A LGPD permite enviar dados ao exterior via países com proteção adequada ou cláusulas contratuais, conforme a Resolução ANPD 19/2024. Mas "dentro da lei" não é sinônimo de "sem risco": conformidade formal não elimina uma exposição que só deixa de existir, de fato, se o dado nunca sair do país.
A Lei Geral de Proteção de Dados (LGPD) não proíbe o envio de dados pessoais para o exterior. Em seu artigo 33, prevê caminhos legítimos para isso: transferência para países com nível de proteção considerado adequado (hoje, praticamente restrito à União Europeia e ao Espaço Econômico Europeu) ou o uso de cláusulas contratuais padrão e outras salvaguardas específicas, conforme a Resolução ANPD 19/2024. Ou seja: é possível, sim, mandar dados para servidores fora do Brasil e continuar dentro da lei.
O problema é que "dentro da lei" não é sinônimo de "sem risco". É aqui que vale separar dois conceitos que costumam ser tratados como sinônimos: conformidade e proteção. Uma empresa pode estar formalmente em conformidade, com contratos assinados, cláusulas implementadas, processo documentado, e ainda assim manter uma exposição que simplesmente não existiria se o dado nunca tivesse saído do país.
E o cenário atual reforça essa preocupação: o prazo para a adequação a esse tipo de transferência internacional de dados se encerrou em agosto de 2025. Passados pouco mais de um ano, será que todas as empresas, instituições e órgãos públicos já estão alinhados?
A resposta, ao que tudo indica, é não. Em fevereiro deste ano, uma reportagem do portal Migalhas conversou com o presidente da Autoridade Nacional de Proteção de Dados (ANPD), Waldemar Gonçalves, que afirmou que empresas que não estruturaram corretamente seus mecanismos de transferência internacional podem ser alvo de fiscalização e sanção. A matéria também expôs uma dificuldade prática: muitas enfrentam entraves reais para implementar as cláusulas contratuais padrão exigidas.
É esse raciocínio que está por trás de soluções como a DocSec (www.docsec.com.br). A empresa optou por rodar sua própria inteligência artificial em infraestrutura brasileira, processando e anonimizando documentos sensíveis sem que nenhum dado precise cruzar qualquer fronteira. Não é apenas uma alternativa às exigências do artigo 33, mas uma solução, visto que elimina essa camada de risco. Se o dado não sai, não há transferência internacional para regularizar.
Matéria que inspirou esta reflexão: link