Resposta rápida: o que são as Cláusulas-Padrão Contratuais brasileiras?
São as cláusulas aprovadas pela ANPD no Anexo II da Resolução CD/ANPD nº 19/2024 para funcionar como um dos mecanismos de transferência internacional previstos no Art. 33 da LGPD.
Elas não substituem a base legal do tratamento. A empresa precisa de uma base adequada dos Arts. 7º ou 11 e, separadamente, de um mecanismo válido para a transferência internacional.
Quando as cláusulas brasileiras são o mecanismo escolhido, o Art. 16 da regulamentação exige adoção do texto do Anexo II integralmente e sem alteração. Campos e opções permitidos podem ser preenchidos, e termos adicionais podem ser acrescentados desde que não excluam, modifiquem ou contradigam as SCCs brasileiras.
Principais conclusões
- SCC é mecanismo de transferência, não base legal.
- Não é obrigatória em toda transferência internacional.
- O texto obrigatório do Anexo II não deve ser redlineado como contrato comum.
- Pode integrar DPA, aditivo ou contrato mais amplo.
- Há opções para controlador/controlador, controlador/operador e estruturas entre operadores.
- Transferências posteriores precisam de controle próprio.
- Transparência em português faz parte do regime.
- EU SCCs não são automaticamente SCCs brasileiras.
Toda transferência precisa de SCC brasileira?
Não. A sequência correta é:
Existe transferência internacional? → LGPD se aplica? → Qual base legal sustenta o tratamento? → Qual mecanismo do Art. 33 se aplica? → Se SCC brasileira for escolhida, complete o Anexo II.
Adequação pode ser suficiente para destinos cobertos. Outras hipóteses do Art. 33 também podem se aplicar conforme os fatos.
Base legal e mecanismo são duas camadas
Exemplo: empresa brasileira envia dados de funcionários a SaaS de RH nos EUA.
- finalidade de RH precisa de base do Art. 7º/11;
- Brasil → EUA precisa de mecanismo do Art. 33.
Escrever “base legal = SCC” está errado.
Adequação pode remover a necessidade de SCC
Em 2026, a União Europeia é reconhecida como adequada pela Resolução 32/2026. Quando um fluxo está dentro da decisão e adequação é utilizada, SCC brasileira não é necessária como mecanismo adicional.
Isso não elimina as demais obrigações da LGPD.
Situação atual em 2026
A Resolução 19 entrou em vigor em agosto de 2024 e deu prazo de 12 meses para agentes que já utilizavam cláusulas contratuais em transferências incorporarem as cláusulas aprovadas pela ANPD. Em agosto de 2026, esse período de transição já passou.
O texto oficial registra retificação de 18 de agosto de 2025. Utilize sempre a versão atual disponibilizada pela ANPD.
Cláusulas estrangeiras equivalentes
A regulamentação permite reconhecimento de cláusulas emitidas por outros países ou organismos como equivalentes. O repositório oficial da ANPD informa, na revisão de agosto de 2026, que nenhuma cláusula-padrão estrangeira foi reconhecida como equivalente.
Cláusulas específicas e normas corporativas globais
O mesmo repositório informa que não há cláusulas contratuais específicas ou normas corporativas globais aprovadas até a data de revisão.
Quem são exportador e importador?
O exportador é agente localizado no Brasil ou exterior que transfere dados ao importador. O importador é agente localizado em país estrangeiro ou organização internacional que recebe os dados.
A definição permite estruturas multinacionais mais complexas que “empresa brasileira → fornecedor estrangeiro”.
Coleta internacional é diferente
A Resolução distingue coleta direta do titular por agente localizado no exterior. Essa coleta, isoladamente, não é caracterizada como transferência internacional entre agentes, embora a LGPD possa se aplicar conforme Art. 3º.
Combinações controlador/operador
O Anexo II permite identificação do papel de cada parte e possui opções compatíveis com:
- controlador → controlador;
- controlador → operador;
- operador → controlador;
- operador → operador.
Operador → operador
A opção específica para duas partes atuando exclusivamente como operadores exige identificação do controlador terceiro cujas instruções escritas sustentam a transferência. As partes devem apoiar o controlador em transparência, direitos e incidentes.
Exemplo SaaS:
Controlador brasileiro → SaaS operador → cloud/suboperador estrangeiro
Estrutura do Anexo II
Seção I — Informações gerais
Identidade das partes, papel, descrição da transferência, finalidades, dados, armazenamento, transferências posteriores e alocação de determinadas responsabilidades.
Seção II — Cláusulas obrigatórias
Núcleo de salvaguardas, direitos, transparência, segurança, incidentes, responsabilidade, acesso governamental, eliminação e outras regras.
Seção III — Medidas de segurança
Descrição das medidas técnicas e administrativas, com atenção adicional a dados sensíveis e crianças/adolescentes.
Seção IV — Cláusulas adicionais
Permite termos comerciais, duração, rescisão e outras disposições, desde que não contrariem as seções obrigatórias.
Pode inserir as SCCs em um DPA?
Sim. Elas podem ser incorporadas em contrato específico, DPA ou aditivo mais amplo. Quando esse modelo é usado, as seções exigidas devem aparecer como anexo do instrumento firmado.
As empresas podem adicionar cláusulas comerciais?
Sim, desde que não modifiquem direta ou indiretamente as obrigações obrigatórias.
O que preencher na Seção I?
Inclua, conforme os campos oficiais:
- exportador e importador;
- contatos;
- papel de cada parte;
- descrição da transferência;
- finalidade;
- categorias de dados;
- período de armazenamento;
- opção de transferência posterior;
- alocação de responsabilidades prevista pelo formulário.
Use o data map e o transfer register como fonte.
O que as cláusulas obrigatórias cobrem?
- propósito e interpretação;
- responsabilização;
- dados sensíveis;
- crianças/adolescentes;
- legalidade da origem/uso;
- transparência;
- direitos dos titulares;
- incidentes;
- responsabilidade;
- transferências posteriores;
- acesso por autoridades públicas;
- eliminação;
- segurança;
- legislação do país de destino;
- consequências do descumprimento;
- direito aplicável e jurisdição.
Transferências posteriores e suboperadores
O importador não recebe autorização genérica para mandar os dados a qualquer terceiro.
Quando a transferência posterior é autorizada dentro da estrutura das SCCs, devem existir finalidade compatível, contrato que imponha salvaguardas e responsabilidade conforme as cláusulas. Uma transferência posterior também pode utilizar outro mecanismo válido de transferência quando aplicável.
Lista de suboperadores não é mecanismo de transferência. Ela é apenas uma parte da governança.
Transparência pública
A Resolução 19 exige que o controlador forneça as cláusulas ao titular quando solicitado, observados segredos comercial e industrial, em 15 dias, salvo prazo diferente estabelecido em regulamentação específica.
Também exige documento em português, simples, claro, preciso e acessível com informações sobre:
- forma, duração e finalidade;
- país de destino;
- identidade e contato do controlador;
- compartilhamento e finalidade;
- responsabilidades e medidas de segurança;
- direitos e canal.
Isso pode estar em página dedicada ou parte destacada da política de privacidade.
Acesso governamental no país de destino
As cláusulas tratam pedidos legalmente obrigatórios de acesso. O importador deve notificar exportador e titular quando permitido, adotar medidas legais cabíveis para contestar quando houver base apropriada e manter registros de solicitações.
O importador também declara não ter identificado leis ou práticas administrativas que impeçam cumprimento das cláusulas e deve informar mudanças relevantes.
Segurança
A Seção III deve refletir controles reais. Evite apenas “industry standard security”. Considere natureza, finalidade, tecnologia, risco, sensíveis e menores.
Eliminação
O Anexo conecta o encerramento do tratamento às regras de eliminação e conservação. Por isso, o período de armazenamento preenchido precisa conversar com o retention schedule.
Brasil → Estados Unidos
Os EUA não constam como destino adequado em agosto de 2026. Portanto, um fluxo Brasil → EUA precisa de outro mecanismo válido do Art. 33.
SCC brasileira pode ser opção relevante em:
- empresa brasileira → SaaS americano;
- controlador brasileiro → afiliada americana;
- operador brasileiro → suboperador americano;
- outras estruturas não adequadas.
Não diga que “toda transferência aos EUA exige SCC”; existem outros mecanismos legais dependendo do caso.
SCC brasileira vs SCC europeia
| Tema | SCC brasileira | EU SCC |
|---|---|---|
| Fonte | Resolução 19/2024, Anexo II | Comissão Europeia / GDPR |
| Intercambiável? | Não | Não automaticamente reconhecida no Brasil |
| Reconhecimento de equivalência | ANPD pode reconhecer | Nenhuma estrangeira reconhecida até ago/2026 |
| Adequação UE | Pode tornar SCC desnecessária para fluxo coberto Brasil→UE | Adequação não transforma EU SCC em SCC brasileira |
Erros comuns
“DPA comum resolve a transferência.”
Não necessariamente.
“EU SCC cobre Brasil automaticamente.”
Não.
“SCC é a base legal.”
Não.
“Podemos editar o texto para nosso template global.”
Não quando se depende do mecanismo brasileiro.
“Suboperador listado = transferência resolvida.”
Não.
“Só empresa no Brasil pode ser exportador.”
A definição da Resolução é mais ampla.
“Política pode ficar só em inglês.”
As regras de transparência de transferência exigem informação em português em contextos específicos.
Checklist de 20 pontos
- Confirme transferência.
- Confirme LGPD.
- Registre base legal.
- Confirme que SCC é mecanismo escolhido.
- Use Anexo II atual.
- Não altere texto obrigatório.
- Identifique exportador/importador.
- Classifique papéis.
- Escolha opção correta entre operadores.
- Descreva transferência.
- Mapeie onward transfers.
- Escolha opção de onward transfer.
- Complete segurança.
- Trate sensíveis/menores.
- Analise leis do destino.
- Crie processo de government access.
- Alinhe retenção.
- Publique transparência em português.
- Crie fluxo de 15 dias para cláusulas.
- Mantenha transfer register.
Perguntas frequentes
Posso alterar a SCC brasileira?
Não o texto obrigatório quando ela é usada como mecanismo; apenas campos/opções e termos adicionais não conflitantes.
Pode ser usada entre dois operadores?
Sim, o Anexo possui estrutura específica.
EU SCC é válida automaticamente no Brasil?
Não.
SCC é sempre necessária para EUA?
Não necessariamente, mas EUA não é destino adequado e outro mecanismo do Art. 33 será necessário.
Fontes oficiais
Transforme orientação em implementação
O Manual de Conformidade com a LGPD no Brasil — Edição 2026 reúne guia prático, auditoria de 100 pontos, 16 planilhas e modelos de implementação e um roteiro estruturado de 30 dias.
Obter o Manual de Conformidade com a LGPD no Brasil