Bernardo Fico

Os mecanismos de transferência internacional de dados desempenham um papel central ao assegurar o fluxo de dados eficiente entre diferentes países. Dentre as possibilidades que legitimam esse intercâmbio de dados, está o reconhecimento de países estrangeiros como aptos a receber os dados pessoais, o que é conhecido como “decisões de adequação” (adequacy decisions). Geralmente, esse reconhecimento é realizado pela Autoridade Nacional de cada jurisdição, como uma forma de facilitar o fluxo de informações de seu país com outros considerados seguros.
A <a href="https://www.jota.info/tudo-sobre/autoridade-nacional-de-protecao-de-dados">Autoridade Nacional de Proteção de Dados</a> (ANPD) iniciou a consulta pública para discussão social acerca do regulamento de transferências internacionais de dados pessoais e do modelo de cláusulas-padrão contratuais que o Brasil adotará[1]. Dentre as possibilidades previstas na minuta de norma estão as decisões de adequação. Esse passo é significativo não apenas para permitir que controladores de dados no Brasil realizem transferências internacionais, mas para que o Brasil seja reconhecido como receptor confiável de informações pessoais vindas de outras jurisdições por meio deste fluxo facilitado.
Na proposta da ANPD, a reciprocidade é um fator chave, e deve orientar a avaliação brasileira das demais jurisdições em termos de proteção de dados pessoais. Esse elemento torna ainda mais clara a importância da regulação não apenas para o fluxo de saída de dados do Brasil, mas também para o de entrada:
<blockquote class="jota-article__quote jota-article__citation">Art. 12 § único “A ANPD priorizará a avaliação do nível de proteção de dados de países estrangeiros ou organismos internacionais que garantam tratamento recíproco ao Brasil e cujo reconhecimento de adequação viabilize a ampliação do livre fluxo de transferências internacionais de dados pessoais entre os países."</blockquote>
Conforme as próprias palavras da diretora da ANPD, Nairane Rabelo, a inclusão do mecanismo da decisão de adequação na proposta de regulação do orgão é crucial para o avanço da integração entre o Brasil e a <a href="https://www.jota.info/tudo-sobre/uniao-europeia">União Europeia</a>.[2]
<h3>Procedimento da Decisão de Adequação Europeia</h3>
Expoente no campo da proteção de dados, a União Europeia estabelece em seu procedimento de adequacy decisions alguns requisitos[3] a serem avaliados:
<ol>
<li>Estado de Direito e Respeito pelos Direitos Humanos: avalia a existência formal e implementação do estado de direito, bem como de garantias e liberdades fundamentais e direitos humanos;</li>
<li>Legislação de Proteção de Dados: avalia leis gerais e setoriais relativas à proteção de dados pessoais, condutas profissionais e medidas de segurança, bem como aquelas que possam influenciar essas garantias e as ações de autoridades públicas, como aquelas ligadas à segurança pública, defesa e segurança nacional, direito penal, etc.</li>
<li>Regras para a continuidade de transferência de dados: avalia os critérios que a jurisdição aplica para determinar a possibilidade de envio de dados para um terceiro local.</li>
<li>Direito dos Titulares: avalia a existência e efetividade dos direitos dos titulares de dados na jurisdição.</li>
<li>Autoridade Independente: verifica a existência de uma autoridade supervisora independente em atividade e que possa fazer cumprir as regras de proteção de dados.</li>
<li>Compromissos Internacionais: avalia os compromissos internacionais assumidos em relação à proteção de dados.</li>
</ol>
Após essa avaliação multifatorial, a decisão pode ou não reconhecer o país terceiro como adequado para receber dados pessoais, havendo a possibilidade de que o reconhecimento seja limitado a partes do território ou a um setor específico. O reconhecimento é também sujeito a uma revisão periódica, que pode confirmar ou retirar o status de “país seguro” conforme a evolução do tema no local. São atualmente consideradas jurisdições seguras: Andorra, Argentina, Canadá (somente organizações comerciais), Coreia do Sul, Guernsey, Ilha de Man, Ilhas Faroe, Israel, Japão, Jersey, Nova Zelândia, Reino Unido, Suíça e Uruguai.
Ainda que a relevância e peso de cada elemento precise ser analisada pela União Europeia, uma avaliação dos critérios de decisão de adequação do GDPR indica que há fatores que poderiam justificar o reconhecimento do Brasil como jurisdição segura para o recebimento de dados pessoais vindos da UE, pendente a determinação das regras de transferência internacional ora em discussão.
<ol>
<li>Estado de Direito e Direitos Humanos: Reconhecimento pela <a href="https://www.planalto.gov.br/ccivil_03/constituicao/constituicao.htm">Constituição Federal</a>, alta ratificação de tratados internacionais de direitos humanos (e.g. <a href="https://www.planalto.gov.br/ccivil_03/decreto/d0678.htm">Pacto de San José da Costa Rica</a>) e forte engajamento com a Universal Periodic Review (<a href="https://www.upr-info.org/en/review/brazil?device=c&amp;gclid=Cj0KCQjwuZGnBhD1ARIsACxbAVjXgWFajbkxygde5F-pyyQuMXDoJ1iMM0G9oWA6HAXt0_RIM2A750QaAmjKEALw_wcB">UPR</a>).</li>
<li>Legislação de Proteção de Dados: <a href="http://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm">Lei Geral de Proteção de Dados</a>.</li>
<li>Transferência Internacional: consulta em andamento.</li>
<li>Direito dos Titulares: “destaca-se que, em 2022, a CGF recebeu 1.045 requerimentos, entre denúncias e petições de titulares. Desses, apenas 1 denúncia aguarda o devido encerramento”. <a href="https://www.gov.br/anpd/pt-br/assuntos/noticias/2023-08-17-relatorio-do-ciclo-de-monitoramento-2022.pdf">Relatório</a> do ciclo de monitoramento, exercício 2022.</li>
<li>Autoridade Independente: Art. 55-A. Fica criada a Autoridade Nacional de Proteção de Dados (ANPD), autarquia de natureza especial, dotada de autonomia técnica e decisória, com patrimônio próprio e com sede e foro no Distrito Federal. (Redação dada pela Lei nº 14.460, de 2022). <a href="http://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm">Lei Geral de Proteção de Dados</a>.</li>
<li>Compromissos Internacionais: Ratificação da <a href="https://www.coe.int/en/web/data-protection/brazil">Convenção 108</a>.</li>
</ol>
Rabelo frisa que, no passado, a falta de independência da ANPD impedia o reconhecimento do Brasil como local seguro para o recebimento de dados pessoais, mas essa etapa foi superada ainda em 2022 com a transformação da ANPD em autarquia. A diretora destaca, ainda, que “caso já tenhamos o regulamento brasileiro dispondo sobre o assunto, decisões de reconhecimento em outros países e organismos internacionais podem ser mais aceleradas”.
É importante notar que a ausência de reconhecimento de uma jurisdição como “segura” não impede a transferência internacional de dados, uma vez que outras alternativas, como as cláusulas-padrão contratuais, podem ser utilizadas para garantir esse fluxo. Contudo, a decisão de adequação simplifica as trocas de dados com controladores estrangeiros na medida em que reduzem as etapas negociais que precisam ser discutidas entre as partes, o que tende a intensificar as relações transnacionais.
Por isso, a consulta a respeito do Regulamento de Transferências Internacionais de Dados Pessoais e do modelo de Cláusulas-Padrão Contratuais, mais do que reger a forma pela qual dados pessoais serão enviados para outros países é um passo crucial na consolidação internacional do Brasil como local seguro para recebimento de dados pessoais de outras jurisdições.
<hr />
[1] <a href="https://www.gov.br/participamaisbrasil/regulamento-de-transferencias-internacionais-de-dados-pessoais-e-do-modelo-de-clausulas-padrao-contratuais">Regulamento</a> de Transferências Internacionais de Dados Pessoais e do modelo de Cláusulas-Padrão Contratuais.
[2] <a href="https://www.gov.br/anpd/pt-br/assuntos/noticias/aberta-consulta-publica-sobre-norma-de-transferencias-internacionais-de-dados-pessoais/SEI_4395717_Voto_16.pdf">Voto</a> nº 16/2023/DIR/NR/ANPD, Processo Nº 00261.000968/2021-06, SEI nº 4395717.
[3] <a href="https://gdpr-info.eu/art-45-gdpr/">Art. 45</a>. GDPR Transfers on the basis of an adequacy decision.

ANPD

https://images.jota.info/wp-content/uploads/2021/09/copy-of-jota-logo-high-cmyk.jpeg

JOTA

ANPD inicia consulta pública para discutir o modelo de cláusulas-padrão contratuais que o Brasil adotará

A importância da transferência internacional de dados

ANPD inicia consulta pública para discutir o modelo de cláusulas-padrão contratuais que o Brasil adotará