A crescente adoção de serviços de computação em nuvem tem proporcionado inúmeros benefícios às empresas, como escalabilidade, redução de custos e acesso facilitado a dados. No entanto, essa prática levanta questões cruciais sobre a transferência internacional de dados pessoais, especialmente à luz da Lei Geral de Proteção de Dados (LGPD).
Armazenamento em Nuvem e Transferência Internacional de Dados
Muitas organizações utilizam provedores de nuvem internacionais, como Microsoft Azure, Amazon Web Services e Google Cloud, cujos servidores frequentemente estão localizados fora do Brasil. Essa configuração implica que o armazenamento de dados nesses servidores pode ser considerado uma transferência internacional de dados pessoais, conforme a LGPD.
A LGPD define transferência internacional de dados como a “transferência de dados pessoais para um país estrangeiro ou organismo internacional do qual o Brasil seja membro”. No entanto, o simples armazenamento de dados em nuvem, sem compartilhamento ativo entre agentes, suscita debates sobre se configuraria efetivamente uma transferência internacional.
Posicionamento da ANPD
A Autoridade Nacional de Proteção de Dados (ANPD), por meio da Resolução CD/ANPD nº 19/2024, aprovou o Regulamento de Transferência Internacional de Dados Pessoais, visando esclarecer essas questões. O regulamento estabelece procedimentos e regras para a transferência internacional de dados, incluindo:
Reconhecimento de Países com Nível Adequado de Proteção: A transferência é permitida para países que oferecem um nível de proteção adequado aos dados pessoais, conforme decisão de adequação emitida pela ANPD.
Cláusulas-Padrão Contratuais: A ANPD aprovou cláusulas-padrão que podem ser incorporadas em contratos envolvendo transferência internacional de dados. Para validade, é necessária a adoção integral e sem alterações do texto disponibilizado pela autoridade.
Garantias Adicionais: O regulamento permite a transferência baseada em garantias de cumprimento dos princípios e direitos do titular previstos na LGPD, utilizando mecanismos como selos, certificados e códigos de conduta emitidos regularmente.
Implicações para as Empresas
Dado que o armazenamento em nuvem pode ser interpretado como transferência internacional de dados, as empresas brasileiras que utilizam esses serviços devem:
Mapear Operações de Tratamento de Dados: Identificar todas as atividades que envolvem transferência internacional, registrando informações como forma, duração, finalidade da transferência e países de destino.
Revisar Contratos com Provedores de Nuvem: Assegurar que os contratos incluam as cláusulas-padrão aprovadas pela ANPD ou outras garantias adequadas de proteção de dados.
Implementar Políticas de Privacidade Robustas: Atualizar políticas internas e externas para refletir o compromisso com a proteção de dados e conformidade com a LGPD.
Assegurar Direitos dos Titulares: Estabelecer procedimentos para atender solicitações dos titulares, incluindo acesso, correção e exclusão de dados pessoais.
Conclusão
A utilização de serviços de computação em nuvem oferece vantagens competitivas significativas. Contudo, é imprescindível que as empresas estejam atentas às implicações legais relacionadas à transferência internacional de dados pessoais. A conformidade com a LGPD e as diretrizes da ANPD não só evita sanções, mas também fortalece a confiança dos clientes e parceiros de negócios.