Transferência internacional: o risco além da cláusula-padrão

A Res. 32/2026 simplifica fluxos com a Europa, mas o contrato de adesão das big techs e a soberania digital seguem como risco real.

O que aconteceu

A transferência internacional de dados voltou ao centro da agenda de compliance por três movimentos simultâneos. Em 26 de janeiro de 2026, a ANPD publicou a Resolução CD/ANPD nº 32/2026, que formaliza o reconhecimento recíproco de adequação entre Brasil e União Europeia (art. 33, I, da LGPD). Em paralelo, esgotou-se em 23 de agosto de 2025 o prazo da Res. CD/ANPD nº 19/2024 para incorporar as cláusulas-padrão contratuais aos contratos. E o debate público sobre soberania digital, impulsionado por discussões recentes sobre a possibilidade de restrição de acesso a serviços de grandes provedores estrangeiros em razão de sanções, expôs uma dependência que muitas organizações nunca mediram.

A Res. 32/2026 simplifica os fluxos com a União Europeia e o Espaço Econômico Europeu: como regra, dispensa cláusulas-padrão ou normas corporativas globais para essas transferências, excetuadas as finalidades de segurança pública, defesa nacional, segurança do Estado e persecução penal (art. 4º da LGPD). A decisão será reavaliada em quatro anos.

Por que isso importa para o setor

A simplificação europeia não alcança o destino que mais pesa na rotina da saúde: os Estados Unidos. Prontuários eletrônicos em nuvem, plataformas de telemedicina, ferramentas de produtividade e suporte técnico remoto costumam depender de provedores norte-americanos. Para destinos sem decisão de adequação, o art. 33, II, da LGPD segue exigindo garantias, e a via mais usada são as cláusulas-padrão da Res. 19/2024.

O problema é prático. Essas cláusulas devem ser adotadas sem alteração do seu texto, o que pressupõe que as partes consigam formalizá-las. Grandes provedores, porém, operam com contratos de adesão e aditamentos globais padronizados. O Encarregado raramente negocia; na maioria dos casos, escolhe entre aceitar o aditamento do fornecedor ou assumir o risco de operar sem a garantia exigida.

Por que a preocupação é maior do que a de conformidade formal

Alcance extraterritorial

Leis estrangeiras, como o CLOUD Act norte-americano, permitem que autoridades de outro país exijam dados sob controle de provedores sujeitos à sua jurisdição, ainda que armazenados no Brasil. A localização do servidor, portanto, não encerra a questão: importa quem controla a tecnologia, a operação e os acessos.

Continuidade do serviço

Sanções extraterritoriais e restrições comerciais podem, em tese, limitar o acesso a serviços essenciais. Para um hospital, a indisponibilidade de um sistema de prontuário ou de imagens diagnósticas não é apenas um incidente de segurança (art. 46 da LGPD): é risco assistencial.

Dados sensíveis em escala

Dados de saúde são sensíveis (art. 5º, II, e art. 11). A combinação de volume, criticidade e dependência de um único fornecedor eleva o impacto de qualquer interrupção ou acesso indevido.

Responsabilidade do controlador

O art. 42 da LGPD prevê responsabilidade solidária em hipóteses de descumprimento pelo operador. Contratar um provedor global não transfere o dever de demonstrar prestação de contas (art. 6º, X).

Implicações práticas para o Encarregado e o gestor

O cenário exige sair do olhar contratual e adotar uma leitura de risco. A pergunta deixa de ser apenas “há cláusula assinada?” e passa a ser “o que acontece com os pacientes e com a operação se este fornecedor falhar, for compelido a entregar dados ou ficar inacessível?”. Responder a isso exige participação conjunta do jurídico, da segurança da informação, da área assistencial e da alta direção.

Há ainda um efeito de prestação de contas: uma decisão de manter um fornecedor crítico, mesmo diante de limitações contratuais, é legítima quando documentada, com análise de risco, medidas complementares e aprovação da governança. Sem esse registro, a mesma decisão parece negligência. Dois pontos merecem atenção imediata: a ANPD sinalizou que acompanhará a adequação das transferências após o fim do prazo das cláusulas-padrão, e o regulamento de fiscalização está em revisão, o que tende a tornar a verificação mais ágil.

O que fazer a partir de agora

1. Mapear os fluxos. Identificar quais fornecedores recebem dados, de quais categorias e para quais países, a partir do ROPA e de consulta direta aos provedores.
2. Classificar a criticidade. Separar fornecedores cuja indisponibilidade paralisa a operação assistencial daqueles substituíveis.
3. Formalizar a garantia do art. 33. Verificar se cada fluxo para país sem adequação está coberto por cláusulas-padrão ou outro mecanismo e documentar a evidência. Quando o provedor oferecer apenas aditamento próprio, registrar a análise de equivalência e a tentativa de adequação.
4. Elaborar o TIA. O teste de impacto da transferência documenta o risco jurisdicional, o acesso por autoridades estrangeiras e as medidas complementares, como criptografia com chaves sob controle do cliente.
5. Planejar a saída. Prever cláusulas de portabilidade, cópias de contingência e alternativas de hospedagem para sistemas críticos.
6. Levar o tema à alta direção. Dependência tecnológica é decisão de governança, não apenas de TI.

Como o ecossistema HDPO pode ajudar

O PROTEGON apoia o mapeamento por meio do ROPA e a documentação de TIA e RIPD, enquanto o advisory e o DPOaaS da HDPO auxiliam o Encarregado na avaliação de fornecedores críticos e na interlocução contratual.