LGPD: transferência internacional de dados, arts. 33 a 36

Armazenar dados em nuvem, contratar um serviço de e-mail de fornecedor estrangeiro ou compartilhar informações com um órgão de outro país são situações comuns no serviço público e no setor privado. Em todas elas pode haver transferência internacional de dados, tema do Capítulo V da Lei 13.709 (arts. 33 a 36). A prova costuma pedir a lista das hipóteses em que a transferência é permitida. Este guia organiza as nove hipóteses do art. 33 em grupos e explica o papel da autoridade nacional nos arts. 34 a 36.

A regra: só é permitida nos casos do art. 33

O art. 33 diz que a transferência internacional somente é permitida nos casos que enumera. A estrutura é de lista fechada. Um jeito de organizar os nove incisos:

Grupo	Inciso	Hipótese
Proteção equivalente	I	países ou organismos internacionais com grau de proteção adequado ao previsto na lei
Garantias oferecidas pelo controlador	II	cláusulas contratuais específicas; cláusulas-padrão contratuais; normas corporativas globais; selos, certificados e códigos de conduta regularmente emitidos
Cooperação e interesse público	III	cooperação jurídica internacional entre órgãos públicos de inteligência, investigação e persecução; VI: compromisso assumido em acordo de cooperação internacional; VII: execução de política pública ou atribuição legal do serviço público, com publicidade nos termos do art. 23, I
Proteção da vida	IV	proteção da vida ou da incolumidade física do titular ou de terceiro
Autorização	V	autorização da autoridade nacional
Consentimento	VIII	consentimento específico e em destaque, com informação prévia sobre o caráter internacional da operação, distinguindo-a de outras finalidades
Outras bases do art. 7º	IX	quando necessário para atender as hipóteses dos incisos II, V e VI do art. 7º

Observe que o consentimento (inciso VIII) é apenas uma das hipóteses, e vem com requisito reforçado: específico, em destaque e com informação prévia sobre o caráter internacional. Não é a regra geral.

Inciso II: as quatro garantias

O controlador oferece e comprova garantias de cumprimento dos princípios, dos direitos do titular e do regime de proteção da lei, na forma de:

1. cláusulas contratuais específicas para determinada transferência;
2. cláusulas-padrão contratuais;
3. normas corporativas globais;
4. selos, certificados e códigos de conduta regularmente emitidos.

A pegadinha comum é trocar “oferecer e comprovar” por “declarar”, ou incluir uma quinta forma que a lei não prevê.

Inciso VII e a transparência

A transferência necessária para a execução de política pública ou atribuição legal do serviço público exige que seja dada publicidade nos termos do inciso I do caput do art. 23. Isso liga o Capítulo V ao regime do poder público; veja LGPD no poder público: arts. 23 a 32.

Parágrafo único: avaliação por pedido do poder público

Para o inciso I, as pessoas jurídicas de direito público referidas no parágrafo único do art. 1º da Lei de Acesso à Informação, no âmbito de suas competências legais, e os responsáveis, no âmbito de suas atividades, podem requerer à autoridade nacional a avaliação do nível de proteção conferido por país ou organismo internacional.

Como se mede o nível de proteção (art. 34)

O nível de proteção do país ou organismo é avaliado pela autoridade nacional, considerando:

1. normas gerais e setoriais da legislação em vigor no destino;
2. a natureza dos dados;
3. a observância dos princípios gerais e dos direitos dos titulares previstos na lei;
4. a adoção de medidas de segurança previstas em regulamento;
5. a existência de garantias judiciais e institucionais para o respeito aos direitos de proteção de dados;
6. outras circunstâncias específicas da transferência.

Quem define as cláusulas e verifica as garantias (arts. 35 e 36)

O art. 35 atribui à autoridade nacional a definição do conteúdo das cláusulas-padrão e a verificação das cláusulas específicas, das normas corporativas globais e dos selos, certificados e códigos de conduta. Pontos de prova:

• devem ser considerados os requisitos, condições e garantias mínimas para a transferência que observem direitos, garantias e princípios da lei (§ 1º);
• a autoridade pode requerer informações suplementares ou fazer diligências de verificação (§ 2º);
• pode designar organismos de certificação, que ficam sob sua fiscalização (§ 3º), e rever ou anular atos desses organismos em desconformidade com a lei (§ 4º);
• as garantias também são analisadas conforme as medidas técnicas e organizacionais do operador, nos termos dos §§ 1º e 2º do art. 46 (§ 5º).

O art. 36 impõe que as alterações nas garantias apresentadas como suficientes sejam comunicadas à autoridade nacional.

Exemplo resolvido

Um órgão público quer contratar um serviço de armazenamento cujo fornecedor mantém servidores em outro país. O órgão pode estruturar a transferência por mais de um caminho: confirmar que o país tem nível adequado de proteção (inciso I, e o parágrafo único permite pedir avaliação à autoridade); exigir cláusulas-padrão no contrato (inciso II, “b”); ou, se for necessário à execução de política pública, dar a publicidade exigida pelo art. 23, I (inciso VII). Se depois o fornecedor alterar as garantias oferecidas, o art. 36 exige comunicação à autoridade.

Erros comuns

• Dizer que a transferência internacional depende sempre de consentimento: é uma das hipóteses.
• Dizer que cláusulas-padrão são definidas pelo controlador: a definição é da autoridade nacional.
• Esquecer que a hipótese do inciso VII exige publicidade nos termos do art. 23, I.
• Dizer que alterações nas garantias não precisam ser comunicadas: o art. 36 as exige.

Próximos passos

• Veja a base de consentimento e direitos em LGPD: treino comentado.
• Estude a IA no serviço público em IA generativa no serviço público e LGPD.
• Revise os deveres de segurança em LGPD: segurança, incidentes e governança.

Fontes e atualização

• Lei 13.709, texto compilado: Lei 13.709 (LGPD) no Planalto.

Conferimos o texto compilado na data de publicação. A lei foi alterada; confira a norma vigente e o edital.