Resposta rápida: quando a LGPD trata um fluxo como transferência internacional?
A LGPD regula transferências internacionais de dados pessoais quando dados sujeitos à lei são transferidos para país estrangeiro ou organização internacional. A Resolução CD/ANPD nº 19/2024 detalha o regime e exige que a empresa separe duas perguntas: qual base legal sustenta o tratamento? e qual mecanismo do Art. 33 sustenta a transferência internacional?
A existência de contrato com o fornecedor não substitui essa análise, e um mecanismo de transferência não cria por si só uma base legal para o tratamento.
Principais conclusões
- Base legal do tratamento e mecanismo de transferência são camadas diferentes.
- A transferência deve ser mapeada por fluxo, fornecedor, país e finalidade.
- A Resolução 19/2024 disciplina adequação, cláusulas-padrão brasileiras e outros mecanismos.
- As SCCs brasileiras do Anexo II são um mecanismo importante, mas não obrigatório em todo fluxo.
- Em 2026, a União Europeia é adequada para fins da LGPD; os Estados Unidos não possuem decisão de adequação da ANPD.
- Transferências posteriores e acesso remoto global precisam ser avaliados separadamente.
O que é transferência internacional de dados?
A Resolução 19/2024 trata transferência internacional como transferência de dados pessoais para país estrangeiro ou organização internacional, incluindo disponibilização dos dados a agente de tratamento localizado fora do Brasil em situações abrangidas pelo regulamento.
A análise deve observar o fluxo real. Uma arquitetura com banco de dados no Brasil pode ainda envolver acesso por equipe estrangeira, suporte global, analytics, processamento em API ou suboperadores fora do país.
Coleta internacional é diferente
A regulamentação distingue coleta internacional direta: quando um agente localizado no exterior coleta os dados diretamente do titular. Isso, por si só, não é automaticamente uma transferência internacional entre agentes. Ainda assim, a LGPD pode ser aplicável à coleta conforme o Art. 3º.
O teste em três camadas
- A LGPD se aplica ao tratamento?
- Qual base dos Arts. 7º ou 11 sustenta a finalidade?
- Qual mecanismo do Art. 33 permite a transferência internacional?
Erro comum: escrever no ROPA “base legal: SCC”. SCC não é base legal de tratamento. Ela é mecanismo de transferência.
Quais mecanismos o Art. 33 contempla?
O Art. 33 prevê diferentes caminhos, incluindo hipóteses de adequação e garantias específicas. A Resolução 19/2024 organiza mecanismos como:
- decisões de adequação;
- cláusulas-padrão contratuais brasileiras;
- cláusulas-padrão equivalentes reconhecidas pela ANPD;
- cláusulas contratuais específicas aprovadas;
- normas corporativas globais;
- outras hipóteses legais previstas no próprio Art. 33, conforme os fatos.
A escolha deve ser documentada por transferência, não por conveniência.
Adequação
A adequação ocorre quando a ANPD reconhece que determinado país, território, setor ou organismo oferece nível de proteção adequado conforme os critérios aplicáveis.
Em janeiro de 2026, a ANPD publicou a Resolução nº 32/2026 reconhecendo a União Europeia, os países do EEE expressamente abrangidos e instituições da UE dentro do escopo da decisão.
Para um fluxo coberto Brasil → UE/EEE, a adequação pode servir como mecanismo do Art. 33, dispensando SCCs brasileiras como mecanismo adicional.
Cláusulas-Padrão Contratuais brasileiras
A Resolução 19/2024 aprovou, no Anexo II, o texto oficial das cláusulas-padrão brasileiras. Quando usadas como mecanismo de transferência, devem ser incorporadas integralmente e sem alteração do texto obrigatório, com preenchimento das opções e campos permitidos.
Elas podem ser incluídas em contrato mais amplo ou aditivo, inclusive DPA, desde que as seções exigidas apareçam adequadamente e termos adicionais não contradigam as cláusulas oficiais.
SCCs europeias não são automaticamente SCCs brasileiras
A regulamentação permite que a ANPD reconheça cláusulas estrangeiras como equivalentes. Entretanto, o repositório oficial da ANPD, na revisão de agosto de 2026, informa que não há cláusulas-padrão estrangeiras reconhecidas como equivalentes.
Portanto, uma empresa não deve concluir que a assinatura das EU SCCs resolve automaticamente a transferência sob o Art. 33 brasileiro.
Exportador e importador
A Resolução 19 define o exportador como agente de tratamento localizado no Brasil ou no exterior que transfere dados para o importador. O importador é o agente localizado em país estrangeiro ou organização internacional que recebe os dados.
Isso significa que a arquitetura não é limitada a “empresa brasileira envia para empresa estrangeira”. Grupos multinacionais e cadeias de operadores fora do Brasil também podem entrar na análise quando a LGPD se aplica ao fluxo.
Controlador, operador e suboperadores
Uma transferência pode ocorrer em diferentes relações:
- controlador → controlador;
- controlador → operador;
- operador → controlador;
- operador → operador/suboperador.
O papel precisa refletir o tratamento real. As SCCs brasileiras inclusive trazem opções específicas para estruturas entre operadores.
Acesso remoto internacional
Não trate localização física do servidor como único indicador. Se dados são disponibilizados a agente ou equipe no exterior, pode haver questão de transferência internacional. Mapeie:
- suporte remoto;
- equipes globais de segurança;
- observabilidade;
- administração de banco de dados;
- acesso por matriz;
- API estrangeira;
- recuperação de backup;
- subprocessadores.
Transferências posteriores
Uma transferência para destino adequado não significa que os dados ficam “adequados para sempre”. Se o importador envia os dados para outro país, essa etapa posterior precisa de análise própria.
Exemplo:
Brasil → Irlanda → Estados Unidos
O primeiro fluxo pode usar adequação. O segundo não deve ser considerado automaticamente coberto pela adequação Brasil–UE.
Brasil → Estados Unidos
Em agosto de 2026, os Estados Unidos não aparecem no repositório da ANPD como destino com decisão de adequação. Portanto, quando houver transferência Brasil → EUA, a organização precisa identificar outro mecanismo válido do Art. 33.
As cláusulas-padrão brasileiras podem ser uma opção importante, mas não são necessariamente a única hipótese prevista em lei.
Transparência
A Resolução 19 também cria deveres de transparência relacionados a transferências. A organização precisa conseguir explicar destino, finalidade, compartilhamento, responsabilidades, salvaguardas e direitos de maneira compatível com a regulamentação.
Quando SCCs são usadas, existem obrigações adicionais de disponibilização e transparência em português.
Segurança
Transferência internacional não reduz o padrão de segurança. Art. 46 continua aplicável, assim como obrigações contratuais e medidas adequadas ao risco. Verifique:
- criptografia e controles de acesso onde apropriados;
- MFA em acessos críticos;
- logs de acesso internacional;
- segregação de ambientes;
- gestão de chaves;
- subprocessadores;
- resposta a incidentes;
- retenção e exclusão.
Checklist de revisão de transferência internacional
- Identifique a atividade de tratamento.
- Confirme escopo da LGPD.
- Registre finalidade.
- Registre base legal dos Arts. 7º ou 11.
- Identifique exportador.
- Identifique importador.
- Classifique os papéis.
- Registre países envolvidos.
- Liste dados e titulares.
- Verifique adequação.
- Escolha mecanismo do Art. 33.
- Revise contrato/DPA.
- Mapeie subprocessadores.
- Mapeie transferências posteriores.
- Revise acesso remoto.
- Revise segurança.
- Revise retenção/exclusão.
- Atualize transparência.
- Mantenha evidências.
- Reavalie quando fornecedor, país ou arquitetura mudar.
Erros comuns
“O fornecedor assinou DPA, então a transferência está resolvida.”
Não. DPA e mecanismo do Art. 33 são camadas diferentes.
“Nossa empresa é GDPR compliant, então podemos usar as EU SCCs no Brasil.”
Não automaticamente.
“O servidor fica na Europa, então não existem outros países.”
Suporte e subprocessadores podem ampliar o fluxo.
“Transferimos para a UE; os dados podem seguir para qualquer lugar.”
Não. Transferência posterior requer análise própria.
Perguntas frequentes
Toda transferência internacional precisa de SCCs brasileiras?
Não. O Art. 33 possui diferentes mecanismos. Adequação pode ser suficiente quando aplicável.
A União Europeia é adequada em 2026?
Sim, dentro do escopo da Resolução 32/2026.
Os Estados Unidos são adequados?
Não constam, na revisão de agosto de 2026, como destino com decisão de adequação da ANPD.
A SCC substitui a base legal do tratamento?
Não. É necessário manter as duas camadas documentadas.
Fontes oficiais
Transforme orientação em implementação
O Manual de Conformidade com a LGPD no Brasil — Edição 2026 reúne guia prático, auditoria de 100 pontos, 16 planilhas e modelos de implementação e um roteiro estruturado de 30 dias.
Obter o Manual de Conformidade com a LGPD no Brasil