Transferencia internacional de datos: qué dice la LGPD y cómo deben adecuarse las empresas

La transferencia internacional de datos es el envío de datos personales, de clientes, de proveedores o de colaboradores, desde Brasil hacia fuera del país, o de un país a otro, por cualquier medio: almacenamiento en la nube fuera de Brasil, acceso remoto mediante un sistema alojado en el exterior, intercambio con la casa matriz de una multinacional, o integración entre ERPs de distintos países. La LGPD (Ley General de Protección de Datos de Brasil) trata este tema en los artículos 33 a 36, y desde 2024 la Autoridad Nacional de Protección de Datos (ANPD) viene detallando, mediante resoluciones, cómo debe darse esa transferencia en la práctica.

Parece un asunto solo del área jurídica. No lo es. Cada vez que una empresa implanta un ERP global, como un SAP con una plantilla única para todas las filiales, o contrata una herramienta en la nube alojada en Estados Unidos, está haciendo una transferencia internacional de datos, se dé cuenta o no.

Cuándo la LGPD exige atención

La ley autoriza el envío de datos fuera de Brasil en algunas hipótesis. La más tranquila es cuando el país de destino tiene un nivel de protección de datos considerado adecuado por la ANPD. En enero de 2026 la ANPD publicó la Resolución CD/ANPD nº 32, que reconoce a los países de la Unión Europea como adecuados, lo que facilita la vida de las empresas que tienen casa matriz o socios europeos. Fuera de esa lista corta de países, la transferencia depende de garantías específicas: cláusulas contractuales estándar aprobadas por la propia ANPD, normas corporativas globales, sellos y certificados internacionales, o hipótesis legales específicas, como la ejecución de un contrato o el cumplimiento de una obligación legal.

Quien firmó un contrato de procesamiento de datos con un proveedor de tecnología en el exterior tenía que haber actualizado ese contrato para incluir las cláusulas estándar de la ANPD hasta agosto de 2025. Ese plazo ya pasó. Si tu empresa todavía no revisó los contratos de nube, de CRM, de plataforma de MDM o de cualquier sistema que almacene datos fuera de Brasil, este es un punto de atención real, no teórico.

Cómo funciona en la práctica dentro de la empresa

Imagina una industria brasileña con casa matriz en Alemania, que corre SAP con una plantilla global. El maestro de clientes creado en una planta en Brasil se replica automáticamente al sistema central, alojado en un data center en Europa. Ese flujo es, técnicamente, una transferencia internacional de datos personales, siempre que el maestro de clientes o de contactos comerciales incluya el nombre de una persona física, CPF (el número de identificación fiscal de las personas físicas en Brasil), correo electrónico o teléfono.

Lo mismo vale para una cadena minorista que usa una plataforma de atención al cliente alojada en Estados Unidos, para una multinacional de bienes de consumo que centraliza el maestro de proveedores en un hub regional fuera de Brasil para estandarizar la homologación entre países, o para una empresa brasileña que empieza a exportar y pasa a compartir los registros de clientes extranjeros con el distribuidor local.

Ya vi proyectos de implantación de ERP trabarse en la etapa de firma del contrato porque nadie del área de TI sabía decir con claridad por dónde pasaban los datos del cliente brasileño después de salir del sistema local. Esa pregunta, que parece simple, solo tiene respuesta cuando existe un mapeo de datos hecho en serio, y no un diagrama desactualizado guardado en una carpeta que nadie abre hace dos años.

Quién es responsable de esta adecuación

No es tarea solo del área jurídica ni solo del encargado de protección de datos (DPO). La adecuación de la transferencia internacional exige un equipo. El DPO define la base legal y acompaña la relación con la ANPD. El área jurídica negocia y firma las cláusulas contractuales con cada proveedor y socio en el exterior. El área de TI y el arquitecto de datos mapean por dónde pasa cada flujo de datos, de qué sistema a qué sistema, en qué país. Y el data steward garantiza que los registros que alimentan esos flujos, principalmente los datos maestros de clientes, de proveedores y de colaboradores, estén correctos y clasificados antes de salir del país.

Sin ese mapeo hecho en conjunto, la empresa firma un contrato genérico, cree que está protegida, y descubre dos años después que un módulo nuevo del mismo sistema, activado sin aviso por el área de TI, está enviando otro tipo de dato a un servidor que nunca entró en el análisis jurídico original.

Cómo la tecnología ayuda a controlar el flujo

Las herramientas de gobernanza y catálogo de datos, como Collibra, Alation y Microsoft Purview, ayudan a mapear automáticamente dónde nace cada dato, por dónde circula y dónde se almacena, incluida la ubicación geográfica de los servidores. Las plataformas de MDM, como SAP MDG, Informatica, Stibo Systems, Reltio, Semarchy y Profisee, centralizan el maestro de clientes, de proveedores y de materiales, lo que facilita saber exactamente qué dato se está replicando a qué sistema, en qué país, incluso antes de que el área jurídica se siente a negociar la cláusula contractual.

Esto no sustituye el análisis jurídico. Sustituye la adivinanza. Una empresa que sabe con precisión qué dato maestro viaja fuera del país negocia mejor la cláusula contractual, porque sabe exactamente qué está protegiendo y puede probarlo ante la ANPD, si algún día es fiscalizada.

Cómo aprender sobre el tema

Quien trabaja con datos maestros, gobernanza o registros y quiere entender la transferencia internacional de datos en la práctica puede seguir tres caminos complementarios. El primero es estudiar directamente el texto de la LGPD y las resoluciones de la ANPD sobre el tema, disponibles en el sitio del gobierno. El segundo es buscar una certificación de referencia en gestión de datos, como el CDMP de DAMA, que trata la privacidad y la protección de datos dentro de un cuerpo de conocimiento más amplio de gobernanza. El tercero, y el más importante, es seguir de cerca cómo la propia empresa mapea y documenta sus flujos internacionales de datos, porque la teoría sin aplicación en los registros reales se vuelve conocimiento suelto.

Las oportunidades de carrera en este tema

Los profesionales que entienden al mismo tiempo de LGPD, de gobernanza de datos y de la arquitectura de sistemas corporativos, como SAP, Oracle y TOTVS, todavía son raros en el mercado brasileño. La combinación de conocimiento jurídico con conocimiento técnico de dónde nace el dato maestro y hacia dónde viaja abre espacio en áreas de compliance de datos, gobernanza corporativa y arquitectura de datos, con demanda creciente en empresas multinacionales y en grupos brasileños que están expandiendo su operación fuera del país.

Principales dudas sobre la transferencia internacional de datos

¿Toda empresa que usa nube internacional tiene que preocuparse por la LGPD? Sí, si el servidor de almacenamiento o procesamiento está fuera de Brasil y el dato es personal, aunque sea solo el nombre y el correo de un contacto comercial.

¿La transferencia a Estados Unidos está prohibida por la LGPD? No está prohibida, pero Estados Unidos tampoco figura en la lista de países considerados adecuados por la ANPD. En ese caso la empresa debe usar otra garantía, como las cláusulas contractuales estándar.

¿Quien firma el contrato con el proveedor extranjero necesita saber de LGPD? Necesita, al menos, saber que existe esa exigencia legal y activar al área jurídica y al DPO antes de firmar el contrato, no después.

¿Los datos de un proveedor persona jurídica entran en esta regla? La LGPD protege los datos de personas físicas. Pero el maestro de proveedores casi siempre incluye el contacto de una persona física, como el representante comercial, lo que ya trae la obligación al proceso.

¿Las pequeñas y medianas empresas también tienen que adecuarse? Sí, bajo la misma ley, pero el nivel de formalidad del programa de adecuación puede ser proporcional al tamaño y al riesgo de la operación.

MDM Academy: dónde profundizar en la gobernanza de datos maestros

La MDM Academy es la escuela de gobernanza de datos y datos maestros de 4MDG, creada para formar al profesional que el mercado brasileño todavía no tiene en cantidad suficiente. Allí, el contenido combina lo que exige la ley con lo que necesitan los registros reales de una empresa para funcionar, desde la base de la LGPD hasta la práctica de limpieza de datos, taxonomía y modelado de datos maestros de clientes, proveedores y materiales.

Quien quiera entender desde adentro un proyecto de verdad, con estudios de caso de empresas que ya lidian con datos maestros multinacionales y transferencia de datos entre países, lo encuentra en la MDM Academy. Para quien prefiera empezar con contenido gratuito antes de matricularse en cualquier curso, el Club de los Datos reúne cada semana a profesionales de datos maestros y gobernanza que intercambian experiencia real sobre estos temas.

Conclusión

La transferencia internacional de datos ya no es un asunto de una casa matriz extranjera lejana a la realidad brasileña. Es consecuencia directa de usar un ERP global, contratar una nube internacional o vender a un cliente fuera del país. La LGPD ya definió las reglas, la ANPD está detallando los mecanismos, y el plazo de adecuación de contratos ya pasó para muchas empresas.

El punto ciego sigue siendo el de siempre. Nadie controla una transferencia internacional de datos que no sabe que existe. Antes de firmar cualquier cláusula contractual, vale la pregunta más simple de todas, la misma que traba tantos proyectos de SAP: ¿por dónde pasan realmente los datos de tu cliente, desde Brasil hasta el servidor final?