Em 2024, a ANPD publicou dois regulamentos com efeito direto sobre empresas digitais: a Resolução 18, de julho, sobre a atuação do encarregado (DPO), e a Resolução 19, de agosto, sobre transferência internacional de dados, com cláusulas-padrão e prazo de 12 meses para adoção.
Em 2024, a Autoridade Nacional de Proteção de Dados (ANPD) publicou dois regulamentos que afetaram diretamente empresas de tecnologia e seus clientes. O primeiro, a Resolução CD/ANPD nº 18, de 16 de julho de 2024, detalhou como deve atuar o encarregado pelo tratamento de dados pessoais, o DPO. O segundo, a Resolução nº 19, publicada em 23 de agosto de 2024, regulamentou a transferência internacional de dados e aprovou cláusulas-padrão contratuais, com prazo de 12 meses para que contratos fossem adaptados.
O que mudou com o regulamento do encarregado?
A Resolução nº 18 foi publicada no Diário Oficial da União em 17 de julho de 2024, segundo o escritório Lefosse. Os principais pontos foram:
- Ato formal de indicação: o agente de tratamento deve nomear o encarregado por ato formal que descreva as formas de atuação e as atividades;
- Divulgação: identidade e contato do encarregado devem ser publicados e mantidos atualizados;
- Conflito de interesse: o regulamento prevê medidas a adotar quando houver possível conflito;
- Condições de trabalho: a empresa deve dar ao encarregado condições para cumprir suas funções;
- Responsabilidade: exercer a função não torna o encarregado responsável pela conformidade do controlador;
- Ausências e vacância: há regras para impedimentos e substituições.
O que a Resolução 19 trouxe sobre transferência internacional?
Transferência internacional ocorre sempre que dados pessoais saem do Brasil, o que inclui, por exemplo, o uso de serviços de nuvem e de software hospedados fora do país. Segundo o escritório Mattos Filho, a Resolução nº 19 detalhou os mecanismos previstos no artigo 33 da LGPD.
| Mecanismo | Como funciona |
|---|---|
| Decisão de adequação | A ANPD reconhece que outro país ou organismo protege dados em nível equivalente ao brasileiro |
| Cláusulas-padrão contratuais | Texto aprovado pela ANPD, adotado integralmente, sem alterações, no contrato entre exportador e importador |
| Cláusulas equivalentes | Cláusulas de outros países reconhecidas pela ANPD como compatíveis com a LGPD |
| Cláusulas específicas | Pedido de aprovação à ANPD quando as cláusulas-padrão não forem viáveis |
| Normas corporativas globais | Regras vinculantes para transferências dentro de um mesmo grupo empresarial |
Quem já usava cláusulas contratuais ganhou até 12 meses, a partir da publicação, para incorporar as cláusulas-padrão aprovadas pela ANPD. O regulamento também exigiu que controladores publiquem informações claras sobre as transferências, como finalidade, duração e país de destino.
Por que esses regulamentos interessam a quem contrata tecnologia?
Quase todo projeto digital envolve dados pessoais e, com frequência, fornecedores e servidores fora do Brasil. Os regulamentos de 2024 transformaram obrigações gerais da LGPD em exigências mais concretas:
- Contratos com fornecedores de nuvem, de software e de desenvolvimento passaram a precisar de cláusulas de transferência internacional compatíveis.
- Empresas passaram a ter de formalizar a indicação do encarregado e divulgar seu contato.
- Políticas de privacidade precisaram informar com mais clareza para onde os dados vão.
O que isso significa hoje?
Em 2026, ao contratar uma software house, uma agência ou um fornecedor de IA, peça que o contrato indique onde os dados serão processados, quais subcontratados terão acesso e qual mecanismo de transferência internacional será usado. Empresas que ainda não revisaram contratos antigos podem estar fora do prazo dado pela ANPD em 2024.
Fontes
- Lefosse: ANPD publica regulamento sobre a atuação do encarregado de proteção de dados
- Mattos Filho: ANPD regulamenta transferência internacional de dados
- Lefosse: ANPD publica regulamento de transferência internacional de dados e cláusulas-padrão contratuais
- IRIB: Resolução CD/ANPD nº 18, de 16 de julho de 2024
Compare nota, avaliações verificadas e score, e fale direto com a empresa pela Citeo.
Perguntas frequentes
O que é a Resolução CD/ANPD nº 18?
É o regulamento sobre a atuação do encarregado pelo tratamento de dados pessoais, publicado em 17 de julho de 2024. Ele exige, entre outros pontos, a indicação do encarregado por ato formal e a divulgação de sua identidade e contato.
Qual o prazo para adotar as cláusulas-padrão da ANPD?
Até 12 meses a partir da publicação da Resolução nº 19, em 23 de agosto de 2024, para quem já usava cláusulas contratuais em transferências internacionais.
Usar nuvem fora do Brasil é transferência internacional?
Em geral, sim, quando dados pessoais são armazenados ou processados em servidores no exterior. Nesses casos, é preciso um dos mecanismos previstos na LGPD e detalhados pela Resolução nº 19, como as cláusulas-padrão contratuais. O enquadramento de cada contrato deve ser confirmado com o jurídico ou o encarregado da empresa.