Glossário da Lei Geral de Proteção de Dados - 15) Transferência internacional de dados

O inciso XV do art. 5º da Lei Geral de Proteção de Dados define a transferência internacional de dados: “transferência de dados pessoais para país estrangeiro ou organismo internacional do qual o país seja membro”.

Considerando as regras de aplicação da lei no espaço, a existência de operações de tratamento fora do Brasil também é regulada pela LGPD, caso a coleta dos dados pessoais tenha ocorrido no país (art. 3º. III) ou a atividade de tratamento tenha por objetivo a oferta ou o fornecimento de bens ou serviços ou o tratamento de dados de indivíduos localizados no território nacional (art. 3º. II, da LGPD).

Além disso, também existem regras específicas na LGPD para a transferência internacional de dados, ou seja, a remessa de dados pessoais tratados no Brasil para o exterior.

A caracterização da transferência internacional de dados significa que a atividade deve observar as regras previstas nos arts. 33/36, especialmente com o condicionamento de sua efetivação à comprovação da existência de uma das bases legais previstas no art. 33:

1) para países ou organismos internacionais que proporcionem grau de proteção de dados pessoais adequado ao previsto na LGPD brasileira;

2) quando o controlador oferecer e comprovar garantias de cumprimento dos princípios, dos direitos do titular e do regime de proteção de dados previstos na LGPD;

3) quando a transferência for necessária para a cooperação jurídica internacional entre órgãos públicos de inteligência, de investigação e de persecução, de acordo com os instrumentos de Direito Internacional;

4) quando a transferência for necessária para a proteção da vida ou da incolumidade física do titular dos dados pessoais ou de terceiros;

5) quando a autoridade nacional autorizar a transferência;

6) quando a transferência resultar em compromisso assumido em acordo de cooperação internacional;

7) quando a transferência for necessária para a execução de política pública ou atribuição legal do serviço público, com a observância da publicidade prevista no inciso I do art. 23 da LGPD;

8) quando o titular tiver fornecido o seu consentimento específico e em destaque para a transferência, com informação prévia sobre o caráter internacional da operação, distinguindo claramente esta de outras finalidades;

9) ou quando for necessária para atender as hipóteses previstas nos incisos II, V e VI do art. 7º da LGPD (cumprimento de obrigação legal ou regulatória pelo controlador; execução de contrato ou de procedimentos preliminares relacionados a contrato do qual seja parte o titular, a pedido dele; e para o exercício regular de direitos em processo judicial, administrativo ou arbitral).

As bases legais são para a transferência internacional de dados pessoais são alternativas, ou seja, o agente de tratamento pode justifica-la em apenas uma delas, que não precisa ser cumulada com outras.

Da mesma forma que as bases legais para o tratamento de dados pessoais (art. 7º) e de dados pessoais sensíveis (art. 11), o consentimento é apenas uma de suas hipóteses, ou seja, a transferência internacional de dados pessoais pode ser concretizada ainda que não haja a concordância expressa do titular, desde que se enquadre em uma das outras bases.

No Direito Comparado, o art. 4º do GDPR (Regulamento Geral sobre a Proteção de Dados) da União Europeia conceitua o “tratamento transfronteiriço” (cross-border processing) de duas formas: “a) O tratamento de dados pessoais que ocorre no contexto das atividades de estabelecimentos em mais do que um Estado-Membro de um responsável pelo tratamento ou um subcontratante na União, caso o responsável pelo tratamento ou o subcontratante esteja estabelecido em mais do que um Estado-Membro; ou b) O tratamento de dados pessoais que ocorre no contexto das atividades de um único estabelecimento de um responsável pelo tratamento ou de um subcontratante, mas que afeta substancialmente, ou é suscetível de afetar substancialmente, titulares de dados em mais do que um Estados-Membro” (art; 4º.23).