Regulamentações de transferência de dados transfronteiriças: navegando em fluxos de dados internacionais

85% das empresas globais transferem dados pessoais através das fronteiras, mas apenas 34% têm mecanismos de transferência documentados em vigor. Depois do Schrems II invalidar o Escudo de Privacidade UE-EUA em 2020, as transferências transfronteiriças de dados tornaram-se uma das áreas mais complexas da legislação de protecção de dados. O Quadro de Privacidade de Dados UE-EUA restaurou parcialmente a segurança jurídica para as transferências nos EUA, mas o panorama mais amplo das restrições globais à transferência de dados continua a expandir-se.

Este guia mapeia o estado atual das regulamentações de transferência transfronteiriça de dados e fornece orientações práticas de implementação para empresas que operam internacionalmente.

Principais conclusões

• A UE reconhece que apenas 15 países fornecem proteção de dados "adequada" --- todas as outras transferências precisam de mecanismos adicionais
• As Cláusulas Contratuais Padrão (SCCs) são o mecanismo de transferência mais comum, mas agora exigem Avaliações de Impacto de Transferência complementares
• Os requisitos de localização de dados estão aumentando: China, Rússia, Índia e Arábia Saudita restringem a saída de certos dados do país
• O Quadro de Privacidade de Dados UE-EUA fornece um mecanismo de transferência para empresas dos EUA que autocertificam

---

Hierarquia do mecanismo de transferência

De acordo com o GDPR, os dados pessoais só podem sair do EEE usando um destes mecanismos (por ordem de simplicidade):

1. Decisões de adequação

A Comissão Europeia determinou que estes países oferecem proteção adequada:

Se os seus dados forem para um país adequado: Nenhum mecanismo de transferência adicional é necessário. Processe-o como uma transferência intra-EEE.

Se não estiver na lista: você precisa de um dos mecanismos abaixo.

2. Cláusulas Contratuais Padrão (CECs)

O mecanismo de transferência mais comumente usado. SCCs são modelos de contrato pré-aprovados que vinculam o importador de dados a proteções equivalentes ao GDPR.

Quatro módulos (use o relevante):

Etapas de implementação:

1. Identifique todas as transferências de dados fora do EEE
2. Selecione o módulo SCC apropriado para cada transferência
3. Preencher os anexos (categorias de dados, medidas de segurança, subprocessadores)
4. Realizar uma Avaliação de Impacto de Transferência (AIT) para cada país receptor
5. Assine os SCCs com o importador de dados
6. Implementar quaisquer medidas suplementares identificadas no TIA

3. Regras Corporativas Vinculativas (BCRs)

Para empresas multinacionais que transferem dados entre entidades do grupo. As BCR são aprovadas por uma autoridade supervisora ​​principal e fornecem uma estrutura para transferências intragrupo em todo o mundo.

Prós: Depois de aprovado, abrange todas as entidades do grupo e todos os cenários de transferência Contras: processo de aprovação de 12 a 24 meses, custo significativo ($ 100 mil +), apenas para entidades do grupo

4. Estrutura de Privacidade de Dados UE-EUA (DPF)

As empresas dos EUA podem autocertificar-se no âmbito do DPF, proporcionando um mecanismo de transferência semelhante ao da adequação:

1. A empresa é registrada no Departamento de Comércio dos EUA
2. A empresa publica uma política de privacidade compatível com DPF
3. A Empresa se compromete com os princípios do DPF (notificação, escolha, transferência subsequente, segurança, integridade de dados, acesso, recurso)
4. Recertificação anual necessária

Limitação: Cobre apenas transferências para empresas certificadas DPF. Verifique a lista DPF antes de confiar neste mecanismo.

---

Avaliações de impacto de transferência (TIAs)

Quando necessário

Após o Schrems II, os AIT são necessários para todas as transferências baseadas em SCC para países não adequados. A TIA avalia se as leis do país receptor prejudicam as proteções das SCCs.

Estrutura TIA

Árvore de decisão de resultados da TIA

Does the receiving country have an adequacy decision?
  Yes --> No TIA needed
  No --> Conduct TIA
    |
    Does the receiving country have laws enabling
    disproportionate government access to personal data?
      No --> SCCs sufficient
      Yes --> Can supplementary measures effectively prevent access?
        Yes --> Implement measures + proceed with SCCs
        No --> Transfer cannot proceed

Medidas Complementares

---

Requisitos de localização de dados

Países com leis de localização de dados

Impacto na arquitetura da nuvem

A localização de dados afeta as decisões de infraestrutura em nuvem:

---

Implementação prática para cenários comuns

Cenário 1: Empresa da UE usando SaaS dos EUA

Mecanismo de transferência: verifique primeiro se o fornecedor é certificado pelo DPF. Se sim, o DPF fornece a base. Caso contrário, implemente SCCs (Módulo 2: Controlador para Processador).

Cenário 2: Empresa Global com RH Centralizado

Mecanismo de transferência: BCRs para transferências intragrupo ou SCCs entre cada par de entidades. Implementar AIT para transferências para países de alto risco.

Cenário 3: comércio eletrônico atendendo clientes da UE a partir da infraestrutura dos EUA

Mecanismo de transferência: SCCs entre sua entidade da UE (ou representante da UE) e sua infraestrutura nos EUA. Criptografe os dados dos clientes com chaves mantidas na UE.

Cenário 4: Odoo ERP para operações em vários países

Mecanismo de transferência: se hospedados na UE, as transferências ocorrem quando: (1) funcionários em países fora da UE acessam o sistema (o acesso remoto é uma transferência), (2) os dados são replicados para locais de backup fora da UE, (3) a equipe de suporte em países fora da UE acessa dados de clientes/funcionários. Implemente SCCs para cada ponto de acesso e use grupos de acesso Odoo para limitar a visibilidade dos dados por região geográfica.

---

Lista de verificação de conformidade

• Mapear todas as transferências transfronteiriças de dados (quais dados, onde, para quem, porquê)
• Verificar o status de adequação de cada país receptor
• Implementar mecanismo de transferência apropriado (SCCs, DPF, BCRs) para países não adequados
• [] Avaliações completas de impacto de transferência para transferências baseadas em SCC
• Implementar medidas complementares onde os AIT identificam riscos
• Atualizar políticas de privacidade para divulgar transferências internacionais
• [] Incluir disposições de transferência em DPAs de fornecedores
• Revisar os mecanismos de transferência anualmente ou quando as leis do país receptor mudarem
• [] Manter a documentação de todas as avaliações e decisões de transferência

---

Perguntas frequentes

É seguro confiar na Estrutura de Privacidade de Dados UE-EUA?

O DPF é atualmente válido e fornece uma base legal para transferências para empresas americanas certificadas. No entanto, enfrenta um desafio jurídico (La Quadrature du Net) semelhante aos que invalidaram o Safe Harbor e o Privacy Shield. Organizações prudentes utilizam o DPF, mas também possuem SCCs como mecanismo de transferência de backup. Se o DPF for invalidado, você poderá recorrer aos SCCs sem interromper os fluxos de dados.

O que acontece se transferirmos dados sem um mecanismo válido?

As transferências não autorizadas são uma violação direta do GDPR, sujeitas a multas de até 20 milhões de euros ou 4% do volume de negócios anual global. Além das multas, as autoridades de supervisão podem ordenar a suspensão das transferências de dados, o que pode perturbar as operações comerciais. A Meta foi multada em 1,2 mil milhões de euros em 2023 por transferências não autorizadas entre a UE e os EUA – a maior multa de sempre do GDPR.

As SCCs cobrem todos os tipos de transferência de dados?

Os SCCs cobrem a maioria dos cenários comerciais de transferência de dados através de quatro módulos. No entanto, as SCC não são adequadas para transferências por parte de autoridades públicas que atuem no exercício de poderes públicos. Nesses casos, podem aplicar-se acordos internacionais ou derrogações específicas ao abrigo do artigo 49.º.

Como os requisitos internacionais afetam nossa implantação do Odoo?

Se a sua instância Odoo estiver hospedada na UE e acessada por funcionários ou parceiros fora da UE, cada ponto de acesso remoto constitui uma transferência de dados. Implemente grupos de acesso Odoo para garantir que usuários de fora da UE possam ver apenas os dados de que precisam. Use conexões VPN para acesso remoto criptografado. Se hospedar o Odoo fora da UE, implemente SCCs com o provedor de hospedagem e garanta a criptografia do banco de dados. Os serviços de infraestrutura Odoo do ECOSIRE incluem configurações de implantação com reconhecimento de conformidade.

---

O que vem a seguir

A conformidade das transferências transfronteiriças é uma peça do quebra-cabeça da governança de dados. Combine-o com fundamentos de governança de dados, gerenciamento de contratos de fornecedores para DPAs com fornecedores internacionais e privacidade de dados de funcionários para transferências de dados de força de trabalho.

Entre em contato com a ECOSIRE para consultoria de conformidade transfronteiriça e mapeamento de fluxo de dados internacional.

---

Publicado pela ECOSIRE – ajudando as empresas a transferir dados além-fronteiras com confiança e conformidade.