Empresário de Blumenau nos liga preocupado com "vazamento de dados pra fora do país" e, quando a gente pergunta onde está hospedado o sistema de RH ou o CRM, a resposta quase sempre é a mesma: servidor nos EUA, região us-east-1, contrato com a Amazon assinado há três anos sem ninguém ter lido a cláusula de localização de dados. Isso já é transferência internacional, com ou sem avião envolvido.
Nossa leitura depois de revisar dezenas de contratos de cloud pra empresas do Vale do Itajaí: a maioria trata isso como detalhe técnico do TI. Não é. É item de conformidade com multa de até 2% do faturamento no Brasil, limitada a R$ 50 milhões por infração. E a ANPD já mostrou, desde agosto de 2021, que fiscaliza isso de forma efetiva.
O que a LGPD chama de "transferência internacional"
Não precisa dado saindo fisicamente do território brasileiro num pendrive. Basta o dado pessoal ser processado, armazenado ou acessado por servidor fora do Brasil. Backup automático replicado em datacenter irlandês da AWS, suporte técnico da Microsoft acessando log em Redmond, ferramenta de e-mail marketing hospedada em servidor americano: tudo isso é transferência, segundo o art. 33 da LGPD.
Na prática, isso cobre quase qualquer empresa que usa SaaS estrangeiro. Se você usa Google Workspace, Salesforce, HubSpot, Mailchimp ou qualquer ferramenta cuja infraestrutura não seja 100% nacional, você já transfere dado internacionalmente. A pergunta que interessa não é "eu faço isso?". É "eu faço isso com base legal?".
As portas de saída que a lei permite
O art. 33 da LGPD lista as hipóteses que autorizam a transferência. Falando sério: quase nenhuma empresa checa qual delas está usando. Elas simplesmente contratam a cloud e seguem em frente.
- Decisão de adequação: a ANPD reconhece que o país de destino tem nível de proteção adequado.
- Cláusulas-padrão contratuais: modelo aprovado pela própria ANPD, inserido no contrato com o fornecedor estrangeiro.
- Cláusulas contratuais específicas: negociadas caso a caso pra aquela transferência.
- Normas corporativas globais: políticas internas do grupo multinacional, aprovadas pela ANPD.
- Selos, certificados e códigos de conduta reconhecidos internacionalmente.
- Consentimento específico e destacado do titular pra aquela transferência, aquela finalidade.
Sem uma dessas bases, a transferência é irregular. Ponto. E a maior parte das empresas que atendemos não sabe dizer qual base usa, porque nunca leu o contrato de adesão da plataforma que assinou.
Cláusulas-padrão da ANPD: o que muda desde 2024
Em 2024 a ANPD publicou modelo próprio de cláusulas-padrão contratuais pra transferência internacional, parecido em espírito com as Standard Contractual Clauses europeias. Isso deu previsibilidade: em vez de negociar cláusula específica com cada fornecedor, a empresa pode inserir o texto padrão no contrato e ter a base legal resolvida.
O problema prático: pouquíssimo contrato de SaaS brasileiro incorpora isso ainda. Fornecedor grande, tipo AWS ou Google, tem cláusula de proteção de dados própria, geralmente redigida sob a ótica do GDPR europeu. Ela não substitui automaticamente a exigência da LGPD. Na prática, a empresa contratante precisa verificar se aquele contrato cobre a hipótese do art. 33 ou complementar com aditivo.
Países com "decisão de adequação": lista curta, cheia de ausências
A ANPD ainda não publicou uma lista extensa de países com decisão de adequação reconhecida, diferente da União Europeia, que já reconhece adequação para países como Japão, Reino Unido, Suíça e Canadá há anos. Os Estados Unidos não têm decisão de adequação nem no regime europeu, nem no brasileiro. É por isso que toda transferência pra servidor americano precisa se apoiar em outra base do art. 33, normalmente cláusula contratual.
Nossa leitura: enquanto a ANPD não amplia essa lista, empresa que hospeda dado sensível (saúde, biometria, dado de menor) em servidor americano sem cláusula contratual formal está exposta. Não é hipótese remota. É a regra pra maioria das PMEs que contratam cloud sem due diligence jurídica.
GDPR europeu não te protege automaticamente
Vemos empresa achando que, porque o fornecedor de cloud "segue o GDPR", está automaticamente em conformidade com a LGPD. Não está. São regimes distintos, com autoridades distintas e hipóteses de transferência que não coincidem ponto a ponto. GDPR e LGPD conversam, têm inspiração comum, mas certificação europeia não é escudo brasileiro.
Se sua empresa exporta serviço pra cliente europeu e também processa dado de cliente brasileiro na mesma infraestrutura, você pode precisar de duas camadas de conformidade rodando em paralelo: uma pro GDPR, outra pra LGPD. Isso é comum em empresa de tecnologia de Blumenau e Joinville que atende cliente português ou alemão junto com cliente nacional.
O que fazer nas próximas 2 semanas
Isso não exige seis meses de projeto. Exige levantamento direto:
- Liste todo fornecedor de tecnologia que armazena ou processa dado pessoal (cloud, CRM, e-mail marketing, RH, contabilidade digital).
- Para cada um, identifique onde fica o servidor (região da AWS, do Google Cloud, do Azure) e peça essa informação por escrito se o contrato não deixar claro.
- Verifique se o contrato menciona base legal de transferência internacional. Se não menciona, cobre um aditivo ou cláusula-padrão do fornecedor.
- Priorize dado sensível (saúde, biometria, dado de criança e adolescente): esse é o que gera maior risco de autuação.
- Se sua empresa se qualifica como ME, EPP ou startup, aplique o regime simplificado da Resolução CD/ANPD nº 2/2022, que reduz a formalidade exigida, mas não elimina a obrigação de ter base legal.
O encarregado de dados (art. 41) deveria assinar esse levantamento. Se sua empresa ainda não nomeou um, esse é o primeiro problema a resolver, antes até da transferência internacional.
Fale com um advogado da RSA.
Diagnóstico objetivo em até 24h úteis.
