Brasil reconhece a União Europeia como adequada: o que muda nas transferências internacionais

Resposta rápida: o que mudou com a adequação Brasil–União Europeia?

A Resolução ANPD nº 32/2026 reconhece a União Europeia como adequada para transferências internacionais no regime da LGPD. A decisão brasileira abrange todos os Estados-membros da UE, Islândia, Liechtenstein e Noruega, além de instituições, órgãos e agências da União Europeia, conforme o escopo da resolução.

No sentido inverso, a Commission Implementing Decision (EU) 2026/179 reconhece o Brasil como adequado para transferências europeias a controladores e operadores no Brasil sujeitos à LGPD.

Para fluxos cobertos, deixa de ser necessário adicionar SCC como mecanismo de transferência apenas para superar a restrição internacional. As demais obrigações permanecem.

Principais conclusões

• Existem duas decisões juridicamente independentes, não uma “lei conjunta”.
• Brasil → UE/EEE coberto pode usar adequação do Art. 33, I.
• UE → Brasil coberto pode ocorrer sem mecanismo adicional do Capítulo V GDPR.
• A base legal do tratamento continua necessária.
• DPA controlador-operador pode continuar necessário.
• Reino Unido e Suíça não estão incluídos na decisão brasileira da UE.
• Onward transfer para EUA não herda automaticamente adequação.
• Ambos os regimes preveem monitoramento e revisão periódica.

O que aconteceu em janeiro de 2026?

Em 26 de janeiro de 2026, a ANPD adotou a Resolução nº 32 reconhecendo adequação da União Europeia. Na mesma data, a Comissão Europeia adotou a Decision (EU) 2026/179 reconhecendo o Brasil.

As decisões foram coordenadas e facilitam fluxos bilaterais, mas são unilaterais, independentes e juridicamente autônomas.

Antes

Brasil → UE geralmente precisava de base legal + mecanismo do Art. 33. UE → Brasil precisava de lawful basis + mecanismo do Capítulo V GDPR.

Depois, para fluxo coberto

Brasil → destino coberto: base legal + adequação Art. 33, I.

UE → controlador/operador brasileiro coberto: lawful processing + adequação Art. 45 GDPR.

Adequação simplifica a camada internacional. Não transforma compliance em “sem contrato, sem aviso e sem segurança”.

O que a Resolução 32 cobre exatamente?

A decisão brasileira inclui:

• Estados-membros da União Europeia;
• Islândia;
• Liechtenstein;
• Noruega;
• instituições, órgãos e agências da União Europeia.

Exclusões da decisão brasileira

A Resolução 32 não se aplica a transferências realizadas exclusivamente para finalidades de segurança pública, defesa nacional, segurança do Estado ou investigação e repressão de infrações penais.

Negócios comuns de SaaS, RH, e-commerce ou marketing devem analisar o escopo normal da decisão e seus fatos.

O que a decisão europeia cobre?

A Decision 2026/179 considera adequado o nível de proteção para dados transferidos da UE a controladores e operadores no Brasil sujeitos à LGPD.

As palavras “sujeitos à LGPD” importam. Não se deve assumir cobertura universal de qualquer entidade brasileira em qualquer tratamento.

Adequação torna empresa brasileira sujeita ao GDPR?

Não por si só. Adequação é mecanismo de transferência. A aplicação territorial direta do GDPR continua dependendo de seu próprio Art. 3º.

Uma empresa brasileira pode ser diretamente sujeita ao GDPR por outras razões, mas isso é análise distinta.

Ainda precisa de SCC?

Brasil → UE/EEE coberto

Se a transferência está dentro da Resolução 32 e adequação é usada, SCC brasileira não é necessária como mecanismo adicional.

A própria Resolução não impede que outros mecanismos do Art. 33 sejam usados. Uma empresa pode manter cláusulas por governança ou padronização, mas deve distinguir “proteção contratual mantida” de “mecanismo legal necessário”.

UE → Brasil

Para transferências cobertas pela decisão europeia, EU SCCs não são necessárias apenas como mecanismo de Capítulo V.

EU SCC não virou SCC brasileira

Adequação e reconhecimento de cláusula equivalente são mecanismos diferentes. A ANPD informa que nenhuma cláusula-padrão estrangeira havia sido reconhecida como equivalente até agosto de 2026.

O que continua obrigatório?

Adequação não significa leis idênticas

O conceito europeu é nível de proteção essencialmente equivalente, não cópia literal do GDPR. LGPD e GDPR continuam diferentes em bases, direitos, encarregado, sanções e procedimentos.

Evite “Brasil = GDPR agora”.

Cloud e transferências posteriores

Exemplo:

Controlador brasileiro → SaaS irlandês → suboperador americano → suporte global

A primeira etapa pode usar adequação. A etapa posterior para EUA precisa de análise separada.

Mapeie:

• entidade receptora na UE;
• subprocessadores;
• países;
• acesso remoto;
• mecanismos GDPR para onward transfer quando aplicável;
• mecanismos LGPD para a cadeia pertinente.

Adequação acompanha o destino coberto, não os dados para sempre.

Acesso remoto

Banco hospedado na Alemanha ainda pode ser acessado por suporte na Índia ou EUA. “Servidor na UE” não encerra o mapa.

Exemplo 1: empresa brasileira usando SaaS irlandês

• Irlanda é coberta: sim.
• Base legal Art. 7º/11 continua: sim.
• SCC brasileira só para Brasil→Irlanda: não, se adequação for usada.
• DPA continua relevante: sim.
• Suboperador americano: revisão separada.

Exemplo 2: empresa alemã usando operador brasileiro

A adequação europeia pode eliminar necessidade de SCC GDPR para o fluxo coberto. O controlador alemão ainda precisa cumprir obrigações de controlador-operador, base, transparência e segurança. O operador brasileiro cumpre a LGPD aplicável.

Exemplo 3: matriz francesa e afiliada brasileira

Adequação simplifica transferência, mas o grupo ainda precisa definir papéis, finalidades, bases, acesso, retenção, sensíveis e onward transfers.

Reino Unido e Suíça estão incluídos?

Não na Resolução 32. “Europa” não é um mecanismo jurídico. Confira sempre o destino no repositório atual da ANPD.

Como atualizar o transfer register

Uma linha antiga pode mudar de:

Mecanismo: SCC brasileira

para:

Mecanismo: Adequação — Art. 33, I — Resolução 32/2026

sem apagar DPA, security review ou análise de subprocessadores.

Atualize a política de privacidade?

Se o aviso diz que toda transferência para UE usa SCC, ele pode estar desatualizado. Atualize a descrição do mecanismo sem transformar o aviso em tratado jurídico.

E SCCs já assinadas?

Adequação não invalida automaticamente contrato existente. A empresa pode manter cláusulas por proteção adicional e, ao mesmo tempo, registrar adequação como mecanismo atual.

A adequação pode ser revogada?

Sim.

Lado brasileiro

A Resolução 32 prevê monitoramento contínuo e reavaliação em até quatro anos da entrada em vigor.

Lado europeu

A Comissão monitora e deve avaliar a decisão após quatro anos e, depois, pelo menos a cada quatro anos. Pode alterar, suspender ou revogar se o nível adequado deixar de existir.

Por isso, não registre “adequado para sempre”.

Erros comuns

“As leis ficaram iguais.”

Não.

“Não precisamos mais de base legal.”

Não.

“Podemos excluir o DPA.”

Não necessariamente.

“Todo país europeu está coberto.”

Não.

“EU SCC agora é SCC brasileira.”

Não.

“Fornecedor da UE pode mandar para qualquer país.”

Não automaticamente.

“Adequação significa fornecedor seguro.”

Não. É avaliação do arcabouço jurídico, não certificação individual.

Checklist de 18 pontos

1. Identifique o fluxo.
2. Confirme escopo LGPD/GDPR.
3. Confirme destino coberto.
4. Verifique exclusões.
5. Mantenha base legal.
6. Atualize mecanismo Art. 33.
7. Remova dependência desnecessária de SCC.
8. Mantenha DPA quando aplicável.
9. Revise onward transfers.
10. Mapeie suporte remoto.
11. Atualize transfer register.
12. Atualize aviso quando necessário.
13. Mantenha due diligence.
14. Mantenha segurança.
15. Mantenha retenção.
16. Mantenha direitos.
17. Monitore status regulatório.
18. Reavalie quando a cadeia mudar.

Perguntas frequentes

A UE é adequada para a LGPD?

Sim, no escopo da Resolução 32/2026.

Reino Unido e Suíça estão incluídos?

Não na decisão brasileira específica.

Brasil→UE ainda precisa de SCC?

Não como mecanismo adicional quando adequação é aplicável e escolhida.

EU→Brasil pode ocorrer sem GDPR SCC?

Para fluxo coberto pela Decision 2026/179, adequação elimina a necessidade de mecanismo adicional do Capítulo V.

Adequação cobre UE→EUA posterior?

Não automaticamente.

Fontes oficiais

• ANPD — Resolução nº 32/2026
• ANPD — Adequação mútua Brasil e UE
• Commission Implementing Decision (EU) 2026/179