Armazenamento de dados pessoais na nuvem e transferência internacional: o que muda com a Resolução n. 19/2024 da ANPD?

O armazenamento na Cloud/Nuvem de site ou de e-mail pode caracterizar a transferência internacional de dados pessoais. Em quais situações do dia a dia isso pode ocorrer? 

• Contratação de provedor de serviço em nuvem fora do Brasil;
• Contratação (utilização) de provedor de e-mail estrangeiro;
• Compartilhar base de dados pessoais entre empresas de um mesmo grupo e uma delas esteja no exterior, por exemplo;
• Armazenar dados pessoais em banco de dados localizados no exterior;
• Terceirização de atendimento do consumidor;

Diante disso, na contratação de uma Cloud, ou de algum serviço que faça armazenamento internacional como e-mail ou de site, banco de dados caberá a quem o faça, ou seja, ao controlador ser diligente, pois nem sempre onde será feito o armazenamento observará a LGPD ou terá mesmo nível de proteção da legislação brasileira. 

A LGPD foi inspirada no Regulamento Geral de Proteção de Dados Pessoais Europeu (GDPR), que é considerado uma das legislações mais avançadas do mundo sobre esse tema. Nos Estados Unidos, por sua vez, cada Estado da federação segue a sua própria legislação sobre o tema, por isso, deve ser verificado onde fica localizado o data center. Ao fazer a configuração da AWS, por exemplo, é possível escolher o Estado em que ficará o armazenamento. Contudo, a Califórnia é tida como o Estado com a legislação mais avançada daquele país. Por isso, ao fazer a escolha fique atento, ainda mais, que há variação no custo a depender do Estado escolhido.

De acordo com a legislação brasileira a possibilidade de transferência de dados pessoais constitui uma exceção prevista, para isso deve ser observado o art. 33 da LGPD. Portanto, para que isso ocorra deve se encaixar em uma das hipóteses prevista naquele artigo, pois é considerado um rol taxativo1.

Entre as hipóteses previstas para a transferência internacional de dados pessoais estão:

• o armazenamento em países que tenham nível de proteção exigida pela LGPD;
• definição do conteúdo de cláusulas-padrão contratuais, ou com cláusulas contratuais específicas para determinada transferência;
• quando há garantia pelo controlador de que há cumprimento de princípios, dos direitos dos titulares, conforme LGPD, mediante selos, certificados, códigos de conduta. Em situações específicas de:

a) cooperação jurídica internacional;

b) cumprimento de obrigação legal ou regulatória;

c) execução de contrato;

d) para o exercício regular de direitos em processos administrativos, arbitrais ou judiciais.

A Resolução n. 19/2024 regulamenta o art. 35 da LGPD que estabelece que a definição do conteúdo de cláusulas-padrão contratuais, ou da verificação de cláusulas contratuais específicas para uma determinada transferência, normas corporativas globais ou selos, conforme cada caso, os quais devem possuir certificados e códigos de conduta será feito pela autoridade nacional de proteção de dados pessoais (ANPD).

Há a possibilidade de o controlador optar em por cláusulas contratuais específicas para a transferência internacional de dados pessoais. Contudo, para isso deverá solicitar a aprovação à ANPD.

Como é feito o armazenamento dos dados pessoais na sua empresa? Ficou com Dúvida agente um Diagnóstico gratuito com acordo de confidencialidade!

Referência

1 MALDONADO; Viviane Nóbrega; BLUM, Renato Opice (Coord.). LGPD : Lei Geral de Proteção de Dados comentada [livro eletrônico]/coordenadores. 2^a. ed. São Paulo: Thomson Reuters Brasil, 2020, p. RL-1.10.