equivalentes, específicas e normas corporativas globais; 3) procedimentos de aprovação de cláusulas e 4) conteúdo das cláusulas-padrão contratuais.

4.3.4.6.Neste sentido, a partir da análise da estrutura e o conteúdo da minuta, os quais foram amplamente debatidos junto à sociedade e construídos de maneira devidamente fundamentada, verifico que o Regulamento atende aos objetivos propostos.

5.1.Ante o exposto, voto pela aprovação da Minuta da Resolução que aprova o Regulamento de Transferência Internacional de Dados e o conteúdo das cláusulas-padrão contratuais, nos termos do presente voto.5.2.Por fim, considerando a relevância da matéria e a premente necessidade de regulamentação do tema, proponho a votação por meio de circuito deliberativo, nos termos do art. 40, parágrafo primeiro, do Regimento Interno da ANPD.

À Secretaria-Geral para providências pertinentes.

JOACIL BASILIO RAEL Diretor Relator

Voto 21 (0137807)SEl 00261.000968/2021-06 / pg. 32

Página 33

Documento assinado eletronicamente por Joacil Basílio Rael, Diretor(a), em 15/08/2024, às 11:37, conforme horário oficial de Brasília, com fundamento ANPD no art. 6º, § 1º, doDecreto nº 8.539, de 8 de outubro de 2015.

A autenticidade deste documento pode ser conferida no sitehttps://anpdsuper.mj.gov.br/sei/controlador_externo.php?

acao=documento_conferir&id_orgao_acesso_externo=0, informando o código verificador 0137807 e o código CRC FEDB9322.

SCN Quadra 06, Conjunto A, Ed. Venâncio 3000, Bloco A, 9º andar, - Bairro Asa Norte, Brasília/DF, CEP 70716-900Telefone: (61) 2025-8156 - https://www.gov.br/anpd/pt-br

SEl nº 0137807

Voto 21 (0137807)SEl 00261.000968/2021-06 / pg. 33

Página 34

Autoridade Nacional de Proteção de Dados Conselho Diretor Diretora Miriam Wimmer

Brasília-DF, na data da assinatura.

VOTO Nº 8/2024/DIR-MW/CD/ANPD

PROCESSO Nº 00261.000968/2021-06

INTERESSADO: Autoridade Nacional de Proteção de Dados

VOTO EM CIRCUITO DELIBERATIVO Nº 17/2024DIRETORA MIRIAM WIMMER

Voto no Circuito Deliberativo nº 17/2024

Votação

Marcação	Opção
X	Acompanho o Relator - Voto nº 21/2024/DIR-JR/CD (SEl nº 0137807)
	Não acompanho o Relator, nos termos do Voto indicado a seguir:

MIRIAM WIMMER

Documento assinado eletronicamente por Miriam Wimmer, Diretor(a), em 16/08/2024, às 15:28, conforme horário oficial de Brasília, com fundamento ANPD )no art. 6º, § 1º, doDecreto nº 8.539, de 8 de outubro de 2015.

Voto em Circuito Deliberativo 8 (0139879)SEl 00261.000968/2021-06 / pg. 34

Página 35

acao=documento_conferir&id_orgao_acesso_externo=0, informando o código verificador 0139879 e 0 código CRC 575AFBA1.

SCN Quadra 06, Conjunto A, Ed. Venâncio 3000, Bloco A, 9º andar, - Bairro Asa Norte, Brasília/DF, CEP 70716-900Telefone: (61) 2025-8166 - https://www.gov.br/anpd/pt-br Referência: Caso responda a este documento, indicar expressamente o Processo nº

SEl nº 013987900261.000968/2021-06

Voto em Circuito Deliberativo 8 (0139879)

SEl 00261.000968/2021-06 / pg. 35

Página 36

Autoridade Nacional de Proteção de Dados

Conselho Diretor

Diretor Arthur Sabbat

Brasília-DF,

na data da assinatura.

VOTO Nº 14/2024/DIR-AS/CD/ANPD

PROCESSO

Nº 00261.0

00968/2021-06

INTERESSADO: ANPD

CIRCUITO DELIBERATIVO Nº 17/2024 (

0139666

)

Caso o prazo do Circuito Deliberativo seja inferior a 7 dias, nos termos

do § 1º do art. 41 do Regimento Interno:

Concordo com a redução do prazo

Não concordo com a redução do prazo

X

Não aplicável à hipótese

Voto no Circuito Deliberativo:

Votação

Marcação	Opção
X	Acompanho o Relator, conforme VOTO Nº 21/2024/DIR-JR/CD (SEI Nº 0137807 )
	Não acompanho a Relatoria, nos seguintes termos:

ARTHUR PEREIRA SABBAT

Diretor

Voto em Circuito Deliberativo 14 (0139927) SEI 00261.000968/2021-06 / pg. 36

Página 37

Documento assinado eletronicamente por Arthur Pereira Sabbat, Diretor(a),em 16/08/2024, às 15:35, conforme horário oficial de Brasília, com ANPD ))fundamento no art. 6º, § 1º, doDecreto nº 8.539, de 8 de outubro de 2015.

A autenticidade deste documento pode ser conferida no sitehttps://anpdsuper.mj.gov.br/sei/controlador_externo.php?

acao=documento_ conferir&id_orgao_acesso_ externo=0, informando o código verificador 0139927 e o código CRC 5546C87C.

SEl nº 0139927

Voto em Circuito Deliberativo 14 (0139927)

SEl 00261.000968/2021-06 / pg. 37

Página 38

VOTO Nº 12/2024/GABPR/ANPD

CIRCUITO DELIBERATIVO Nº 17/2024 (0139666)

DIRETOR-PRESIDENTE

Voto no Circuito Deliberativo:

Votação

Marcação	Opção
X	Acompanho o Relator, conforme VOTO Nº 21/2024/DIR-JR/CD (SEI Nº 0137807)
	Não acompanho a Relatoria, nos seguintes termos:

WALDEMAR GONÇALVES ORTUNHO JUNIOR

Diretor-Presidente

Documento assinado eletronicamente por Waldemar Gonçalves Ortunho Junior, Diretor(a) Presidente, em 19/08/2024, às 16:13, conforme horário oficial de Brasília, com fundamento no art. 6º, § 1º, doDecreto nº 8.539, de 8 de outubro de 2015.

Voto em Circuito Deliberativo 12 (0140074)

SEl 00261.000968/2021-06 / pg. 38

Página 39

acao=documento_conferir&id_orgao_acesso_externo=0, informando o código verificador 0140074 e o código CRC EED56DF9.

SCN Quadra 06, Conjunto A, Ed. Venâncio 3000, Bloco A, 9º andar, - Bairro Asa Norte, Brasília/DF, CEP 70716-900Telefone: (61) 2025-8171 - https://www.gov.br/anpd/pt-br Referência: Caso responda a este documento, indicar expressamente o Processo nº

SEl nº 014007400261.000968/2021-06

Voto em Circuito Deliberativo 12 (0140074)

SEl 00261.000968/2021-06 / pg. 39