Se a sua empresa usa um CRM americano, uma ferramenta de e-mail marketing hospedada na Europa ou um ERP em nuvem, os dados pessoais dos seus clientes já estão cruzando fronteiras, e provavelmente os contratos que sustentam essas relações não dizem uma palavra sobre isso.
É exatamente aí que entram as cláusulas-padrão da ANPD, o instrumento contratual que a autoridade brasileira criou para regularizar essas transferências.
Na prática da advocacia empresarial, esse é hoje um dos pontos mais negligenciados nos contratos com fornecedores de tecnologia.
O que são as cláusulas-padrão da ANPD?
A Lei Geral de Proteção de Dados (Lei 13.709/2018) trata a transferência internacional de dados pessoais como exceção. O artigo 33 estabelece que esse envio só é permitido quando existe uma base jurídica específica que o autorize. Não basta ter consentimento genérico ou um contrato de prestação de serviços bem redigido: a lei exige um fundamento próprio para a saída do dado do território nacional.
Entre as hipóteses previstas estão a transferência para países que a ANPD reconheça como tendo nível adequado de proteção, as normas corporativas globais (as chamadas BCRs, usadas dentro de grupos econômicos), os selos e certificações, o consentimento específico do titular e, a via mais acessível para a maioria das empresas, os contratos que incorporam cláusulas-padrão contratuais.
Essas cláusulas são minutas aprovadas pela Autoridade Nacional de Proteção de Dados por meio da Resolução CD/ANPD nº 19/2024, que regulamentou o tema. O raciocínio é simples: ao incorporar essas cláusulas no contrato com o fornecedor estrangeiro, a empresa brasileira transporta, por via contratual, o nível de proteção exigido pela LGPD para fora do país. O dado sai, mas as obrigações vão junto.
Por que isso não é recomendação, e sim mecanismo formal?
Há uma confusão recorrente entre boa prática e requisito legal. As cláusulas-padrão não são sugestões de governança. São um mecanismo jurídico que, quando adotado, confere base legal à transferência. Quando não é adotado e não existe outra hipótese válida documentada, a transferência é irregular desde o primeiro dia.
Isso independe de haver incidentes de segurança. A irregularidade está na ausência do instrumento, não no vazamento. Muitas empresas descobrem o problema justamente no pior momento, quando um cliente corporativo exige auditoria de conformidade, quando um investidor faz due diligence ou quando a ANPD abre um procedimento de fiscalização.
Vale lembrar que, em 2021, o Supremo Tribunal Federal reconheceu a proteção de dados pessoais como direito fundamental autônomo. Isso mudou o peso do tema: não se trata mais de uma obrigação regulatória periférica, mas de um direito com proteção constitucional, o que eleva o patamar de exigência sobre as empresas que tratam dados de terceiros.
O que muda na prática nos contratos com fornecedores?
Aqui está a parte que realmente afeta a rotina da empresa. A adoção das cláusulas-padrão da ANPD não é um parágrafo adicional no fim do contrato. É uma mudança de estrutura.
1. A revisão dos contratos existentes é inevitável
Todo contrato com fornecedor que processa dados pessoais em servidores fora do Brasil precisa ser reavaliado. Isso inclui plataformas SaaS, agências de marketing digital, prestadores de TI, serviços de armazenamento em nuvem, ferramentas de atendimento, sistemas de recrutamento e qualquer solução que receba dados de clientes, colaboradores ou parceiros.
Contratos antigos, celebrados antes da regulamentação ou copiados de modelos genéricos, raramente atendem ao que a resolução exige. É comum encontrar contratos que mencionam a LGPD em uma cláusula de duas linhas e nada dizem sobre onde os dados são hospedados, o que, para efeito de transferência internacional, não serve de nada.
2. As obrigações contratuais mudam de natureza
As cláusulas-padrão criam deveres concretos para quem envia e para quem recebe os dados. Entre os principais:
- Segurança da informação: obrigação de ambas as partes adotarem medidas técnicas e administrativas adequadas para proteger os dados pessoais, considerando os riscos envolvidos no tratamento;
- Comprovação de conformidade: dever de demonstrar o cumprimento das obrigações de proteção de dados, inclusive mediante documentação e registros das operações de tratamento;
- Comunicação de incidentes: obrigação de comunicar à ANPD e aos titulares os incidentes que possam acarretar risco ou dano relevante, observados os prazos legais e as responsabilidades de cada parte;
- Controle das transferências posteriores: estabelecimento de condições para que os dados sejam transferidos a terceiros, inclusive subcontratados, assegurando a manutenção das salvaguardas de proteção e a responsabilidade do fornecedor estrangeiro;
- Garantia dos direitos dos titulares: obrigação de assegurar que os titulares possam exercer os direitos previstos na LGPD, inclusive quando seus dados estiverem sendo tratados no exterior, observadas as responsabilidades atribuídas a cada parte.
Esse último ponto costuma gerar resistência na negociação. Significa que o seu cliente pode acionar o fornecedor estrangeiro para pedir exclusão ou correção de dados, e o contrato precisa prever como isso acontece operacionalmente.
3. Nem todo fornecedor aceita com facilidade
Grandes plataformas trabalham com contratos de adesão e já possuem seus próprios adendos de proteção de dados, geralmente estruturados a partir das cláusulas contratuais-padrão da União Europeia, criadas sob o GDPR. O trabalho jurídico, nesses casos, é comparar: o que esse adendo cobre, o que ele não cobre e quais pontos precisam ser complementados para atender à resolução brasileira. Há sobreposição significativa, mas não equivalência automática.
A situação mais delicada envolve fornecedores nacionais de pequeno e médio porte que subcontratam infraestrutura de nuvem no exterior. A empresa contratante assina um contrato com um prestador brasileiro, acredita que os dados permanecem no país e descobre depois que há três camadas de subcontratação até chegar a um data center em outro continente.
Sem a visibilidade da cadeia, não há como demonstrar conformidade. Esse é um dos motivos pelos quais o tema se conecta diretamente com a decisão de compartilhar dados de clientes com parceiros.
4. O risco financeiro é concreto
A LGPD prevê advertência, multa de até 2% do faturamento da empresa no Brasil, limitada a R$ 50 milhões por infração, bloqueio e eliminação dos dados envolvidos. Além da sanção administrativa, existe a responsabilidade civil perante os titulares afetados e o impacto comercial de um incidente que se torne público.
Para empresas que vendem para grandes contas, a reprovação em um questionário de segurança do cliente pode custar o contrato antes de qualquer multa.
Como estruturar a revisão contratual com base nas cláusulas-padrão da ANPD°
A adequação segue uma lógica razoavelmente previsível, e vale entender cada etapa antes de acionar uma advocacia especializada em direito digital.
Mapeamento dos fornecedores com acesso a dados pessoais
O ponto de partida é levantar quais fornecedores tratam dados pessoais e onde esses dados ficam armazenados. O data mapping resolve isso: identifica os fluxos, os responsáveis internos, as finalidades e o destino geográfico da informação. A maior parte das empresas se surpreende com o resultado, porque ferramentas contratadas por marketing, RH ou comercial nunca passaram pelo jurídico.
Análise da base jurídica de cada transferência
Para cada fluxo identificado, é preciso responder: existe contrato? Esse contrato trata de proteção de dados? Há alguma hipótese do artigo 33 (da LGPD) que ampare essa transferência? Essa hipótese está documentada? Transferência amparada em uma base jurídica que ninguém consegue demonstrar documentalmente equivale, na prática, a transferência sem base.
Adequação ou renegociação contratual
Com o diagnóstico em mãos, define-se o caminho: incorporar as cláusulas-padrão da ANPD como anexo ao contrato vigente, renegociar termos com o fornecedor, aderir ao adendo de proteção de dados que ele já oferece com os ajustes necessários ou, em grupos econômicos, avaliar a construção de normas corporativas globais submetidas à aprovação da autoridade.
Documentação e governança contínua
A adequação não termina na assinatura. É preciso manter registro das operações de tratamento, revisar periodicamente os contratos e criar um fluxo interno em que todo novo fornecedor passe por avaliação antes da contratação. Esse mesmo raciocínio preventivo aparece em temas vizinhos, como a construção de uma política interna de uso de Inteligência Artificial, onde ferramentas contratadas livremente por equipes acabam processando dados sensíveis sem qualquer controle.
O que isso significa para a gestão da empresa?
Quanto mais a operação se digitaliza, maior a superfície de exposição. Uma empresa que opera com dez fornecedores de tecnologia tem dez pontos de saída de dados, dez cadeias de subcontratação e dez conjuntos de obrigações contratuais que precisam ser verificadas. Isso deixou de ser assunto exclusivo do jurídico para virar gestão de risco.
Há também um componente comercial. Clientes corporativos exigem comprovação de conformidade em processos de compra. Investidores levantam o tema em due diligence. Parceiros internacionais pedem evidência de que a empresa brasileira tem controle sobre os dados que recebe. Quem tem a estrutura contratual organizada fecha negócio mais rápido.
Para empresas com planos de internacionalização, captação ou parceria com companhias estrangeiras, a adequação às regras de transferência internacional funciona como pré-requisito. É o tipo de item que, quando falta, trava o processo em um momento em que não há tempo para resolver.
Quer saber mais? Entre em contato com o autor ou visite a página da área de Direito Digital e Proteção de Dados.
Perguntas frequentes sobre as cláusulas-padrão da ANPD
Minha empresa só usa Google Workspace. Preciso me preocupar?
Sim. E-mails corporativos, planilhas com dados de clientes e documentos armazenados em nuvem envolvem tratamento de dados pessoais em servidores no exterior. O que muda é o caminho da adequação: nesse caso, normalmente se avalia o adendo de proteção de dados oferecido pelo próprio fornecedor e verifica-se o que precisa ser complementado.
As cláusulas-padrão da ANPD podem ser alteradas?
A resolução estabelece um conteúdo mínimo que não pode ser esvaziado. É possível acrescentar disposições comerciais e operacionais, desde que não conflitem com as garantias previstas nem reduzam a proteção do titular. Alterações que contrariem esse núcleo comprometem a validade do mecanismo.
Se o contrato é com uma empresa brasileira, ainda assim preciso de cláusulas de transferência internacional?
Depende de onde os dados são processados. Se o fornecedor brasileiro usa infraestrutura ou sub-operadores no exterior, existe transferência internacional, mesmo com contrato nacional. Por isso o mapeamento da cadeia é tão importante.
Já tenho uma política de privacidade no site. Isso é suficiente?
Não. A política de privacidade comunica aos titulares como seus dados são tratados. As cláusulas-padrão regulam a relação entre a empresa e o fornecedor que recebe esses dados. São instrumentos com funções distintas e complementares.
Quanto tempo leva a adequação?
Varia conforme o número de fornecedores e a complexidade dos fluxos. O mapeamento costuma ser a etapa mais demorada; a negociação contratual depende do porte e da disposição de cada fornecedor. Um trabalho conduzido por um advogado especializado em direito digital tende a priorizar os fluxos de maior risco primeiro.
