Transferência internacional de dados: o que diz a LGPD e como as empresas devem se adequar

Transferência internacional de dados é o envio de dados pessoais, de clientes, de fornecedores ou de colaboradores, do Brasil para fora do país, ou de um país para outro, por qualquer meio: armazenamento em nuvem fora do Brasil, acesso remoto por um sistema hospedado no exterior, compartilhamento com a matriz de uma multinacional, ou integração entre ERPs de diferentes países. A LGPD trata esse tema nos artigos 33 a 36, e desde 2024 a Autoridade Nacional de Proteção de Dados (ANPD) vem detalhando, por resolução, como essa transferência deve acontecer na prática.

Parece um assunto só do jurídico. Não é. Toda vez que uma empresa implanta um ERP global, como um SAP com template único para todas as filiais, ou contrata uma ferramenta de nuvem hospedada nos Estados Unidos, ela está fazendo transferência internacional de dados, com ou sem perceber.

Quando a LGPD exige atenção

A lei autoriza o envio de dados para fora do Brasil em algumas hipóteses. A mais tranquila é quando o país de destino tem nível de proteção de dados considerado adequado pela ANPD. Em janeiro de 2026 a ANPD publicou a Resolução CD/ANPD nº 32, reconhecendo os países da União Europeia como adequados, o que facilita a vida de empresas que têm matriz ou parceiros europeus. Fora dessa lista curta de países, a transferência depende de garantias específicas: cláusulas contratuais padrão aprovadas pela própria ANPD, normas corporativas globais, selos e certificados internacionais, ou hipóteses legais específicas, como a execução de um contrato ou o cumprimento de obrigação legal.

Quem fechou contrato de processamento de dados com fornecedor de tecnologia no exterior precisava ter atualizado esse contrato para incluir as cláusulas padrão da ANPD até agosto de 2025. Esse prazo já passou. Se a sua empresa ainda não revisou os contratos de nuvem, de CRM, de plataforma de MDM ou de qualquer sistema que armazene dado fora do Brasil, esse é um ponto de atenção real, não teórico.

Como funciona na prática dentro da empresa

Imagine uma indústria brasileira com matriz na Alemanha, rodando SAP com um template global. O cadastro de cliente criado em uma planta no Brasil replica automaticamente para o sistema central, hospedado em um data center na Europa. Esse fluxo é, tecnicamente, uma transferência internacional de dados pessoais, sempre que o cadastro de cliente ou de contato comercial tem nome de pessoa física, CPF, e-mail ou telefone.

O mesmo vale para uma rede de varejo que usa uma plataforma de atendimento ao cliente hospedada nos Estados Unidos, para uma multinacional de bens de consumo que centraliza o cadastro de fornecedores em um hub regional fora do Brasil para padronizar homologação entre países, ou para uma empresa brasileira que começa a exportar e passa a compartilhar cadastro de cliente estrangeiro com o distribuidor local.

Eu já vi projeto de implantação de ERP travar na etapa de assinatura de contrato porque ninguém da área de TI sabia dizer com clareza por onde o dado do cliente brasileiro passava depois de sair do sistema local. Essa pergunta, que parece simples, só tem resposta quando existe mapeamento de dados feito com seriedade, e não um diagrama desatualizado guardado em uma pasta que ninguém abre há dois anos.

Quem é responsável por essa adequação

Não é tarefa só do jurídico nem só do encarregado de dados, o DPO. A adequação de transferência internacional exige um time. O DPO define a base legal e acompanha o relacionamento com a ANPD. O jurídico negocia e assina as cláusulas contratuais com cada fornecedor e parceiro no exterior. A área de TI e o arquiteto de dados mapeiam por onde cada fluxo de dado passa, de qual sistema para qual sistema, em qual país. E o data steward garante que o cadastro que alimenta esses fluxos, principalmente dados mestres de clientes, de fornecedores e de colaboradores, está correto e classificado antes de sair do país.

Sem esse mapeamento feito em conjunto, a empresa assina um contrato genérico, acha que está protegida, e descobre dois anos depois que um módulo novo do mesmo sistema, ativado sem aviso pela área de TI, está enviando outro tipo de dado para um servidor que nunca entrou na análise jurídica original.

Como a tecnologia ajuda a controlar o fluxo

Ferramentas de governança e catálogo de dados, como Collibra, Alation e Microsoft Purview, ajudam a mapear automaticamente onde cada dado nasce, por onde ele trafega e onde ele é armazenado, incluindo a localização geográfica dos servidores. Plataformas de MDM, como SAP MDG, Informatica, Stibo Systems, Reltio, Semarchy e Profisee, centralizam o cadastro mestre de cliente, fornecedor e material, o que facilita saber exatamente qual dado está sendo replicado para qual sistema, em qual país, antes mesmo de o jurídico sentar para negociar a cláusula contratual.

Isso não substitui a análise jurídica. Substitui a adivinhação. Uma empresa que sabe, com precisão, qual dado mestre viaja para fora do país negocia cláusula contratual melhor, porque sabe exatamente o que está protegendo e consegue provar isso para a ANPD, se um dia for fiscalizada.

Como aprender sobre o tema

Quem trabalha com dados mestres, governança ou cadastro e quer entender transferência internacional de dados na prática pode seguir três caminhos complementares. O primeiro é estudar diretamente o texto da LGPD e as resoluções da ANPD sobre o tema, disponíveis no site do governo. O segundo é buscar uma certificação de referência em gestão de dados, como o CDMP da DAMA, que trata privacidade e proteção de dados dentro de um corpo de conhecimento mais amplo de governança. O terceiro, e o mais importante, é acompanhar de perto como a própria empresa mapeia e documenta seus fluxos internacionais de dados, porque teoria sem aplicação no cadastro real vira conhecimento solto.

As oportunidades de carreira nesse tema

Profissionais que entendem ao mesmo tempo de LGPD, de governança de dados e da arquitetura de sistemas corporativos, como SAP, Oracle e TOTVS, ainda são raros no mercado brasileiro. A combinação de conhecimento jurídico com conhecimento técnico de onde o dado mestre nasce e para onde ele viaja abre espaço em áreas de compliance de dados, governança corporativa e arquitetura de dados, com demanda crescente em empresas multinacionais e em grupos brasileiros que estão expandindo operação para fora do país.

Principais dúvidas sobre transferência internacional de dados

Toda empresa que usa nuvem internacional precisa se preocupar com a LGPD? Sim, se o servidor de armazenamento ou processamento estiver fora do Brasil e o dado for pessoal, mesmo que seja só nome e e-mail de um contato comercial.

A transferência para os Estados Unidos é proibida pela LGPD? Não é proibida, mas os Estados Unidos também não estão na lista de países considerados adequados pela ANPD. Nesse caso a empresa precisa usar outra garantia, como as cláusulas contratuais padrão.

Quem assina o contrato com o fornecedor estrangeiro precisa saber de LGPD? Precisa, pelo menos, saber que essa exigência legal existe e acionar o jurídico e o DPO antes de assinar o contrato, não depois.

Dado de fornecedor pessoa jurídica entra nessa regra? A LGPD protege dado de pessoa física. Mas o cadastro de fornecedor quase sempre carrega contato de pessoa física, como o representante comercial, o que já traz a obrigação para dentro do processo.

Pequenas e médias empresas também precisam se adequar? Precisam, sob a mesma lei, mas o nível de formalidade do programa de adequação pode ser proporcional ao porte e ao risco da operação.

MDM Academy: onde aprofundar governança de dados mestres

A MDM Academy é a escola de governança de dados e dados mestres da 4MDG, criada para formar o profissional que o mercado brasileiro ainda não tem em quantidade suficiente. Lá, o conteúdo mistura o que a lei exige com o que o cadastro real de uma empresa precisa para funcionar, da base da LGPD até a prática de saneamento, taxonomia e modelagem de dados mestres de cliente, fornecedor e material.

Quem quer entender por dentro de projeto de verdade, com estudo de caso de empresas que já lidam com cadastro multinacional e transferência de dados entre países, encontra isso na MDM Academy. Para quem prefere começar com conteúdo gratuito antes de se matricular em qualquer curso, o Clube dos Dados reúne toda semana profissionais de cadastro e governança trocando experiência real sobre esses temas.

Conclusão

Transferência internacional de dados não é mais um assunto de matriz estrangeira distante da realidade brasileira. É consequência direta de usar ERP global, contratar nuvem internacional ou vender para cliente fora do país. A LGPD já definiu as regras, a ANPD está detalhando os mecanismos, e o prazo de adequação de contratos já passou para muita empresa.

O ponto cego continua o mesmo de sempre. Ninguém controla transferência internacional de dado que não sabe que existe. Antes de assinar qualquer cláusula contratual, vale a pergunta mais simples de todas, a mesma que trava tanto projeto de SAP: por onde o cadastro do seu cliente realmente passa, do Brasil até o servidor final?