Desde 26 de janeiro de 2026, dados pessoais podem circular entre o Brasil e a União Europeia sem cláusulas contratuais adicionais, sem normas corporativas globais e sem autorização prévia da ANPD. A agência brasileira publicou a resolução que abre esse caminho e a Comissão Europeia adotou, no mesmo dia, a decisão espelhada sobre o Brasil. A ação prioritária para equipes de segurança e privacidade é o inventário dos fluxos internacionais: separar o que já pode viajar sob o regime de adequação do que continua dependendo das cláusulas-padrão contratuais aprovadas em 2024.
O público afetado é amplo. Qualquer controlador ou operador que usa provedores de nuvem, ferramentas de suporte, plataformas de analytics, serviços de IA ou sistemas de ERP com infraestrutura ou matriz fora do Brasil precisa revisar a base legal de cada envio de dados. Para a Europa, a burocracia contratual cai de forma relevante; para o resto do mundo, ela permanece inteira — e o período de transição regulatório já acabou, o que transforma contratos antigos em passivo de conformidade.
O que muda com a adequação
A Resolução nº 32, de 26 de janeiro de 2026, do Conselho Diretor da ANPD reconheceu a União Europeia como organismo internacional com grau de proteção de dados pessoais adequado ao previsto na Lei nº 13.709, de 14 de agosto de 2018. O texto integral está publicado no Diário Oficial da União e autoriza transferências internacionais com base no art. 33, inciso I, da LGPD para todos os Estados membros da União Europeia, para os três países da AELC que integram o Espaço Econômico Europeu (Islândia, Liechtenstein e Noruega) e para as instituições, órgãos e agências da própria União. Na prática, um provedor sediado em Frankfurt, Dublin ou Estocolmo deixou de exigir cláusula-padrão contratual para receber dados pessoais do Brasil.
Do outro lado do Atlântico, em 26 de janeiro de 2026 a Comissão Europeia adotou a Decisão de Execução (UE) 2026/179, que reconheceu nível adequado de proteção de dados pessoais pelo Brasil, com efeito imediato para transferências de controladores e operadores na União rumo ao país. As duas decisões são unilaterais e juridicamente autônomas, mas foram coordenadas: juntas, segundo a Comissão, criam a maior área de fluxo livre e seguro de dados do mundo, beneficiando cerca de 670 milhões de pessoas. A decisão europeia será revista após quatro anos; a brasileira prevê reavaliação no mesmo prazo.
Há limites que a equipe técnica precisa conhecer antes de descartar contratos. A adequação brasileira não alcança transferências realizadas exclusivamente para fins de segurança pública, defesa nacional, segurança do Estado ou investigação e repressão de infrações penais — nesses casos, a análise jurídica específica continua obrigatória. A ANPD também se reservou o poder de monitorar continuamente o nível de proteção mantido pela União Europeia e de solicitar informações em avaliações periódicas, o que significa que o reconhecimento não é irreversível.
Onde as cláusulas continuam
Adequação resolve apenas o destino Europa. Estados Unidos, Reino Unido, Canadá, América Latina e Ásia seguem fora de qualquer decisão de adequação brasileira, e para esses destinos vale o Regulamento de Transferência Internacional de Dados da Resolução CD/ANPD nº 19, de 23 de agosto de 2024. O regulamento deu prazo de até 12 meses, contado da publicação da Resolução, para incorporar as cláusulas-padrão contratuais do Anexo II aos instrumentos contratuais existentes — prazo que expirou em agosto de 2025. Contratos de processamento de dados assinados antes disso e nunca aditivados são, hoje, a lacuna mais comum em auditorias.
A regra de ouro do art. 16 do regulamento é a adoção integral e sem alteração do texto do Anexo II. Ajustes só são permitidos nos campos de preenchimento expressamente previstos: identificação das partes, descrição da transferência, categorias de dados, finalidades, período de armazenamento e as escolhas entre opções de transferência posterior e de responsabilidade. Qualquer edição do texto fixo invalida o mecanismo. As cláusulas também criam obrigações operacionais que a segurança precisa sustentar, como a comunicação de incidentes às titulares e à ANPD — tema detalhado no guia do portal sobre comunicar incidente à ANPD.
Outros mecanismos do regulamento seguem teóricos. Segundo a página oficial da ANPD sobre transferências internacionais, até agora nenhuma cláusula-padrão equivalente, nenhuma cláusula contratual específica e nenhuma norma corporativa global foi aprovada pelo Conselho Diretor. Grupos econômicos que planejavam consolidar transferências internacionais sob uma norma corporativa global, no modelo das BCRs europeias, ainda precisam operar com as cláusulas-padrão por contrato. Regimes setoriais externos mantêm relógios próprios de notificação, como mostra a análise do portal sobre o CRA e a janela de 24 horas — adequação não substitui essas obrigações.
Como auditar seus fluxos
O ponto de partida é o registro de operações de tratamento. Sem saber quais dados saem do país, para qual jurisdição e sob qual contrato, nenhuma decisão de adequação ou cláusula pode ser aplicada. A tabela abaixo resume a decisão por tipo de fluxo:
| Fluxo de dados | Mecanismo válido | Ação recomendada |
|---|---|---|
| Brasil para UE, EEE ou instituições da União | Decisão de adequação (art. 33, I, da LGPD) | Registrar a base legal, revisar contratos para remover exigências redundantes e manter a política de privacidade atualizada |
| Brasil para EUA, Reino Unido ou outros destinos sem adequação | Cláusulas-padrão contratuais do Anexo II da Resolução nº 19 | Verificar adoção integral do texto, sem edições; aditivar contratos antigos |
| Transferências dentro do mesmo grupo econômico | Cláusulas-padrão, enquanto não houver norma corporativa global aprovada | Assinar as cláusulas entre exportador e importador do grupo |
| Subprocessadores no exterior | Opções de transferência posterior das Cláusulas 3 e 18 | Mapear a cadeia, obter anuência e replicar as obrigações contratuais |
| Dados para fins de segurança pública ou defesa | Fora do alcance da adequação | Análise jurídica específica caso a caso |
Três verificações merecem atenção na auditoria. Primeira: a jurisdição real do processador, não a da sede comercial — um fornecedor europeu com filial de processamento nos Estados Unidos pode exigir tratamento misto. Segunda: a Cláusula 14 das cláusulas-padrão exige documento público, em linguagem simples, descrevendo a transferência; a ausência dessa publicação é falha de conformidade fácil de detectar e de corrigir. Terceira: o titular pode solicitar a íntegra das cláusulas assinadas, o que exige guardar as versões preenchidas de forma recuperável.
Para fluxos que passaram a viajar sob adequação, a recomendação é contrária à intuição: não destrua os registros. A decisão pode ser revista em quatro anos, e a capacidade de reativar cláusulas-padrão rapidamente depende de manter os contratos arquivados e o mapeamento de fluxos vivo. Governança de dados é, aqui, questão de resiliência, não só de conformidade.
Prioridades P1 e P2
P1 — faça agora: monte o inventário de fluxos internacionais com jurisdição de destino e base legal; identifique contratos de processamento sem as cláusulas-padrão para destinos sem adequação; confirme se os campos das cláusulas assinadas refletem categorias reais de dados e finalidades atuais; e valide o canal de comunicação de incidentes com prazos e responsabilidades entre exportador e importador.
P2 — planeje no trimestre: atualize a política de privacidade e o documento em linguagem simples exigido pela Cláusula 14; revise a cadeia de subprocessadores e as opções de transferência posterior; acompanhe as decisões de adequação e as listas de mecanismos aprovados publicadas pela ANPD; e inclua o cenário de revisão da adequação no plano de resposta a mudanças regulatórias, com dono definido.