Transferência internacional de dados na LGPD: Gmail e nuvem americana já contam
O regulamento da ANPD define transferência como transmitir, compartilhar ou disponibilizar acesso a dados pessoais. Disponibilizar acesso já conta, então não é preciso mandar arquivo nenhum para o exterior: basta que os dados dos seus clientes estejam em um serviço de empresa estrangeira. Na prática, quase toda empresa brasileira faz transferência internacional todos os dias.
Este é um daqueles assuntos que parecem de multinacional e não são. A conta é simples: o e-mail está no Google ou na Microsoft, o sistema está em uma nuvem que fica fora do país, o atendimento passa por uma rede social, e o disparo de mensagens é feito por uma ferramenta de outro lugar. Nenhuma dessas escolhas é errada. O que costuma faltar é saber que elas têm um regime próprio, com um prazo que já venceu e uma página que precisa estar publicada.
A versão curta
- Disponibilizar acesso já é transferência. Não precisa enviar arquivo para o exterior.
- O prazo para incorporar as cláusulas-padrão da ANPD aos contratos venceu em agosto de 2025.
- Existe uma página obrigatória, com seis informações, que quase ninguém publica.
- Aqui não há prazo em dobro nem dispensa para pequeno porte. O regulamento não menciona porte.
1. O que conta como transferência, e o que não conta
A definição é mais larga do que a intuição. O Art. 3º, III do Regulamento chama de transferência a operação em que um agente de tratamento "transmite, compartilha ou disponibiliza acesso a dados pessoais a outro agente de tratamento".
O verbo que muda tudo é disponibilizar acesso. Ninguém precisa exportar planilha, mandar arquivo nem sincronizar nada: se a empresa estrangeira que opera o seu sistema consegue chegar aos dados, a operação está caracterizada. E o Art. 5º completa dizendo que a transferência internacional se caracteriza quando o exportador transfere dados para o importador, sendo importador o agente localizado em país estrangeiro.
Existe uma exceção que quase ninguém conhece, e ela é útil. O Art. 6º diz que a coleta internacional de dados não caracteriza transferência internacional. Coleta internacional, pela definição do Art. 3º, V, é quando o agente lá fora coleta os dados diretamente do titular. Ou seja: se o seu cliente preenche um formulário que é da empresa estrangeira, quem coletou foi ela, e isso segue outro regime.
| O que você usa | É transferência? | Por quê |
|---|---|---|
| E-mail em nuvem | Em regra, sim | A caixa de entrada com dados de clientes fica acessível a um agente estrangeiro, o que basta pela definição do Art. 3º, III |
| Sistema de gestão | Depende | Se a empresa que opera o sistema é estrangeira ou acessa os dados de fora, sim. Servidor no Brasil de empresa brasileira, não |
| Plataforma de anúncio | Sim | Subir a lista de clientes para criar público personalizado é disponibilizar acesso a agente estrangeiro |
| Formulário de terceiro | Talvez não | Se o titular preenche direto na plataforma estrangeira, é coleta internacional, e o Art. 6º diz que isso não é transferência |
| Servidor no Brasil | Não | Sem agente estrangeiro recebendo ou acessando, não há importador, e sem importador não há transferência |
2. O prazo que já venceu
A Resolução nº 19, de 23 de agosto de 2024, deu doze meses para incorporar as cláusulas-padrão da ANPD aos contratos. Contando da publicação, esse prazo se encerrou em agosto de 2025.
O texto do Art. 2º, parágrafo único é direto: os agentes de tratamento que utilizam cláusulas contratuais para realizar transferências internacionais "deverão incorporar as cláusulas-padrão contratuais aprovadas pela ANPD aos seus respectivos instrumentos contratuais, no prazo de até 12 (doze) meses, contados da data de publicação desta Resolução".
Vale ler com atenção a quem isso se dirige: a quem usa cláusulas contratuais como mecanismo de transferência. Quem se apoia noutro mecanismo, como a adequação reconhecida de um país, não está nessa frase. Mas a maioria das operações pequenas se apoia justamente no contrato do fornecedor, o que coloca quase todo mundo dentro dela.
Obrigação
Prazo vencido não vira dispensa. Descobrir isso hoje não é motivo para desistir: a providência continua sendo a mesma, e fazê-la agora, com data registrada, é exatamente o tipo de fato que a prestação de contas do Art. 6º, X valoriza. O que não ajuda em nada é adiar de novo por já estar atrasado.3. Os caminhos que a norma aceita
O Regulamento organiza a transferência em dois grandes caminhos. Ou o destino é reconhecido como adequado pela ANPD, ou você comprova garantias por escrito.
Pelo Art. 1º, os procedimentos valem para transferências a países ou organismos que a ANPD reconheça como tendo grau de proteção adequado, ou quando o controlador oferece e comprova garantias na forma de cláusulas contratuais específicas, cláusulas-padrão contratuais ou normas corporativas globais. E o parágrafo único lembra que isso não exclui os demais mecanismos do Art. 33 da LGPD que não dependem de regulamentação.
Para quem usa serviço de prateleira, o caminho real é quase sempre o mesmo: o fornecedor já publica um adendo de tratamento de dados, e você adere. O trabalho, então, não é redigir nada. É conferir se aquele adendo contempla as cláusulas-padrão da ANPD, guardar a versão e anotar a data em que você conferiu. É o mesmo raciocínio do texto sobre fornecedor que acessa os dados dos seus clientes: sem poder de negociação, o que resta é verificar e registrar, e isso tem valor.
4. A União Europeia foi reconhecida como adequada
Em janeiro de 2026 a ANPD editou a Resolução nº 32, que dispõe sobre o reconhecimento da União Europeia como organismo internacional com grau de proteção de dados pessoais adequado, para fins de transferência internacional. Ela consta como vigente na tabela de regulamentações da Autoridade.
O efeito prático é o primeiro caminho do Art. 1º: quando o destino tem adequação reconhecida, a transferência se apoia nesse reconhecimento, e não na construção de garantias contratuais caso a caso. Para quem usa fornecedor europeu, isso simplifica bastante.
Uma ressalva de honestidade: o texto integral dessa resolução está publicado no Diário Oficial, e este texto se limita ao que a ementa oficial da ANPD afirma. Antes de apoiar uma operação sua nesse reconhecimento, vale ler o texto completo, porque decisões de adequação costumam vir com condições e com alcance delimitado.
5. A página que quase ninguém publica
O Art. 17, § 2º manda o controlador publicar na própria página na Internet um documento sobre a transferência internacional. Em português, em linguagem simples, clara, precisa e acessível, com pelo menos seis informações.
Esta é, de longe, a obrigação mais ignorada do regulamento, e também a mais fácil de cumprir. Ela não exige contrato novo, não exige advogado e não custa nada. Exige escrever meia página e publicá-la.
| A informação | O que escrever |
|---|---|
| Forma e finalidade | A forma, a duração e a finalidade específica da transferência. Por exemplo, hospedagem do sistema de cadastro enquanto durar o contrato |
| País de destino | Para onde os dados vão. Se o fornecedor usa mais de um país, vale nomear os que ele informa |
| Quem é o controlador | Identificação e contatos. É a mesma identificação que já está no seu aviso de privacidade |
| Com quem compartilha | O uso compartilhado de dados pelo controlador e a finalidade dele |
| Responsabilidades | As responsabilidades dos agentes que realizarão o tratamento e as medidas de segurança adotadas |
| Direitos do titular | Os direitos e os meios de exercê-los, com canal de fácil acesso e a menção ao direito de peticionar perante a ANPD |
E há uma facilidade explícita: o § 3º permite que esse documento fique em uma página específica ou integrado, de forma destacada e de fácil acesso, à Política de Privacidade. Para quase todo mundo, a segunda opção é a certa: uma seção nova no documento que já existe, em vez de mais uma página para manter.
O Art. 17 traz ainda o caput, que costuma passar despercebido: se o titular pedir, você precisa disponibilizar a íntegra das cláusulas usadas na transferência, e o § 1º dá quinze dias para isso. Ou seja, guardar o adendo do fornecedor não é zelo, é o que permite cumprir esse pedido quando ele chegar.
6. Aqui não tem desconto para pequeno porte
O Regulamento de Transferência Internacional não menciona agentes de tratamento de pequeno porte em nenhum ponto. Não há dispensa, não há prazo diferenciado, não há versão simplificada.
Isso destoa do resto do cenário e vale registrar, porque a expectativa natural é a oposta. A Resolução 2/2022 dá prazo em dobro para atender pedidos de titular e para comunicar incidente, permite registro simplificado das operações e dispensa a indicação de encarregado. Nenhuma dessas flexibilizações alcança a transferência internacional.
A boa notícia é que a providência prática, aqui, é curta. Não há documento longo para produzir, não há sistema para contratar, e o custo é de atenção, não de dinheiro.
Existe uma porta nova por onde o dado sai do país sem ninguém perceber, e ela não tem contrato nem fatura: a janela da ferramenta de inteligência artificial. O que muda quando alguém cola dado de cliente ali está em posso colocar dados de clientes no ChatGPT?.
7. O que fazer, na ordem
Quatro passos resolvem a maior parte dos casos, e o primeiro deles você provavelmente já tem meio pronto.
- Liste quem está fora do Brasil. Vale reaproveitar a lista de fornecedores que acessam dados, que já é campo do registro das operações. Marque, em cada um, se o serviço é operado por empresa estrangeira
- Para cada um, identifique o mecanismo. Adequação reconhecida do país, cláusulas-padrão, cláusulas específicas ou normas corporativas globais. Na prática isso significa achar o adendo de proteção de dados que o fornecedor publica
- Guarde a prova e a data. A versão do documento, o dia em que você leu e o que ele cobre. Sem isso, você tem uma conclusão sem lastro
- Publique a seção no seu aviso de privacidade, com as seis informações do Art. 17, § 2º. É a única parte que aparece para quem está de fora, e é justamente a que a Autoridade consegue conferir sem pedir nada a você
Orientação da ANPD
Quem verifica é o controlador. O Art. 4º atribui ao controlador verificar se a operação caracteriza transferência internacional, se está submetida à lei brasileira e se está amparada em hipótese legal e mecanismo válidos. O § 1º diz que o operador presta auxílio com as informações de que dispuser. Traduzindo: o fornecedor ajuda, mas a conclusão é sua.8. Perguntas frequentes
Usar Gmail ou nuvem americana é transferência internacional de dados?
Em regra sim. O Regulamento de Transferência Internacional define transferência como a operação em que um agente transmite, compartilha ou disponibiliza acesso a dados pessoais a outro agente. Repare em disponibiliza acesso: não é preciso enviar arquivo nenhum. Se os dados dos seus clientes ficam em um serviço operado por empresa estrangeira, ou acessíveis a ela, a operação se caracteriza. É por isso que quase toda empresa faz transferência internacional sem saber.
Existe algum prazo que eu já perdi?
Provavelmente sim. O Art. 2º, parágrafo único da Resolução CD/ANPD nº 19, de 23 de agosto de 2024, deu doze meses, contados da publicação, para os agentes que usam cláusulas contratuais incorporarem as cláusulas-padrão aprovadas pela ANPD aos seus contratos. Esse prazo se encerrou em agosto de 2025. Perder o prazo não apaga a obrigação, e a providência continua sendo a mesma: identificar as transferências e enquadrá-las em um mecanismo válido.
Preciso assinar as cláusulas-padrão da ANPD?
Só se o seu mecanismo de transferência for cláusula contratual. O Regulamento aceita outros caminhos: transferir para país ou organismo reconhecido pela ANPD como adequado, usar cláusulas contratuais específicas, cláusulas-padrão ou normas corporativas globais, além das demais hipóteses do Art. 33 da LGPD que independem de regulamentação. Na prática, quem usa serviço de prateleira costuma aderir ao que o fornecedor já publica, e o trabalho é conferir e guardar a prova disso.
Sou pequeno porte. Isso vale para mim também?
Vale igual. O Regulamento de Transferência Internacional não traz nenhuma menção a agentes de tratamento de pequeno porte, nem dispensa nem prazo diferenciado. É uma das poucas frentes em que a Resolução 2/2022 não ajuda: ali há prazo em dobro para pedidos de titular e para comunicação de incidente, e nada sobre transferência internacional. A boa notícia é que a providência prática é curta e não custa dinheiro.
Preciso publicar alguma coisa no meu site?
Precisa, e essa é a parte que quase ninguém cumpre. O Art. 17, § 2º do Regulamento manda o controlador publicar em sua página na Internet um documento em português, em linguagem simples, clara, precisa e acessível, com pelo menos seis informações sobre a transferência. O § 3º permite que ele fique em uma página específica ou integrado de forma destacada à Política de Privacidade, o que costuma ser o caminho mais fácil.
O que se considera transferência internacional de dados?
Pelo Art. 5º, XV, é a transferência de dados pessoais para país estrangeiro ou para organismo internacional de que o país seja membro. O que o regulamento da ANPD, na Resolução CD/ANPD nº 19/2024, deixou claro é que não precisa haver um envio deliberado: guardar dados em servidor fora do Brasil, usar e-mail ou nuvem de empresa estrangeira que armazena fora, ou dar acesso remoto a alguém de fora já é transferência. O que não é: o simples trânsito de dados pela rede sem que ninguém de fora os acesse. Por isso quase toda empresa faz transferência internacional sem saber, e o primeiro passo é descobrir onde cada fornecedor guarda o dado.
Fontes: Resolução CD/ANPD nº 19, de 23 de agosto de 2024, e o Regulamento de Transferência Internacional de Dados · Tabela de regulamentações da ANPD, onde consta a Resolução CD/ANPD nº 32, de 26 de janeiro de 2026 · Lei nº 13.709/2018 (LGPD), Arts. 33 a 36
Publicado por LGPD de Todos, projeto da EFAR Consultoria em TI. Veja como produzimos os nossos textos.
Quais dos seus ficam lá fora?
A plataforma marca quais fornecedores operam fora do Brasil, guarda o mecanismo de cada um e monta a seção do aviso de privacidade. Grátis, sem cartão.
Começar de graça