Tomada de subsídios sobre transferências internacionais de dados pessoais inicia nesta quarta-feira

Nesta quarta-feira (18/05), a Autoridade Nacional de Proteção de Dados (ANPD) inicia a tomada de subsídios para coleta de colaborações da sociedade para a elaboração do regulamento sobre transferências internacionais de dados pessoais.

 As colaborações deverão ser enviadas exclusivamente por meio da plataforma Participa Mais Brasil, na opção Opine Aqui até o dia 17 de junho de 2022 (sexta-feira).

As transferências internacionais de dados tornaram-se instrumentos chave para o desenvolvimento da economia digital. Nesse contexto, a regulamentação dos mecanismos que viabilizam tais transferências é importante não apenas para viabilizar a inserção competitiva de empresas brasileiras em cadeias globais de valor, como também para garantir a efetiva proteção dos titulares e de seus dados pessoais.

Tendo em vista a complexidade do tema, a tomada de subsídios é um importante instrumento regulatório que visa obter elementos para a elaboração de normativos.

Na tomada de subsídios são coletadas informações e dados relevantes para o processo de regulamentação a partir da escuta dos diferentes setores interessados que, possivelmente, serão afetados pela publicação do ato normativo.

A autoridade confia que a Tomada de Subsídios contribuirá de forma relevante para a elaboração da regulamentação sobre transferências internacionais de dados pessoais, cuja minuta será objeto de consulta e audiência pública em breve.

Read the text above in english (.pdf) here.

The call for contributions on international transfers of personal data starts this Wednesday.

This Wednesday (May 18th), the National Data Protection Authority (ANPD) opens a call for contributions to collect inputs from society for the regulation of international transfers of personal data.

Contributions must be sent through the Participa Mais Brasil platform via the Opine Aqui option (https://www.gov.br/participamaisbrasil/consultation-international-datatransfer) until Friday, June 17th, 2022.

International data transfers have become a vital instrument for developing the digital economy. In this context, the regulation of the mechanisms that enable such transfers is essential not only to allow the competitive insertion of Brazilian companies in global value chains but also to ensure the effective protection of data subjects and their personal data.

Given the complexity of the subject, this is an important regulatory instrument that aims to obtain elements for the elaboration of regulations.

In a Call for contributions, information and data relevant to the regulatory process are collected by listening to the different interested sectors that might be affected by the publication of the normative act.

The Authority trusts that the call for contributions will subsidize the elaboration of the regulation on international transfers of personal data in a significant manner, whose draft will be subject to consultation and public hearing shortly.

With this call for contribution, the ANPD begins compliance with item 9 of the Authority's 2021-2022 biannual regulatory agenda, approved by Ordinance Nº. 11, on January 27th, 2021, which deals with the regulation of the international transfer of personal data.

For more information: normatizacao@anpd.gov.br

Confira as perguntas abaixo:

Read the questions below in english:

A ANPD considera bem-vindas contribuições a quaisquer das perguntas a seguir, não sendo obrigatória a elaboração de respostas a todos os questionamentos abaixo elencados:

ANPD welcomes contributions to any of the questions below. It is not mandatory to provide answers to all of the questions.

1) Quais os obstáculos atualmente para que as empresas transfiram dados do Brasil para outros países? E de outros países para o Brasil?

What are the current obstacles for companies to transfer data from Brazil to other countries? And from other countries to Brazil?

2) Qual a melhor maneira de promover convergência e interoperabilidade entre os instrumentos contratuais de transferências internacionais de dados com os de outras jurisdições? E como a ANPD pode atuar nesse sentido?

What is the best way to promote convergence and interoperability between contractual instruments for international data transfers with instruments from other jurisdictions? And how can ANPD act in this regard?

3) Quais os instrumentos mais efetivos e os mais utilizados para legitimar a transferência de dados pessoais internacionalmente por grandes e por pequenas empresas ou organizações?

What are the most effective and the most used instruments to enable international data transfers by large and small companies or organizations? 

4) Quais são os principais benefícios e impactos relacionados ao tema das transferências internacionais de dados pessoais e quais são as melhores alternativas para o seu endereçamento em cada um dos instrumentos contratuais de transferências de dados presentes na LGPD e na prática internacional?

What are the main benefits and impacts of international data transfers, and what are the best alternatives for addressing them in each of the contractual instruments for data transfers included in the LGPD and in international practice? 

5) Que critérios e/ou requisitos devem ser considerados na regulamentação de cada um dos seguintes mecanismos de transferência internacional de dados pessoais e por quê?

a. cláusulas-padrão contratuais;

b. cláusulas contratuais específicas; e

c. normas corporativas globais.

Which criteria and/or requirements should be considered in regulating each of the following international data transfer mechanisms and why?

a. standard contractual clauses;

b. specific contractual clauses; and

c. binding corporate rules. 

6) Em que medida os elementos a serem considerados pela ANPD na avaliação do nível de proteção de dados de países ou organismos estrangeiros para fins de adequação (art. 34 da LGPD) devem ser também levados em conta no âmbito das regras para os instrumentos contratuais?

To what extent should the elements to be considered by ANPD in assessing the level of data protection of foreign countries or international bodies for adequacy purposes (article 34 of the LGPD) also be taken into account within the scope of the rules for contractual instruments?

7) As cláusulas-padrão contratuais devem ser rígidas e com conteúdo pré-definido ou a sua regulamentação deve permitir uma determinada flexibilidade em relação ao texto das cláusulas, especificando os resultados desejados e permitindo alterações desde que não conflitem com o texto padrão disponibilizado? 

Should the standard contractual clauses be rigid and with predefined content, or should their regulation allow certain flexibility concerning the text of the clauses, specifying the desired results and allowing changes as long as they do not conflict with the standard text made available?

8) Qual seria o formato mais adequado para a ANPD disponibilizar modelos de cláusulas-padrão contratuais para transferências internacionais de dados? Há ferramentas que poderiam ser interessantes para tal? (por exemplo, árvore de decisões, formulários, checkboxes, etc)? Existem experiências sobre o tema que poderiam servir de exemplo para a ANPD?

What would be the most appropriate format for ANPD to make availiable models of standard contractual clauses for international data transfers? Are there any relevant 1 For the purposes of the Brazilian General Data Protection Law, the definition of processing agent refers to controllers or processors. tools that could be used to this end (e.g., decision tree, forms, checkboxes)? Are there any experiences on the theme that could serve as an example for ANPD? 

9) É necessário ter regras diferenciadas a depender do tipo dos agentes de tratamento (módulos específicos para os casos de controladores ou operadores) como exportadores e importadores de dados nas transferências internacionais realizadas por cláusulas contratuais? Quais?

Is it necessary to have different rules depending on the type of processing agents (e.g., specific modules for controllers or processors) as data exporters or importers in international data transfers based on contractual clauses? If so, what would they be?

10) Há requisitos que precisam ser diferentes para Normas Corporativas Globais em relação aos usualmente exigidos para cláusulas-padrão contratuais? Quais?

Are there requirements that need to be different for Binding Corporate Rules from those usually required for Standard Contractual Clauses? If so, what would they be?

11) Que critérios deveriam ser considerados na definição de grupo econômico ou empresarial que estaria habilitado para fins de aplicação das normas corporativas globais?

How should a corporate group be defined for the purpose of application of Binding Corporate Rules?

12) Quais informações mínimas (nível de detalhamento) sobre os dados pessoais devem ser exigidas para permitir a análise da conformidade pela ANPD das transferências internacionais de dados realizadas por instrumentos contratuais, que minimizem impactos negativos às atividades do grupo empresarial e preservem elevado grau de proteção ao titular de dados?

What is the minimum information (level of detail) on personal data needed to allow proper compliance analysis by ANPD of the international transfers of data carried out by contractual instruments, in order to minimize negative impacts on business activities and preserve a high degree of protection for the data subject?

13) Quais os riscos e benefícios de se permitir transferências entre grupos econômicos distintos cujas normas corporativas globais tenham sido aprovadas pela ANPD?

What are the risks and benefits of allowing transfers between different economic groups whose binding corporate rules have been approved by ANPD?

14) Existem experiências sobre a verificação e aprovação de cláusulas contratuais específicas e de normas corporativas globais que poderiam servir de exemplo para a ANPD?

Are there any experiences with the verification and approval of specific contractual clauses and binding corporate rules that could serve as an example for ANPD?

15) Quais são os direitos do titular no caso de alterações na configuração original da transferência? Em quais situações seria imprescindível a comunicação direta aos titulares ou algum tipo de intervenção destes?

What are the data subject's rights in case of changes in the original configuration of the transfer? In which situations is it essential to communicate directly with the data subjects or to enable some type of intervention by them?

16) Quais as melhores alternativas para a resolução de conflitos entre agentes de tratamento e entre estes e titulares de dados envolvendo instrumentos contratuais de transferências internacionais de dados? Acordos bilaterais, multilaterais ou a cooperação internacional entre autoridades de proteção de dados podem auxiliar na resolução de conflitos? Como?

What are the best alternatives for resolving conflicts between processing agents and/or between those agents and data subjects involving contractual instruments for international data transfers? Could bilateral, multilateral or international cooperation between data protection authorities assist in conflict resolution? If so, how?

17) Quais as melhores alternativas para promover a conformidade com a regulamentação (inclusive em relação ao importador) referente às transferências internacionais de dados?

What are the best alternatives to promote regulatory compliance (including concerning the importer) regarding international data transfers?

18) Quais as melhores alternativas para resolver as questões práticas relacionadas à responsabilização dos atores que transferem dados internacionalmente, em especial nos casos em que ocorrem transferências ulteriores para outras jurisdições ou em que os dados, mesmo que na mesma jurisdição, são processados por outros agentes de tratamento distintos do importador?

What are the best alternatives to resolve practical issues related to the accountability of stakeholders who transfer data overseas, especially in cases where onward transfers to other jurisdictions occur or when data is processed by other data processing agents in the same jurisdiction?

19) Quais obrigações devem ser atribuídas ao importador e ao exportador em caso de acesso aos dados por determinação de autoridades públicas estrangeiras?

What obligations should be assigned to the importer and exporter in case of access to data by foreign public authorities?

20) Quais os mecanismos mais adequados para fornecer aos titulares a informação clara e relevante sobre a eventual transferência de seus dados pessoais para fora do Brasil bem como para assegurar a efetiva proteção de direitos dos titulares nas transferências internacionais de dados pessoais? Como esses instrumentos devem ser implementados?

 What are the most appropriate mechanisms to provide data subjects with clear and relevant information about the possible transfer of their personal data outside of Brazil as well as to ensure the adequate protection of data subjects' rights in international data transfers? How should these instruments be implemented?

Com essa tomada de subsídios, a ANPD inicia o cumprimento do item 9 da agenda regulatória bianual 2021-2022 da Autoridade, aprovada pela Portaria nº 11, de 27 de janeiro de 2021, que trata da regulamentação da transferência internacional de dados pessoais.

Acesse a Nota Técnica.

Acesse o Aviso de Tomada de Subsídios nº 02/2022.

Acesse a lista de perguntas consolidadas em formato PDF.