Anna Luiza Silva

Beatriz Haikal

Daniel Becker

A capacidade de compartilhar informações escala global, aí incluídos dados pessoais, é essencial para a inovação, para a viabilização e a expansão de negócios. Contudo, embora esse mecanismo seja um motor para o desenvolvimento, também implica em desafios substanciais, especialmente no que diz respeito à privacidade e proteção de dados. Diante da necessidade de uma regulamentação nacional para a transferência internacional, a Autoridade Nacional de Proteção de Dados (<a href="https://www.jota.info/tudo-sobre/ANPD">ANPD</a>) publicizou o <a href="https://www.gov.br/anpd/pt-br/assuntos/noticias/Minuta_TID.pdf">Regulamento de Transferência Internacional de Dados e modelos de cláusulas-padrão contratuais</a>. 
Para fins de compreensão do contexto, é importante pontuar os requisitos que devem ser observados nas transferências internacionais de dados. Além de estar fundamentada em uma das hipóteses legais (artigos 7º e 11) previstas na Lei Geral de Proteção de Dados (<a href="https://www.jota.info/tudo-sobre/LGPD">LGPD</a> – <a href="https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm">Lei 13.709/18</a>), a transferência precisa ser amparada em ao menos uma das seguintes modalidades: (a) para países ou organismos internacionais que proporcionem grau de proteção de dados pessoais equivalente ao previsto na LGPD; (b) cláusulas-padrão contratuais (CPCs), normas corporativas globais, cláusulas contratuais específicas; ou (c) em selos, certificados e códigos de conduta regularmente emitidos, conforme hipóteses previstas nos incisos II, d, e III a IX do art. 33 da LGPD.
Das modalidades apresentadas, primeiro, há a possibilidade de transferência internacional para países ou organismos internacionais que proporcionem grau de proteção de dados reconhecido por decisão de adequação da ANPD. Embora o Regulamento inove e apresente o procedimento e os critérios que serão observados na decisão de adequação, preocupa o tempo que a ANPD levará para tomar tais decisões. 
Isso porque, tomando por exemplo a experiência internacional, as decisões de adequação de países estrangeiros levam um período considerável para serem emitidas. Observada a morosidade inerente ao procedimento, é evidente que pode levar bastante tempo até que haja países oficialmente reconhecidos como adequados à LGPD. Assim, por ora, tal modalidade não é aplicável.
Depois, apresentam-se as hipóteses de transferência internacional mediante a adoção das cláusulas-padrão contratuais elaboradas pela ANPD, de normas corporativas globais ou de cláusulas contratuais específicas, estes dois últimos, vale ressaltar, deverão ser aprovados pela ANPD para que a transferência seja válida. Novamente, apesar de Regulamento instituir o processo para aprovação das cláusulas específicas e normas corporativas globais, indaga-se sobre a celeridade dessa decisão. 
Por fim, dispõe-se acerca das transferências internacionais de dados fundamentadas nas hipóteses dos incisos II, d, e III a IX do artigo 33 da LGPD. No entanto, destas alternativas, poucas têm aplicação prática aos agentes de tratamento. 
Dentre essas hipóteses, tem-se a viabilidade de realização de transferências internacionais fundamentadas na obtenção do consentimento específico e em destaque, ou quando necessário para (i) o cumprimento de obrigação legal ou regulatória pelo controlador; (ii) execução de contrato ou de procedimentos preliminares relacionados a contrato do qual seja parte o titular; e (iii) o exercício regular de direitos em processo judicial, administrativo ou arbitral. 
Em termos práticos, o consentimento do titular e a execução do contrato representam possibilidades aplicáveis às transferências internacionais rotineiramente necessárias para o desenvolvimento das organizações. Contudo, a fundamentação da transferência no consentimento do titular - considerando todos os pressupostos necessários para a validade dessa autorização – acarreta um esforço considerável dos agentes de tratamento. 
Quanto à execução do contrato, consoante as <a href="https://edpb.europa.eu/sites/default/files/files/file1/edpb_guidelines_2_2018_derogations_pt.pdf">diretrizes do European Data Protection Board</a> (EDPB), para utilização desse mecanismo é indispensável ‘’a existência de uma relação estreita e substancial entre a transferência de dados e a finalidade do contrato’’. Esse não é, portanto, o instrumento ideal para ser utilizado em transferências internacionais rotineiras que visam, por exemplo, o desenvolvimento das operações de uma organização, como é o caso de transferência de dados para gerenciamento de resultados da companhia, através de demonstrações financeiras. 
Diante disso, resta aos agentes de tratamento brasileiros a transferência internacional de dados mediante a adoção das cláusulas-padrão contratuais elaboradas pela ANPD. Acerca da utilização das CPCs, a ANPD <a href="https://www.gov.br/anpd/pt-br/documentos-e-publicacoes/sei_00261-000968_2021_06-nota-tecnica.pdf">manifestou</a> que tal instrumento ‘’é a opção que disponibiliza à sociedade o mecanismo de maior alcance’’. Evidentemente, as CPCs são uma ferramenta prática de convergência entre diferentes sistemas jurídicos, à medida que permitem compatibilizar, via instrumento contratual, as regras de proteção de dados de diferentes jurisdições. 
Da análise do modelo de CPCs elaborado pela ANPD, de início, chama a atenção a decisão da Autoridade em formular apenas um módulo de cláusulas contratuais padrão, que classifica os agentes de tratamento entre controlador e operador. Diferentemente dos modelos de cláusulas contratuais europeias, que disponibilizam modelos adaptáveis aos vários cenários de fluxo transfronteiriço de dados – por exemplo, transferência entre dois controladores ou transferência entre controlador e suboperador – a Autoridade brasileira disponibilizou apenas um modelo de cláusulas, que deverá ser instituído de maneira integral pelas partes, ou seja, para a validade da aplicabilidade das CPCs, elas deverão ser adotadas integralmente conforme publicizadas pela ANPD.  
Embora, em uma primeira análise, tal escolha pareça facilitar a implementação das cláusulas pelos agentes de tratamento, na prática, essa estrutura rígida pode ser bastante problemática. Isso porque as relações comerciais atuais são altamente dinâmicas e, na grande maioria dos casos, implicam em múltiplas cadeias de transferência de dados com diversos agentes envolvidos. 
Limitar, portanto, a classificação contratual entre controlador e operador, além de engessar a relação e fazer com as cláusulas não reflitam a realidade fática das obrigações atribuídas às partes, pode trazer entraves à atividade empresarial, à medida que arranjos contratuais mais elaborados e complexos não estariam totalmente abarcados pelas cláusulas-padrão. 
Para fins de comparação, pode ser observada a experiência de países vizinhos, como a Argentina e o Uruguai – ambos reconhecidos como adequados perante o EDPB – que permitem a flexibilização da implementação das cláusulas contratuais padrão. A título de exemplo, <a href="https://www.argentina.gob.ar/normativa/nacional/267922/texto">a Lei Argentina</a> prevê que os controladores de dados que realizem transferências internacionais para países que não possuem legislação adequada possam utilizar cláusulas contratuais diferentes do modelo padrão disponibilizado pela Autoridade argentina. Ainda, estes podem solicitar a aprovação das cláusulas utilizadas, em até trinta dias corridos a partir da assinatura do contrato. 
O Uruguai, por sua vez, ao invés de disponibilizar um texto padrão para as cláusulas contratuais, elaborou um <a href="https://www.gub.uy/unidad-reguladora-control-datos-personales/institucional/normativa/resolucion-n-41021">guia</a> com o conteúdo mínimo das cláusulas relativas à transferência interacional de dados, de modo que as próprias partes, observando os critérios definidos pela Autoridade uruguaia, possam estruturar suas disposições contratuais.  
Outro problema preocupante nas cláusulas da ANPD refere-se ao excesso de obrigações e encargos rígidos impostos aos agentes de tratamento. Em linhas gerais, o modelo padrão de cláusulas determina que: (i) a minuta contratual deve descrever detalhadamente a transferência internacional, incluindo, dentre outras informações, quais os dados pessoais serão transferidos, a fonte dos dados e a periodicidade das transferências; (ii) todos os terceiros destinatários que poderão receber os dados pessoais; (iii) o controlador deve assinar todos os contratos celebrados entre operadores de dados; (iv) as partes devem analisar toda a legislação do país destinatário dos dados, a fim de verificar se esta é compatível com as disposições do Regulamento. 
Da análise dos encargos exigidos pelas cláusulas contratuais, verifica-se que as disposições, certamente, implicarão em ônus excessivos e desproporcionais aos agentes de tratamento, distanciando-se da dinamicidade que permeia as relações contratuais e tornando o procedimento de transferência internacional de dados burocrático e moroso. 
Sobre esse ponto, é relevante a interpretação do Regulamento não só do ponto de vista técnico, mas também sob o prisma da Análise Econômica do Direito (AED), buscando observar a proporcionalidade e razoabilidade, a maximização de recursos e sua alocação eficiente.
Nesse sentido, conclui-se que a aplicação de normas abstratas, em total descompasso com as consequências práticas e ignorando os impactos causados pelo Direito na economia é, em verdade, a construção de um novo problema que se distancia – e muito - do que se entende como objetivo inicial da Autoridade, qual seja, a construção de um ambiente regulatório sadio. 
Pela redação atual do Regulamento, todos os tipos de transferências de dados deverão seguir o mesmo procedimento, porém, indaga-se se a aplicação indiscriminada das cláusulas faz sentido para todos os portes organizacionais e desafios trazidos em diferentes operações. Uma alternativa mais coerente, seria adaptar os ônus à complexidade e ao risco decorrente do fluxo de dados em questão.  
O ambiente global de negócios também vive entre fluxos e refluxos que exigem uma regulamentação flexível e adaptável; ele está sempre em mudança, com correntes que podem tanto ser favoráveis quanto desafiadoras. Neste sentido, uma regulamentação eficaz não deve ser um obstáculo, mas sim um instrumento de navegação que permita às empresas brasileiras explorarem novos horizontes sem o peso de burocracias desnecessárias ou encargos desproporcionais. Para não nos deixarmos afundar por complexidades contraproducentes, é crucial que as determinações legais sejam equilibradas. Com este enfoque, poderemos criar um ambiente regulatório que favoreça a livre iniciativa e a inovação, mantendo o Brasil competitivo na maré alta da economia global.

LGPD

https://images.jota.info/wp-content/uploads/2021/09/copy-of-jota-logo-high-cmyk.jpeg

JOTA

Uma regulamentação eficaz não deve ser um obstáculo, mas um instrumento de navegação

Desafios na transferência internacional de dados pessoais no Brasil

Uma regulamentação eficaz não deve ser um obstáculo, mas sim um instrumento de navegação