Livro-Texto_IV

Prévia do material em texto

158
Unidade IV
Unidade IV
7 TRANSFERÊNCIA INTERNACIONAL DE DADOS
7.1 Regras e restrições
7.1.1 Condições para transferência internacional de dados
No contexto globalizado em que vivemos, a transferência internacional de dados tornou‑se uma 
prática comum para muitas organizações, especialmente aquelas que operam em diversos países ou 
utilizam serviços de nuvem fornecidos por empresas estrangeiras. No entanto, essa prática envolve 
uma série de riscos e desafios legais, especialmente no que diz respeito à proteção dos dados pessoais. 
A LGPD brasileira estabelece condições rigorosas para a transferência internacional de dados, buscando 
assegurar que os direitos e liberdades dos titulares sejam protegidos, mesmo quando seus dados são 
transferidos para fora do Brasil.
A LGPD estabelece que a transferência internacional de dados pessoais só pode ocorrer em 
determinadas condições, com o objetivo de garantir que o nível de proteção dos dados no país 
destinatário seja equivalente ou superior ao oferecido pela legislação brasileira. Isso é especialmente 
relevante em um cenário no qual diferentes países possuem níveis variados de proteção de dados, 
o que pode expor os titulares a riscos significativos se os dados forem transferidos sem as devidas 
salvaguardas. Também especifica várias condições sob as quais a transferência internacional de dados 
pode ocorrer de forma legal. Essas situações são projetadas para garantir que os dados pessoais estejam 
adequadamente protegidos, independentemente de onde sejam processados. A seguir, exploramos cada 
uma delas detalhadamente.
 
A transferência internacional de dados é uma prática que deve ser 
cuidadosamente monitorada e regulamentada para evitar que os direitos 
dos titulares sejam comprometidos. A LGPD visa estabelecer um padrão de 
proteção que deve ser seguido por todas as organizações que operam com 
dados pessoais (Lima; Alves, 2021, p. 130).
Uma das principais condições para a transferência internacional de dados é que o país destinatário 
ofereça um nível de proteção de dados adequado em relação à LGPD. Isso significa que o país deve ter 
uma legislação de proteção de dados robusta, com princípios e direitos que sejam comparáveis aos 
estabelecidos pela LGPD. A avaliação do nível de proteção é geralmente realizada pela ANPD, que pode 
elaborar uma lista de países considerados adequados. Doneda (2021, p. 278) ressalta que “a avaliação da 
adequação do nível de proteção oferecido por um país estrangeiro é um processo complexo que envolve 
a análise da legislação local, a eficácia das autoridades reguladoras e a jurisprudência em matéria de 
proteção de dados”.
159
LEI GERAL DE PROTEÇÃO DE DADOS
 Observação
A transferência internacional de dados requer atenção redobrada 
quanto às condições impostas pela LGPD. É fundamental verificar se o país 
de destino oferece um nível de proteção de dados adequado ou mecanismos 
alternativos, como cláusulas contratuais padrões ou regras corporativas 
vinculativas. Além disso, a ANPD desempenha um papel central para avaliar 
a adequação de outros países e fiscalizar o cumprimento das exigências. 
Antes de proceder com a transferência, certifique‑se de que os direitos 
dos titulares estão protegidos e que as medidas legais e de segurança são 
formalmente documentadas.
 
Quando a transferência para um país que não oferece um nível de proteção considerado 
adequado ocorre, a LGPD permite a transferência com base em garantias contratuais adequadas. 
Isso pode incluir cláusulas contratuais padrões (SCCs), regras corporativas vinculativas (BCRs) ou 
outros mecanismos contratuais que assegurem que os dados pessoais serão tratados de acordo com 
os princípios da LGPD. As garantias contratuais adequadas são fundamentais para assegurar que, 
mesmo em países onde a legislação local não proporciona um nível elevado de proteção de dados, 
os dados pessoais continuarão a ser protegidos por meio de obrigações contratuais. Esses contratos 
devem prever medidas de segurança específicas, direitos dos titulares e mecanismos de fiscalização 
para garantir o cumprimento das obrigações. Lima e Alves (2021, p. 135) afirmam que “as garantias 
contratuais adequadas são uma ferramenta crucial para permitir a transferência de dados para 
países com níveis de proteção inferiores, desde que essas garantias sejam robustas e implementadas 
de forma eficaz”.
Outra condição prevista na LGPD para a transferência internacional de dados é o consentimento 
específico do titular dos dados. Esse consentimento deve ser livre, informado e explícito, e o titular deve 
ser claramente informado sobre os riscos envolvidos na transferência para um país que não oferece um 
nível adequado de proteção. O consentimento deve ser obtido antes da transferência, e o titular deve 
ter a opção de revogar o consentimento a qualquer momento.
 
O consentimento do titular é um dos mecanismos mais diretos para permitir 
a transferência internacional de dados, mas ele deve ser utilizado com cautela, 
especialmente em situações onde o titular pode não estar totalmente ciente 
dos riscos envolvidos (Pinheiro, 2021, p. 251).
A LGPD permite a transferência internacional de dados com base em acordos internacionais de 
cooperação, como tratados ou convenções dos quais o Brasil seja parte. Esses acordos internacionais devem 
prever cláusulas específicas de proteção de dados que garantam que os dados pessoais sejam tratados 
em conformidade com os princípios estabelecidos pela LGPD, e são especialmente relevantes para 
setores como o comércio internacional, a cooperação policial e judicial e a saúde, em que a transferência 
de dados entre países é essencial para a operação das atividades. Nesses casos, os acordos devem ser 
160
Unidade IV
cuidadosamente negociados para incluir salvaguardas adequadas para a proteção dos dados pessoais. 
Doneda (2021, p. 279) afirma que “os acordos internacionais são uma forma eficaz de harmonizar as 
práticas de proteção de dados entre diferentes países, facilitando a transferência de dados em um 
contexto globalizado”.
A LGPD permite a transferência internacional de dados quando esta é necessária para a execução de 
um contrato do qual o titular dos dados seja parte, ou para a execução de procedimentos preliminares 
relacionados ao contrato. Isso inclui, por exemplo, a transferência de dados entre uma empresa brasileira 
e um fornecedor estrangeiro que seja essencial para a prestação de serviços ao titular dos dados. Essa 
condição é particularmente relevante para o comércio eletrônico e outros serviços digitais, em que os 
dados pessoais muitas vezes precisam ser transferidos entre diferentes jurisdições para que os serviços 
possam ser prestados. No entanto, mesmo nessas situações, as organizações devem adotar medidas 
para garantir que os dados sejam tratados de forma segura e em conformidade com a LGPD. Lima e 
Alves (2021, p. 142) destacam que “a transferência internacional de dados com base na execução de um 
contrato deve ser acompanhada de medidas de segurança adequadas para proteger os dados durante e 
após a transferência”.
Essa lei possibilita também a transferência internacional de dados quando necessário para 
a salvaguarda da vida ou da incolumidade física do titular dos dados ou de terceiros. É de maneira 
geral aplicada em situações de emergência, como desastres naturais, crises de saúde pública ou outros 
eventos em que a transferência de dados seja essencial para proteger a vida e a segurança das pessoas. 
Nessas situações, a transferência de dados deve ser realizada de forma rápida e eficiente, mas sempre 
com o cuidado de proteger a privacidade dos titulares e minimizar os riscos associados à transferência. 
As organizações devem documentar a necessidade da transferência e as medidas adotadas para garantir 
a segurança dos dados. Pinheiro (2021, p. 180) observa que “a transferência de dados para a salvaguarda 
da vida é uma exceção importante na LGPD, mas deve ser utilizada de forma criteriosa e sempreA consulta de casos relacionados à LGPD é uma prática essencial para todas as partes interessadas em 
garantir a conformidade com a lei e em proteger os direitos dos titulares de dados. Os portais disponíveis, 
tanto nacionais quanto internacionais, oferecem uma ampla gama de recursos que facilitam o acesso 
a decisões administrativas e judiciais, permitindo que empresas, advogados, consultores e cidadãos 
compreendam melhor a aplicação da LGPD e ajam de acordo com as melhores práticas de proteção de 
dados. À medida que a jurisprudência relacionada à LGPD continua a se desenvolver, a consulta a esses 
casos será cada vez mais importante e usual.
 Observação
A possibilidade de consultar casos relacionados à LGPD é uma 
ferramenta essencial para fomentar a compreensão e a aplicação correta 
dessa legislação no Brasil. Decisões administrativas e judiciais são valiosas 
fontes de aprendizado que ajudam empresas, advogados e cidadãos a 
entender como os princípios da LGPD estão sendo interpretados na prática.
As consultas não apenas esclarecem precedentes, mas também oferecem 
insights para ajustar estratégias organizacionais e práticas de tratamento 
de dados. Por exemplo, portais como o da ANPD disponibilizam detalhes 
sobre casos de vazamento de dados, destacando falhas de segurança e 
medidas corretivas aplicadas. Esses exemplos orientam as organizações na 
prevenção de problemas semelhantes.
 
8.3.2 Consultas de casos sobre GDPR
O GDPR da UE é uma das legislações mais influentes e abrangentes sobre proteção de dados 
pessoais no mundo. Desde sua implementação em maio de 2018, o GDPR tem servido como um modelo 
para outras legislações de proteção de dados, como a LGPD no Brasil. Para organizações que operam 
na Europa, bem como para profissionais de privacidade e advogados, a consulta a casos e decisões 
relacionadas ao GDPR é essencial para compreender como as regras estão sendo aplicadas e para 
garantir a conformidade. Este tópico explorará os principais recursos e portais disponíveis para a consulta 
de casos relacionados ao GDPR. Através dessas fontes, empresas, advogados e cidadãos podem obter 
insights sobre as interpretações e aplicações práticas do regulamento, além de entender os impactos das 
decisões judiciais e administrativas no âmbito da proteção de dados.
186
Unidade IV
8.3.2.1 Importância das consultas de casos sobre GDPR
Interpretação legal e prática
O GDPR estabelece um quadro regulatório rigoroso, mas sua aplicação depende da interpretação das 
autoridades de proteção de dados e dos tribunais em toda a UE. Consultar decisões de casos é crucial 
para entender como os princípios do GDPR são aplicados em contextos específicos, oferecendo uma 
visão prática das obrigações legais.
• Exemplo prático: empresas que lidam com dados sensíveis podem consultar casos envolvendo o 
artigo 9º do GDPR, que aborda o tratamento de categorias especiais de dados, para assegurar que 
suas práticas estejam em conformidade com as exigências legais.
Estabelecimento de precedentes
A jurisprudência em torno do GDPR está em constante evolução. Decisões de casos anteriores 
definem precedentes que guiam futuras aplicações do regulamento. Conhecer esses precedentes é 
essencial para qualquer profissional que atue na área de proteção de dados.
• Exemplo prático: um consultor de privacidade pode utilizar precedentes estabelecidos em 
decisões de autoridades, como o Information Commissioner’s Office (ICO), do Reino Unido, para 
aconselhar seus clientes sobre práticas adequadas de coleta e processamento de dados.
Educação e treinamento
Para profissionais que desejam se especializar em proteção de dados, a consulta a casos é uma 
ferramenta educativa poderosa. Analisar decisões anteriores permite uma compreensão mais profunda 
das áreas onde as organizações frequentemente falham e como evitar esses erros.
• Exemplo prático: um programa de treinamento para novos DPOs pode incluir estudos de casos 
de violações de dados que resultaram em multas significativas, ajudando a ilustrar os riscos de 
não conformidade.
8.3.2.2 Principais portais para consulta de casos sobre GDPR
Portal do EDPB
O European Data Protection Board é uma das principais fontes de informação sobre a aplicação do 
GDPR. Seu site oferece acesso a decisões importantes, recomendações e orientações que são aplicadas 
em toda a UE. Além disso, o portal apresenta um banco de dados com os principais casos decididos pelas 
autoridades de proteção de dados dos Estados‑membros.
187
LEI GERAL DE PROTEÇÃO DE DADOS
Funcionalidades do portal
• Banco de decisões: acesso a decisões de casos que envolvem o GDPR em diferentes países da UE.
• Guias e recomendações: documentos que orientam sobre a aplicação correta dos artigos do GDPR.
• Notícias e atualizações: informações sobre as últimas ações do EDPB e mudanças regulatórias.
• Exemplo prático: um DPO pode acessar o portal do EDPB para verificar como a transferência 
internacional de dados está sendo tratada em diferentes países da UE, utilizando essas informações 
para ajustar as políticas de sua organização.
Jurisprudência da Corte de Justiça da União Europeia (CJEU)
Desempenha um papel crucial na interpretação do GDPR. Decisões da CJEU estabelecem precedentes 
importantes que afetam a aplicação do regulamento em todos os Estados‑membros. O site da CJEU 
oferece acesso completo a todas as decisões relacionadas ao GDPR.
Funcionalidades do portal
• Busca avançada: ferramenta que permite buscar decisões por número de caso, palavras‑chave, 
ou artigos específicos do GDPR.
• Resumos executivos: sumários que facilitam a compreensão das decisões mais complexas.
• Acesso a integrais de acórdãos: permite baixar as decisões completas para análise detalhada.
• Exemplo prático: um advogado que representa uma empresa multinacional pode consultar as 
decisões da CJEU para entender as implicações de diferentes cláusulas contratuais sob o GDPR.
Portais das autoridades nacionais de proteção de dados
Cada Estado‑membro da UE tem sua própria autoridade nacional de proteção de dados responsável 
por aplicar o GDPR dentro de sua jurisdição. Muitos desses órgãos disponibilizam portais com acesso a 
decisões e orientações específicas sobre o GDPR.
Funcionalidades dos portais
• Decisões locais: acesso a decisões que aplicam o GDPR em contextos específicos de cada país.
• Relatórios anuais: documentos que detalham as atividades da autoridade de proteção de dados 
ao longo do ano.
• Orientações e FAQs: trata‑se de recursos que ajudam a esclarecer dúvidas frequentes sobre a 
aplicação do GDPR.
188
Unidade IV
• Exemplo prático: uma empresa com operações em vários países da UE pode consultar as 
autoridades locais para entender as variações na aplicação do GDPR em diferentes jurisdições.
Portais de associações profissionais e entidades de classe
Associações como a International Association of Privacy Professionals (IAPP) oferecem recursos 
valiosos para consulta de casos e compreensão das nuances do GDPR. Esses portais frequentemente 
disponibilizam análises de especialistas, estudos de casos e webinars que abordam a aplicação do GDPR 
em diversos setores.
Funcionalidades dos portais
• Análises de casos: comentários e interpretações das decisões mais relevantes sobre o GDPR.
• Webinars e seminários: eventos que discutem as últimas tendências e desafios na aplicação 
do GDPR.
• Publicações: artigos e relatórios sobre temas específicos relacionados ao GDPR.
• Exemplo prático: um consultor de privacidade pode acessar esses portais para se manter atualizado 
sobre as mudanças regulatórias e aplicar esse conhecimento em projetos de conformidade.
Portais internacionais e comparativos
Além dos portais europeus, existem sites que comparam o GDPR com outras legislações de proteção 
de dados ao redor do mundo, como a LGPD no Brasil e a CCPA nos EUA. Esses portais oferecem uma 
visão global das práticas de proteção de dados e ajudam as organizações a alinhar suas políticas de 
conformidadeem diferentes jurisdições.
Funcionalidades dos portais
• Comparação de legislações: ferramentas que permitem comparar os requisitos do GDPR com 
outras leis de proteção de dados.
• Estudos de caso internacional: acesso a casos que destacam as semelhanças e diferenças na 
aplicação das leis de proteção de dados.
• Recursos educacionais: cursos e tutoriais que exploram as melhores práticas globais de 
proteção de dados.
• Exemplo prático: uma empresa global pode utilizar esses portais para alinhar suas políticas de 
proteção de dados às exigências tanto do GDPR quanto de outras legislações relevantes.
189
LEI GERAL DE PROTEÇÃO DE DADOS
 Saiba mais
Leia a obra a seguir e entenda melhor como proteger dados pessoais.
SICA, V. P.; DANTAS, M. C. Manual de proteção de dados pessoais: 
comentários à LGPD. São Paulo: Revista dos Tribunais, 2020.
8.3.2.3 Benefícios das consultas de casos para diferentes setores
Para empresas
A consulta de casos sobre o GDPR ajuda as empresas a evitar multas e sanções ao garantir que suas 
práticas estejam em conformidade com os precedentes estabelecidos. Também permite que as empresas 
adaptem suas políticas internas conforme as interpretações mais recentes do regulamento.
Para advogados e consultores
Advogados e consultores especializados em proteção de dados podem usar consultas de casos para 
fundamentar suas orientações e defesas jurídicas. O acesso a uma vasta gama de decisões judiciais e 
administrativas sobre o GDPR é essencial para oferecer aconselhamento preciso e eficaz.
Para cidadãos e consumidores
Titulares de dados podem consultar casos sobre o GDPR para entender melhor seus direitos e os 
procedimentos corretos em casos de violação. Isso os capacita a buscar reparações e a tomar medidas 
proativas para proteger seus dados pessoais.
As consultas de casos sobre o GDPR são ferramentas indispensáveis para garantir a conformidade 
e a aplicação correta das regras de proteção de dados na UE. Os diversos portais e recursos disponíveis 
oferecem uma visão abrangente das práticas legais e administrativas, permitindo que empresas, 
advogados, consultores e cidadãos atuem de maneira informada e segura. À medida que o GDPR 
continua a moldar o cenário global de proteção de dados, a consulta contínua de casos será essencial 
para acompanhar as evoluções e os desafios dessa importante legislação.
 Observação
A consulta de casos relacionados ao GDPR desempenha um papel 
crucial para empresas, advogados e cidadãos na compreensão prática e na 
conformidade com as regras rigorosas do regulamento europeu. À medida 
que o GDPR se consolida como referência global em proteção de dados, 
decisões administrativas e judiciais oferecem insights importantes sobre 
como os princípios teóricos são aplicados em cenários reais.
190
Unidade IV
 Resumo
A globalização e a transformação digital trouxeram novas oportunidades 
para as organizações, mas também intensificaram os desafios relacionados 
à transferência internacional de dados pessoais. Nesta unidade, exploramos 
como a LGPD aborda esse tema, estabelecendo condições rigorosas para 
garantir a proteção dos dados, independentemente do destino.
Entendemos que a transferência de dados só pode ocorrer de maneira 
segura quando o país destinatário oferece um nível de proteção adequado, 
ou mediante a implementação de garantias contratuais robustas, como 
SCCs e BCRs. Essas medidas não apenas mitigam os riscos associados ao 
compartilhamento internacional, mas também reforçam o compromisso 
das organizações com a privacidade e a segurança dos dados.
A ANPD desempenha um papel essencial na fiscalização dessas práticas, 
avaliando países, aprovando garantias contratuais e supervisionando as 
transferências. Sua atuação é vital para garantir que as organizações cumpram 
os requisitos da LGPD e que os direitos dos titulares sejam protegidos.
Além dos aspectos regulatórios, vimos como o consentimento explícito 
e os acordos internacionais complementam as estratégias para viabilizar 
transferências de dados. Essas opções são flexíveis às organizações, 
permitindo que suas operações se adaptem a diferentes cenários e 
necessidades específicas.
Outro ponto destacado foi o papel das tecnologias de segurança, 
como criptografia e anonimização, na proteção dos dados durante as 
transferências. Essas ferramentas são indispensáveis para prevenção limpa, 
mas sua implementação exige recursos e expertise que nem todas as 
empresas possuem.
Por fim, é evidente que a conformidade com a LGPD, no contexto das 
transferências internacionais, exige um esforço contínuo por parte 
das  organizações. A adoção de boas práticas, aliada ao monitoramento 
regulatório e ao compromisso com a privacidade, é essencial para garantir 
a proteção dos dados e a confiança dos titulares.
Concluímos que a transferência internacional de dados, embora 
complexa, pode ser realizada de forma segura e conforme quando 
as organizações investem em governança, tecnologia e alinhamento 
regulatório. Ao aplicar os aprendizados aqui considerados, as empresas 
estarão mais bem preparadas para enfrentar os desafios globais e promover 
um ambiente de negócios mais ético e transparente.
191
LEI GERAL DE PROTEÇÃO DE DADOS
 Exercícios
Questão 1. Vimos, no livro‑texto, que a LGPD estabelece que a transferência internacional 
de dados pessoais só pode ocorrer em determinadas condições, com o objetivo de garantir que o 
nível de proteção dos dados no país destinatário seja equivalente ou superior ao oferecido pela 
legislação brasileira. Isso é especialmente relevante em um cenário em que diferentes países têm 
níveis variados de proteção de dados, o que pode expor os titulares a riscos significativos se os dados 
forem transferidos sem as devidas salvaguardas.
Nesse sentido, a LGPD exige que as organizações sigam procedimentos específicos ao realizar 
transferências internacionais de dados.
Em relação a esses procedimentos, avalie os itens a seguir.
I – Documentação e justificativa.
II – Notificação direta ao Ministério da Fazenda.
III – Avaliação de impacto.
IV – Consentimento informado.
São procedimentos relativos às transferências internacionais de dados os citados em:
A) I, II, III e IV.
B) I e III, apenas.
C) III e IV, apenas
D) I, III e IV, apenas.
E) II e IV, apenas.
Resposta correta: alternativa D.
192
Unidade IV
Análise da questão
Os procedimentos relativos às transferências internacionais de dados incluem os itens 
explicados a seguir.
• Documentação e justificativa: a organização deve documentar a necessidade da transferência, 
as bases legais utilizadas e as medidas adotadas para garantir a proteção dos dados. Essa 
documentação deve estar disponível para auditorias e inspeções pela ANPD.
• Notificação à ANPD: em alguns casos, a organização pode ser obrigada a notificar a ANPD sobre 
a transferência internacional de dados, especialmente se a transferência envolver grande volume 
de dados ou se houver riscos elevados para os titulares.
• Avaliação de impacto: para transferências que envolvem riscos significativos para os direitos e 
as liberdades dos titulares, a organização deve realizar uma DIPA, a fim de identificar e mitigar 
esses riscos.
• Consentimento informado: quando a transferência se baseia no consentimento do titular, a 
organização deve garantir que o consentimento seja devidamente informado e registrado e que 
o titular tenha sido claramente informado sobre os riscos e as implicações da transferência.
Questão 2. Em relação às sanções e às penalidades previstas na LGPD, avalie as afirmativas.
I – A aplicação de multas é uma das sanções mais severas previstas pela LGPD, e, por isso, não há 
teto nem limites de valores para tais multas.
II – A LGPD determina que a aplicação de multas deve considerar uma série de fatores, como a 
gravidade da infração e a extensão do dano causado aos titulares dos dados, por exemplo.
III – As advertências previstas na LGPD implicam penalidades financeiras severas e imediatas.É correto o que se afirma em:
A) I, apenas.
B) II, apenas.
C) III, apenas.
D) II e III, apenas.
E) I, II e III.
Resposta correta: alternativa B.
193
LEI GERAL DE PROTEÇÃO DE DADOS
Análise da questão
A aplicação de multas é uma das sanções mais severas previstas pela LGPD, refletindo o compromisso 
do Brasil com a proteção de dados pessoais. As multas podem ser aplicadas até o limite de 2% do 
faturamento da empresa no Brasil, limitada a R$ 50 milhões por infração. Esse teto, embora significativo, 
foi estabelecido para equilibrar a necessidade de punição e a realidade econômica das empresas, 
especialmente considerando o impacto que tais multas poderiam ter em pequenas e médias empresas.
A LGPD determina que a aplicação de multas deve considerar uma série de fatores, incluindo a 
gravidade da infração, a extensão do dano causado aos titulares dos dados, a cooperação da empresa 
com as autoridades de proteção de dados e a adoção de medidas preventivas e corretivas. Esses critérios 
buscam garantir que as multas sejam proporcionais e justas, considerando as circunstâncias específicas 
de cada caso.
Embora não impliquem penalidades financeiras imediatas, as advertências podem ter um impacto 
significativo na reputação da empresa, especialmente se a violação se tornar pública. Além disso, uma 
advertência pode servir como base para sanções mais graves em casos de reincidência. Esse tipo de 
sanção é essencial para a educação e a melhoria contínua das práticas empresariais.
194
REFERÊNCIAS
ALBERTS, C. et al. Managing information security risks: the OCTAVE (SM) approach. Boston: 
Addison‑Wesley Professional, 2002.
BRASIL. Autoridade Nacional de Proteção de Dados. [s.d.]. Disponível em: https://shre.ink/byNO. 
Acesso em: 7 jan. 2025.
BRASIL. Lei n. 13.709, de 14 de agosto de 2018. Brasília, 2018. Disponível em: https://shre.ink/butE. 
Acesso em: 17 jan. 2025.
DONEDA, D. Da privacidade à proteção de dados pessoais. São Paulo: Thomson Reuters, 2021. 
LIMA, A.; ALVES, D. Encarregados: data protection officer. São Paulo: Haikai Editora, 2021.
PACCOLA, A. T. et al. GDPR – Regulamento Geral sobre a Proteção de Dados da União Europeia: análise 
de casos sobre a aplicação de sanções administrativas. São Paulo: Foco, 2023.
PINHEIRO, P. P. LGPD – Lei Geral de Proteção de Dados: comentada artigo por artigo. 2. ed. 
São Paulo: Saraiva, 2021.
SANTOS, R. L. M. LGPD – lei geral de proteção de dados: teoria e prática. 2. ed. São Paulo: 
Thomson Reuters Brasil, 2021.
SICA, V. P.; DANTAS, M. C. Manual de proteção de dados pessoais: comentários à LGPD. São Paulo: 
Revista dos Tribunais, 2020.
SIMÕES, J. A.; OLIVEIRA, V. A. R. LGPD na prática: guia para adequação à lei geral de proteção de dados. 
2. ed. São Paulo: Juruá, 2020.
TEIXEIRA, G. Guia prático da LGPD para desenvolvedores de sistemas. Belo Horizonte: Digerati, 2021.
195
196
Informações:
www.sepi.unip.br ou 0800 010 9000com a 
proteção dos titulares em mente”.
A transferência internacional de dados também pode ser permitida pela LGPD quando indispensável 
para a tutela da saúde, em procedimentos realizados por profissionais de saúde, serviços de saúde ou 
autoridades sanitárias. Isso engloba, por exemplo, a transferência de dados médicos entre hospitais em 
diferentes países para fins de diagnóstico, tratamento ou pesquisa médica. Essa condição é especialmente 
relevante em contextos de cooperação internacional na área da saúde, nos quais a troca de dados é 
fundamental para a prestação de cuidados de saúde de qualidade. No entanto, a transferência deve ser 
acompanhada de medidas rigorosas para proteger a privacidade dos pacientes e garantir que os dados 
sejam utilizados exclusivamente para os fins previstos. Doneda (2021, p. 286) afirma que “a tutela da 
saúde é uma das áreas onde a transferência internacional de dados pode ser mais crítica, e a LGPD 
fornece uma estrutura para garantir que essa transferência ocorra de forma segura e responsável”.
A LGPD permite a transferência internacional de dados quando obrigatório para a proteção do crédito, 
conforme legislação específica aplicável. Isso é particularmente relevante para empresas que operam 
no setor financeiro e de crédito, em que a troca de informações entre diferentes países é imprescindível 
para a avaliação e gestão de riscos. Tal transferência deve ser realizada em conformidade com as normas 
específicas que regem o setor, e as organizações devem adotar medidas para garantir que os dados 
161
LEI GERAL DE PROTEÇÃO DE DADOS
sejam tratados de forma segura e transparente. Lima e Alves (2021, p. 145) destacam que “a proteção do 
crédito é uma área onde a transferência internacional de dados é frequentemente necessária, e a LGPD 
oferece um quadro legal para garantir que essa transferência seja realizada de forma responsável”.
O GDPR fixa requisitos rigorosos para a transferência internacional de dados, incluindo a necessidade 
de decisões de adequação, SCCs e BCRs para garantir um nível de proteção adequado nos países 
destinatários. Um aspecto vital do GDPR é sua aplicação extraterritorial, que afeta empresas fora da UE 
que processam dados de cidadãos europeus, o que acaba criando um modelo de regulação que influencia 
as práticas de proteção de dados em outras jurisdições, como o Brasil, destacando a necessidade de 
harmonização entre as legislações para facilitar transferências e parcerias internacionais.
As organizações brasileiras que lidam com dados de cidadãos europeus precisam alinhar suas 
práticas às exigências do GDPR, adotando salvaguardas como avaliações de impacto e protocolos de 
segurança robustos.
 Saiba mais
Visite o portal do European Data Protection Board (EDPB) para informações 
desenvolvidas e casos relacionados à transferência de dados sob o GDPR. 
Acesse o link a seguir para saber mais.
Disponível em: https://shre.ink/bxIY. Acesso em: 16 jan. 2025.
 
Além de atender às condições descritas anteriormente, a LGPD exige que as organizações sigam 
procedimentos específicos ao realizar transferências internacionais de dados.
• Documentação e justificativa: a organização deve documentar a necessidade da transferência, 
as bases legais utilizadas e as medidas adotadas para garantir a proteção dos dados. Essa 
documentação deve estar disponível para auditorias e inspeções pela ANPD.
• Notificação à ANPD: em alguns casos, a organização pode ser obrigada a notificar a ANPD sobre 
a transferência internacional de dados, especialmente se a transferência envolver um grande 
volume de dados, ou se houver riscos elevados para os titulares.
• Avaliação de impacto: para transferências que envolvem riscos significativos para os direitos e 
liberdades dos titulares, a organização deve realizar uma DIPA para identificar e mitigar esses riscos.
• Consentimento informado: quando a transferência se baseia na autorização do titular, a 
organização deve garantir que a permissão seja devidamente informada e registrada, e que o 
titular tenha sido claramente comunicado sobre os riscos e implicações da transferência.
162
Unidade IV
A transferência internacional de dados também representa um desafio significativo em termos de 
conformidade legal e proteção dos direitos dos titulares. A LGPD fixou um conjunto rigoroso de condições 
e procedimentos para garantir que essa prática seja realizada de forma segura e responsável, protegendo 
a privacidade e a segurança dos dados pessoais. Ao compreender e implementar as condições para a 
transferência internacional de dados estabelecidas pela LGPD, as organizações podem garantir que suas 
operações globais estejam em conformidade com as exigências legais e que os dados dos titulares sejam 
protegidos, independentemente de onde sejam processados.
 Observação
A transferência internacional de dados é uma questão central na 
proteção de informações pessoais no contexto da LGPD. Importante destacar 
as condições legais para que as organizações realizem transferências 
internacionais de forma segura e em conformidade. Deve‑se analisar bem 
os principais cenários permitidos pela legislação, como a adequação do nível 
de proteção do país pretendido, o uso de garantias contratuais específicas e 
situações específicas como consentimento explícito ou proteção da saúde.
No entanto, é importante sublinhar que a aplicação dessas condições 
requer uma análise criteriosa das operações de tratamento de dados. O 
alinhamento com os requisitos legais, combinado com a implementação 
de mecanismos como o RIPD, é fundamental para mitigar riscos e 
evitar prejuízos.
 
7.1.2 Acordos e garantias necessárias
A transferência internacional de dados pessoais envolve a movimentação de informações entre 
diferentes jurisdições, o que pode implicar em riscos significativos para a privacidade dos titulares. Para 
minimizar esses riscos, a LGPD estabelece que, além das condições específicas para a transferência, devem 
ser implementados acordos e garantias adequados que assegurem o tratamento seguro e conforme dos 
dados pessoais, independentemente do destino, como quando transferidos para países que podem não 
ter uma legislação de proteção de dados tão robusta quanto a brasileira.
Os acordos e garantias necessários desempenham um papel crucial na proteção dos dados pessoais 
durante sua transferência internacional. Eles servem como instrumentos legais que definem claramente 
as responsabilidades das partes envolvidas e estabelecem as medidas que devem ser tomadas para 
garantir a segurança e a privacidade dos dados. Essas garantias incluem tanto cláusulas contratuais 
específicas quanto outras formas de compromissos legais, que podem ser aplicadas por meio de 
mecanismos de supervisão e enforcement por parte das autoridades reguladoras.
 
Os acordos e garantias necessários são fundamentais para manter a confiança 
dos titulares de dados e para garantir que as organizações cumpram suas 
obrigações sob a LGPD, mesmo quando os dados são transferidos para fora 
das fronteiras brasileiras (Lima; Alves, 2021, p. 148).
163
LEI GERAL DE PROTEÇÃO DE DADOS
Uma das formas mais comuns de garantir a proteção dos dados pessoais durante a transferência 
internacional é o uso de SCCs. Estas cláusulas são desenvolvidas e aprovadas pela ANPD e têm como 
objetivo assegurar que os dados pessoais sejam tratados com o mesmo nível de proteção exigido pela 
LGPD, mesmo quando transferidos para países que não possuem um nível adequado de proteção de 
dados. Elas estabelecem obrigações específicas para as partes envolvidas na transferência de dados, 
incluindo medidas de segurança, direitos dos titulares e mecanismos para a resolução de disputas, e são 
particularmente importantes em situações nas quais os dados são transferidos para países que não têm 
acordos bilaterais ou multilaterais com o Brasil em matéria de proteção de dados.
 
As Cláusulas Contratuais Padrão são um instrumento poderoso para garantir 
que as transferências internacionaisde dados ocorram de forma segura 
e em conformidade com a LGPD, especialmente quando as transferências 
envolvem países com legislações menos rigorosas (Doneda, 2021, p. 275).
Outro mecanismo essencial para a transferência segura de dados pessoais é a adoção de 
BCRs, que são políticas internas adotadas por grupos empresariais multinacionais para regular 
a transferência de dados pessoais entre suas subsidiárias, localizadas em diferentes países. Elas 
são projetadas para garantir que todas as entidades do grupo apliquem os mesmos padrões de 
proteção de dados, independentemente da localização geográfica, e são particularmente úteis para 
empresas que operam globalmente e que necessitam transferir dados entre suas diversas operações 
internacionais. Para que as BCRs sejam reconhecidas como uma garantia válida pela ANPD, elas 
devem ser aprovadas pela autoridade reguladora, o que envolve uma revisão detalhada das políticas 
e dos procedimentos de proteção de dados da empresa. Segundo Lima e Alves (2021, p. 155), “as 
Regras Corporativas Vinculativas oferecem uma solução flexível e robusta para a transferência 
internacional de dados, permitindo que as empresas multinacionais operem de forma eficiente 
enquanto garantem a conformidade com a LGPD”.
Além das garantias contratuais, os acordos internacionais e convenções multilaterais desempenham 
um papel vital na regulação da transferência internacional de dados. Esses acordos podem ser bilaterais 
ou multilaterais e são geralmente estabelecidos entre países com níveis comparáveis de proteção de 
dados. Eles criam um marco legal que facilita a transferência de dados pessoais entre os signatários, 
assegurando que as normas de proteção de dados sejam respeitadas e aplicadas de maneira uniforme. No 
contexto da LGPD, o Brasil pode negociar e celebrar acordos internacionais que permitam a transferência 
de dados para outros países, desde que esses países ofereçam um nível de proteção adequado. Tais 
acordos podem incluir cláusulas específicas sobre a proteção de dados, mecanismos de cooperação 
entre autoridades reguladoras e disposições sobre a resolução de disputas.
Doneda (2021, p. 290) afirma que “os acordos internacionais são essenciais para criar um ambiente 
de confiança e segurança jurídica nas transferências internacionais de dados, especialmente em um 
contexto globalizado onde as informações fluem constantemente entre as fronteiras”.
164
Unidade IV
Em situações nas quais os países destinatários não oferecem um nível de proteção considerado 
adequado pela LGPD, mas as SCCs ou BCRs não são aplicáveis, podem ser estabelecidos outros tipos 
de garantias adequadas, que podem incluir acordos ad hoc entre as partes, que devem ser aprovados 
pela ANPD antes que a transferência ocorra e devem conter disposições detalhadas sobre a proteção 
dos dados, incluindo obrigações de segurança, direitos dos titulares e mecanismos de fiscalização. Esses 
acordos podem ser particularmente úteis em contextos nos quais a natureza dos dados ou das operações 
de tratamento é altamente específica e não se encaixa nos modelos mais padronizados de SCCs ou 
BCRs. No entanto, eles requerem uma revisão cuidadosa e aprovação da ANPD, o que pode aumentar a 
complexidade e o tempo necessário para a implementação.
 
As garantias ad hoc são uma ferramenta valiosa para situações excepcionais, 
permitindo que as organizações adaptem suas práticas de proteção de dados 
às necessidades específicas de suas operações, enquanto permanecem em 
conformidade com a LGPD (Lima; Alves, 2021, p. 160).
A LGPD estabelece que a transferência internacional de dados deve ser acompanhada de garantias 
adequadas para garantir a proteção dos direitos dos titulares, mesmo quando os dados são enviados 
para países com legislações menos rigorosas. Entre os principais mecanismos, destacam‑se:
• SCCs: desenvolvidas pela ANPD, essas cláusulas definem obrigações específicas para as partes 
envolvidas na transferência, como medidas de segurança e resolução de disputas. São extremamente 
utilizados para transferências destinadas a países sem um nível adequado de proteção.
• BCRs: políticas internacionais que permitem transferências de dados dentro de grupos empresariais 
multinacionais e garantem a aplicação uniforme dos padrões de proteção em todas as subsidiárias, 
independentemente da localização.
• Acordos internacionais: tratados e convenções multilaterais podem criar um marco legal que 
facilita transferências seguras entre países com níveis comparáveis de proteção de dados.
• Ad hoc: em casos específicos, as empresas podem estabelecer acordos personalizados, desde que 
aprovados e garantidos pela ANPD, detalhando obrigações e medidas de segurança.
A efetividade dos acordos e garantias necessários depende não apenas da sua existência, mas também da 
capacidade das autoridades reguladoras de supervisionar e fazer cumprir essas garantias. No Brasil, a 
ANPD desempenha um papel central nesse processo, não apenas revisando e aprovando os acordos, mas 
também monitorando sua implementação e tomando medidas corretivas quando necessário. A ANPD 
pode realizar auditorias, solicitar relatórios de conformidade e, em casos de não concordância, impor 
sanções que variam desde advertências até multas significativas. Além disso, os titulares de dados 
têm o direito de apresentar reclamações à ANPD se acreditarem que seus dados foram transferidos 
de forma inadequada ou que suas garantias não foram respeitadas. Pinheiro (2021, p. 190) enfatiza 
que “a supervisão e o enforcement são elementos críticos para garantir que os acordos e garantias 
necessários não sejam meras formalidades, mas sim instrumentos eficazes de proteção dos direitos dos 
titulares de dados”.
165
LEI GERAL DE PROTEÇÃO DE DADOS
Embora os acordos e garantias necessários sejam fundamentais para a proteção dos dados durante 
a transferência internacional, sua implementação pode apresentar vários desafios, que incluem a 
complexidade jurídica envolvida na negociação e redação dos acordos, a necessidade de coordenação 
entre múltiplas jurisdições e autoridades reguladoras e as dificuldades em garantir a conformidade 
contínua ao longo do tempo. Além disso, as organizações devem estar preparadas para adaptar seus 
acordos e garantias à medida que novas tecnologias, como a inteligência artificial e o processamento de 
big data, alteram a forma como os dados são tratados e transferidos. Isso pode exigir revisões periódicas 
dos acordos existentes e a implementação de novas salvaguardas para lidar com os riscos emergentes.
 
A implementação bem‑sucedida de acordos e garantias na transferência 
internacional de dados exige não apenas um sólido conhecimento jurídico, 
mas também uma compreensão profunda das práticas operacionais e 
tecnológicas das organizações (Doneda, 2021, p. 292).
Os acordos e garantias necessários para a transferência internacional de dados sob a LGPD são 
um pilar para a proteção dos dados pessoais em um mundo cada vez mais interconectado. Eles 
oferecem um conjunto de ferramentas que permitem às organizações transferirem dados de forma 
segura e condizente, enquanto protegem os direitos dos titulares e moderam os riscos associados à 
transferência de dados para fora do Brasil. À medida que a tecnologia e as práticas de negócios evoluem, 
é fundamental que as organizações mantenham seus acordos e garantias atualizados, adaptando‑os 
aos novos desafios e realidades do ambiente digital global. A ANPD, por sua vez, desempenhará um 
papel crucial na supervisão e enforcement desses acordos, garantindo que a LGPD continue oferecendo 
uma proteção robusta para os dados pessoais dos brasileiros, independentemente de onde esses dados 
sejam processados. O próximo tópico abordará os desafios e oportunidades relacionados à transferência 
internacional de dados em setores específicos, como a saúde, o comércio eletrônico e a finança, 
destacando as melhores práticas para a implementação de acordos e garantias nesses contextos.Lembrete
Os acordos e garantias necessários para transferências internacionais 
de dados são instrumentos essenciais para garantir que as operações 
globais de tratamento de dados estejam em conformidade com a LGPD, 
protegendo os direitos dos titulares. Esses mecanismos, como as SCCs, as 
BCRs e os acordos internacionais, promovem a segurança e a privacidade 
dos dados, mesmo em jurisdições com legislações distintas. 
É importante destacar que a implementação desses instrumentos 
depende de uma execução criteriosa, com supervisão contínua por parte 
da ANPD e adoção de medidas que acompanhem as evoluções tecnológicas 
e regulatórias. Assim, além de atender às exigências legais, as organizações 
reforçam a confiança dos titulares e parceiros, alinhando suas práticas a 
um padrão de governança global robusto e comprometido com a proteção 
de dados pessoais.
166
Unidade IV
7.2 Estudos de caso
7.2.1 Exemplos práticos de transferências internacionais
A globalização e a digitalização têm levado à intensificação das transferências internacionais de 
dados, tornando essencial o cumprimento das legislações de proteção de dados. Esses regulamentos 
estabelecem rigorosos requisitos para garantir que as informações pessoais sejam transferidas e tratadas 
de maneira segura e em conformidade com os direitos dos titulares. Este tópico examinará exemplos 
práticos de como essas transferências são realizadas na prática, destacando os desafios e as soluções 
encontrados por empresas globais para cumprir as normas internacionais de proteção de dados.
Uso de SCCs
As SCCs são amplamente utilizadas para facilitar a transferência de dados entre países que não 
possuem uma decisão de adequação da Comissão Europeia. Elas oferecem um modelo legal para 
assegurar que os dados pessoais transferidos para fora da UE sejam protegidos adequadamente.
• Exemplo prático: após a decisão Schrems II, que invalidou o EU‑U.S. Privacy Shield, muitas empresas, 
como Facebook e Google, começaram a depender fortemente das SCCs para manter suas operações 
transatlânticas. A adaptação às exigências do Schrems II, que inclui a realização de avaliações de 
impacto da proteção de dados, tornou‑se uma prioridade para essas empresas, garantindo que as 
proteções previstas pelo GDPR fossem mantidas mesmo em países fora da UE (GDPR Advisor).
BCRs
São um conjunto de políticas internas que permite às empresas multinacionais realizarem 
transferências de dados dentro do grupo corporativo, garantindo que os dados pessoais sejam 
protegidos conforme os padrões do GDPR.
• Exemplo prático: empresas, como IBM e Accenture, implementaram BCRs para facilitar as 
transferências de dados entre suas diversas subsidiárias ao redor do mundo. Esse processo 
envolve a criação de um ambiente onde todos os funcionários, independentemente da 
localização, seguem os mesmos padrões rigorosos de proteção de dados, assegurando a 
conformidade com o GDPR em toda a organização (GDPR Advisor).
Impacto extraterritorial do GDPR
O GDPR tem um impacto extraterritorial significativo, obrigando empresas fora da UE que 
processam dados de residentes da UE a cumprir suas normas. Este alcance se aplica a empresas 
que oferecem bens e serviços, ou monitoram o comportamento de indivíduos dentro da UE.
• Exemplo prático: um caso relevante envolve provedores de serviços de nuvem nos EUA que 
devem adaptar suas operações para garantir conformidade com o GDPR ao oferecer serviços 
a clientes europeus. A conformidade com o GDPR exige a implementação de SCCs ou BCRs, 
167
LEI GERAL DE PROTEÇÃO DE DADOS
dependendo do contexto, para assegurar que as transferências de dados sejam realizadas 
de acordo com as exigências da legislação europeia. A decisão Schrems II, que invalidou o 
Privacy Shield, reforçou a necessidade de mecanismos de transferência robustos, como as 
SCCs, para evitar violações e possíveis sanções (GDPR Advisor).
Impacto nas relações comerciais internacionais
As decisões de adequação e outros mecanismos de transferência internacional de dados também 
têm um impacto significativo nas relações comerciais internacionais. Esses acordos permitem que 
dados fluam livremente entre países com regimes de proteção de dados considerados adequados 
pela Comissão Europeia.
• Exemplo prático: a decisão de adequação da Comissão Europeia em relação ao Japão, 
por exemplo, permitiu a livre transferência de dados entre a UE e o Japão, fortalecendo as 
relações comerciais entre esses dois blocos. Da mesma forma, o Brasil, ao adotar a LGPD e 
buscar alinhar suas práticas às do GDPR, tem facilitado as transferências de dados com a 
Europa, incentivando investimentos e parcerias internacionais (GDPR Advisor).
LGPD e transferências de dados transfronteiriças
As transferências só podem ser realizadas se o país de destino oferecer um nível adequado 
de proteção de dados, ou se as empresas utilizarem mecanismos como SCCs, ou obtiverem 
consentimento explícito dos titulares.
• Exemplo prático: uma empresa brasileira que exporta dados pessoais para um parceiro nos 
EUA precisa garantir a conformidade com a LGPD. Isso pode ser feito através da formalização 
de contratos que espelhem os padrões da LGPD, utilizando SCCs que assegurem a proteção 
adequada dos dados pessoais transferidos. Esse processo é semelhante ao que ocorre com 
empresas europeias sob o GDPR, garantindo que os dados pessoais dos brasileiros sejam 
protegidos mesmo quando transferidos para outros países.
Os exemplos práticos apresentados ilustram como as empresas globais navegam pelas complexidades 
das transferências internacionais de dados, garantindo conformidade com regulamentos como o GDPR 
e a LGPD. Esses casos demonstram a importância de mecanismos, como SCCs e BCRs, na proteção 
de dados pessoais em um cenário global, além de destacar o impacto dessas práticas nas relações 
comerciais internacionais. Com a evolução contínua das legislações de proteção de dados, a adaptação 
a esses requisitos se torna cada vez mais crucial para as empresas que operam em múltiplas jurisdições. 
Além disso, os exemplos demonstram como as empresas globais lidam com a complexidade de operar 
em um ambiente regulatório diverso, ao mesmo tempo que garantem a proteção dos dados pessoais. 
Mecanismos, como SCCs e BCRs, e decisões de adequação têm se mostrado fundamentais para garantir 
a conformidade com as legislações. Esses casos ressaltam a importância de estruturas jurídicas sólidas 
e a necessidade de adaptação constante às mudanças regulatórias e às exigências de segurança em um 
mundo digital interconectado.
168
Unidade IV
Ao abordar desafios específicos, como o impacto extraterritorial de legislações e as diferenças nos 
níveis de proteção entre países, as práticas impostas por grandes corporações servem como referência 
para outras organizações. Eles exemplificam o compromisso necessário para garantir a privacidade dos 
titulares e preservar a confiança em ambientes globais altamente diversos.
7.2.2 Desafios e soluções
As transferências internacionais de dados pessoais têm se tornado cada vez mais complexas, à medida 
que as regulamentações de proteção de dados impõem requisitos rigorosos para garantir a segurança 
e privacidade das informações pessoais. As empresas que operam em múltiplas jurisdições enfrentam 
desafios significativos para garantir a conformidade com essas leis, além de manter a eficiência 
operacional. Exploraremos os principais desafios encontrados por essas organizações e as soluções 
práticas que têm sido implementadas para superá‑los.
Desafios legais e regulatórios
• Conformidade com múltiplos regimes regulatórios: a coexistência de diferentes regimes 
regulatórios, como o GDPR na Europa e a LGPD no Brasil, apresenta um desafio considerável para 
empresas globais, pois cada um deles possui suas particularidades, e a conformidade simultânea 
pode ser complexa e onerosa.
— Exemplo prático: empresas que operam tanto na UE quanto no Brasil devem ajustar suas 
políticas de privacidadee processos de tratamento de dados para atender às exigências de 
ambas as legislações. Enquanto esses regimes compartilham várias semelhanças, como 
o enfoque na transparência e na proteção dos direitos dos titulares, diferenças sutis nas 
exigências de consentimento e nas bases legais para o tratamento de dados podem complicar 
a conformidade.
• Desafios na implementação de SCCs: o cumprimento das SCCs envolve a adaptação dos 
contratos entre exportadores e importadores de dados para garantir que todas as partes exerçam 
as exigências de proteção de dados, mesmo em países que não possuem uma decisão de adequação 
da Comissão Europeia.
— Exemplo prático: a decisão Schrems II invalidou o Privacy Shield, um acordo que facilitava as 
transferências de dados entre a UE e os EUA. Como resultado, muitas empresas foram forçadas 
a recorrer às SCCs, o que implicou revisões contratuais extensas e a necessidade de realizar 
avaliações de impacto sobre a proteção de dados para garantir que as SCCs fossem suficientes 
para proteger os dados pessoais.
• Acesso a recursos adequados para conformidade: pequenas e médias empresas (PMEs) muitas 
vezes carecem de recursos para implementar e manter as complexas estruturas necessárias para 
garantir a conformidade com os requisitos de transferência de dados internacionais, o que abarca a 
necessidade de consultoria jurídica especializada, treinamento para funcionários e implementação 
de tecnologia adequada.
169
LEI GERAL DE PROTEÇÃO DE DADOS
— Solução prática: para enfrentar essa dificuldade, muitas PMEs têm optado por terceirizar 
a conformidade com a proteção de dados para provedores de serviços especializados que 
oferecem pacotes de concordância. Além disso, o uso de software de compliance automatizado, 
que ajuda a monitorar e gerenciar as transferências de dados, também tem se tornado uma 
prática comum.
Desafios técnicos
• Segurança cibernética e proteção contra ameaças: a transferência de dados entre fronteiras 
aumenta a exposição a riscos de segurança cibernética. A necessidade de proteger dados sensíveis 
contra acessos não autorizados, violações e ataques cibernéticos é um dos maiores desafios 
enfrentados pelas organizações.
— Exemplo prático: empresas que utilizam serviços de nuvem para armazenar dados de clientes 
de diferentes países enfrentam desafios na implementação de medidas de segurança adequadas 
para proteger esses dados contra ameaças cibernéticas. Uma abordagem comum é a adoção 
de criptografia forte durante a transferência e o armazenamento de dados, além de realizar 
auditorias de segurança regulares para identificar e mitigar vulnerabilidades.
• Garantia da integridade e confidencialidade dos dados: mantê‑los durante a transferência é 
essencial para garantir a conformidade com o GDPR e a LGPD. A complexidade técnica envolvida 
na implementação de protocolos de segurança adequados para transferências transfronteiriças 
pode ser um obstáculo significativo.
— Solução prática: a utilização de técnicas de anonimização e pseudonimização tem sido uma 
solução eficaz para minimizar os riscos associados à transferência de dados. Essas técnicas 
garantem que os dados pessoais sejam protegidos durante o trânsito e em repouso, reduzindo 
a exposição a violações de dados.
Desafios operacionais
• Gerenciamento de consentimento e preferências dos titulares: um dos principais desafios 
operacionais é gerenciar a concordância dos titulares de dados e garantir que as preferências 
de privacidade sejam respeitadas durante as transferências internacionais. As empresas devem 
implementar sistemas que permitam a coleta e gestão de consentimento de maneira transparente 
e rastreável.
— Exemplo prático: a utilização de plataformas de gestão de consentimento (consent 
management platforms – CMPs) tem se tornado uma prática comum para garantir que o 
consentimento seja obtido e documentado de forma adequada. Essas plataformas permitem 
que as empresas coletem e armazenem as preferências dos titulares, garantindo a conformidade 
com os requisitos de privacidade tanto sob o GDPR quanto sob a LGPD.
170
Unidade IV
• Treinamento e capacitação de funcionários: garantir que os trabalhadores estejam cientes e 
capacitados para cumprir as exigências de proteção de dados é um desafio contínuo. As mudanças 
constantes nas legislações e nas melhores práticas exigem treinamentos regulares e atualizações 
para os colaboradores.
— Solução prática: empresas têm investido em programas de treinamento contínuo e na 
criação de políticas internas claras que orientem os funcionários sobre as melhores práticas de 
proteção de dados. A realização de workshops e seminários regulares ajuda a manter todos os 
contratados alinhados com as exigências legais.
Desafios relacionados à fiscalização e penalidades
• Riscos de sanções e multas: a não conformidade com as leis de proteção de dados pode resultar 
em sanções significativas, incluindo multas elevadas. Empresas que realizam transferências 
internacionais de dados precisam estar cientes dos riscos e tomar medidas para evitar violações.
— Exemplo prático: o caso da Google, que foi multada em €50 milhões pela Autoridade de Proteção 
de Dados Francesa (CNIL) por falta de transparência, informações inadequadas e ausência de 
consentimento válido para a personalização de anúncios, ilustra o rigor das penalidades aplicadas 
sob o GDPR. Para evitar punições semelhantes, empresas têm implementado auditorias internas 
regulares e contratado consultorias especializadas para revisar suas práticas de conformidade.
Soluções e boas práticas
• Implementação de programas de governança em privacidade: ajuda a estruturar e 
monitorar as práticas de proteção de dados dentro de uma organização. Esses programas permitem 
que as empresas identifiquem e mitiguem riscos, garantindo a conformidade contínua com 
as regulamentações.
— Exemplo prático: a adoção de frameworks como o ISO/IEC 27701, que fornece diretrizes para 
a implementação de um sistema de gestão de privacidade, tem se mostrado uma prática eficaz. 
Esse framework oferece uma abordagem estruturada para proteger dados pessoais, auxiliando 
as empresas a gerenciar riscos e a demonstrar conformidade com os regulamentos.
• Utilização de ferramentas tecnológicas avançadas: a tecnologia desempenha um papel 
crucial na gestão da conformidade com as leis de proteção de dados. Ferramentas de automação 
de conformidade, monitoramento de transferências de dados e gerenciamento de consentimento 
são essenciais para lidar com os desafios operacionais.
— Solução prática: o uso de plataformas de automação de compliance, que monitoram e 
gerenciam automaticamente as transferências internacionais de dados, tem permitido que as 
empresas mantenham a conformidade de forma mais eficiente. Além disso, essas plataformas 
ajudam a identificar rapidamente qualquer desvio das políticas estabelecidas e a tomar medidas 
corretivas imediatas.
171
LEI GERAL DE PROTEÇÃO DE DADOS
A transferência internacional de dados apresenta uma série de desafios complexos para as empresas, 
desde a conformidade regulatória até a implementação de medidas técnicas e operacionais. No entanto, 
ao adotar boas práticas e soluções inovadoras, como a implementação de SCCs, BCRs, programas de 
governança em privacidade e tecnologias avançadas, as organizações podem superar esses desafios 
e garantir a conformidade contínua com as exigências legais. À medida que as regulamentações de 
proteção de dados continuam a evoluir, a capacidade de adaptação e inovação se tornará cada vez mais 
essencial para o sucesso das empresas no cenário global.
 Lembrete
As transferências internacionais de dados, embora essenciais para a 
globalização e a digitalização, apresentam desafios devido à complexidade 
regulatória e técnica envolvida. Empresas que operam em múltiplas 
jurisdições precisam lidar com requisitos variados, como os impostos pelo 
GDPR e pela LGPD, ao mesmo tempo que garantem a proteção dos dados 
pessoais emescala global. Isso exige a implementação de mecanismos 
robustos, como SCCs e BCRs, além de medidas técnicas avançadas, como 
criptografia e anonimização, para garantir segurança e conformidade.
8 SANÇÕES E PENALIDADES
8.1 Tipos de sanções
A LGPD estabelece uma série de sanções que podem ser aplicadas às organizações que descumprirem 
suas disposições. Essas sanções visam não apenas punir as infrações, mas também educar e incentivar 
as empresas a adotar práticas responsáveis e em conformidade com a lei. As penalidades variam desde 
advertências até multas pesadas, passando por medidas como a publicização da infração e a eliminação 
de dados pessoais.
8.1.1 Multas
Base legal e limites das multas
A aplicação de multas é uma das sanções mais severas previstas pela LGPD, refletindo o 
compromisso do Brasil com a proteção de dados pessoais. Elas podem ser aplicadas até o limite de 
2% do faturamento da empresa no Brasil, limitada a R$ 50 milhões por infração. Esse teto, embora 
significativo, foi estabelecido para equilibrar a necessidade de punição com a realidade econômica 
das empresas, especialmente considerando o impacto que tais multas poderiam ter em pequenas e 
médias empresas.
• Comparação com o GDPR: no contexto europeu, o GDPR permite multas de até 4% do 
faturamento anual global da empresa ou €20 milhões, o que for maior. Esta discrepância nos 
valores máximos reflete diferenças nas abordagens regulatórias entre o Brasil e a UE, em que o 
GDPR aplica sanções mais rigorosas, especialmente para grandes multinacionais.
172
Unidade IV
Critérios para aplicação de multas
A LGPD determina que a aplicação de multas deve considerar uma série de fatores, incluindo 
a gravidade da infração, a extensão do dano causado aos titulares dos dados, a cooperação da 
empresa com as autoridades de proteção de dados e a adoção de medidas preventivas e corretivas. 
Esses critérios buscam garantir que as multas sejam proporcionais e justas, considerando as 
circunstâncias específicas de cada caso.
• Exemplo prático: imagine uma empresa de comércio eletrônico que negligencia a segurança 
de suas bases de dados, resultando em uma violação massiva de dados pessoais de clientes. 
Se a empresa demonstrar que havia políticas de segurança, mas que não foram eficazes, a 
multa poderá ser severa, porém ajustada considerando os esforços de mitigação.
Impacto das multas no mercado brasileiro
A aplicação de multas elevadas pela ANPD pode ter um efeito cascata no mercado, levando 
empresas a revisar suas práticas de proteção de dados e investir mais em conformidade. Além do 
impacto financeiro direto, as multas podem afetar a reputação das empresas, levando a perdas de 
mercado e desconfiança dos consumidores.
• Comparação internacional: em 2021, a Amazon foi multada em €746 milhões pela 
autoridade de proteção de dados de Luxemburgo por violar as regras do GDPR. Esse caso ilustra 
como multas elevadas podem impactar até as maiores corporações globais, incentivando a 
conformidade e a transparência no tratamento de dados pessoais.
8.1.2 Advertências
Natureza das advertências
As advertências previstas pela LGPD são sanções menos severas, aplicadas em situações nas 
quais a infração é considerada de menor gravidade, ou a empresa mostra‑se disposta a corrigir 
rapidamente os problemas identificados. Esse tipo de sanção é essencial para a educação e melhoria 
contínua das práticas empresariais.
• Comparação com o GDPR: o GDPR também prevê advertências para infrações menos graves, 
especialmente em casos em que a violação foi acidental, ou quando as medidas corretivas 
são rapidamente implementadas pela empresa.
Efeitos das advertências
Embora não impliquem penalidades financeiras imediatas, as advertências podem ter um 
impacto significativo na reputação da empresa, especialmente se a violação se tornar pública. Além 
disso, uma advertência pode servir como base para sanções mais graves em casos de reincidência.
173
LEI GERAL DE PROTEÇÃO DE DADOS
• Exemplo prático: uma pequena empresa que inadvertidamente coleta dados de clientes 
sem o devido consentimento pode receber uma advertência, desde que se comprometa a 
corrigir o procedimento e garantir a conformidade futura.
8.1.3 Publicização da infração
Objetivo
A publicização da infração é uma medida que visa aumentar a transparência e a responsabilização 
das empresas. Ao exigir que a empresa torne pública a violação, a LGPD busca não só alertar os 
titulares de dados sobre os riscos, mas também desencorajar práticas negligentes e promover a 
adoção de melhores práticas de proteção de dados.
• Comparação com o GDPR: o GDPR também inclui a publicização como uma das sanções 
possíveis, especialmente em casos nos quais a infração pode ter consequências significativas 
para os titulares dos dados.
Impacto na reputação
A publicização da infração pode ter consequências devastadoras para a reputação da empresa, 
afetando sua relação com clientes, investidores e parceiros de negócios. Em muitos casos, o dano 
à reputação pode ser mais prejudicial do que a própria multa, levando a uma perda de confiança 
que pode ser difícil de recuperar.
• Exemplo prático: uma grande rede de supermercados que sofre uma violação de dados 
que afeta milhões de clientes pode ser obrigada a divulgar amplamente a falha, o que pode 
resultar em uma queda significativa nas vendas e na confiança do consumidor.
8.1.4 Bloqueio de dados
Fundamentos para o bloqueio
O bloqueio de dados é uma medida que pode ser aplicada em situações nas quais o tratamento 
de dados pessoais representa um risco contínuo para os titulares, ou em que há dúvidas sobre a 
legalidade do tratamento. Esse bloqueio pode ser temporário, durando até que a empresa corrija 
as irregularidades identificadas.
• Comparação com o GDPR: similarmente, o GDPR permite que os reguladores ordenem o 
bloqueio do processamento de dados em situações nas quais a conformidade com as regras 
de proteção de dados não pode ser garantida.
174
Unidade IV
 Lembrete
A LGPD prevê uma série de sanções para infrações relacionadas ao 
tratamento de dados pessoais, que vão desde advertências e multas até 
medidas mais rigorosas, como a divulgação da infração e o bloqueio ou 
eliminação de dados. Essas avaliações não visam apenas penalizar, mas 
também educar e promover a conformidade das organizações. É importante 
destacar que a aplicação de multas leva em conta fatores como a gravidade 
da infração, o impacto nos titulares e na cooperação da empresa. Além disso, 
medidas como a divulgação da infração podem causar danos irreparáveis 
à solicitação da organização, enfatizando a necessidade de práticas sólidas 
de proteção de dados.
 
Procedimentos de bloqueio
Para que o bloqueio de dados seja efetivo, a empresa deve interromper imediatamente o 
processamento dos dados afetados, enquanto adota medidas corretivas. A ANPD pode monitorar 
o cumprimento dessa medida e exigir relatórios detalhados sobre as ações tomadas pela empresa.
• Exemplo prático: uma fintech que utiliza dados pessoais de forma inadequada, sem base 
legal, pode ser obrigada a bloquear o acesso a esses dados até que implemente controles 
adequados de conformidade e segurança.
8.1.5 Eliminação de dados
Circunstâncias para a eliminação
A eliminação de dados é uma sanção aplicada em casos extremos, nos quais o tratamento de 
dados é considerado ilegal, ou a retenção desses dados representa um risco inaceitável para os 
titulares. A eliminação é geralmente a última medida a ser tomada, após a empresa falhar em 
corrigir outras irregularidades.
• Comparação com o GDPR: no contexto do GDPR, a eliminação de dados pode ser ordenada 
quando não há base legal para o tratamento, ou quando os dados foram obtidos de 
maneira irregular.
Processo de eliminação
A eliminação de dados deve ser realizada de forma segura e irreversível, garantindo que eles 
não possam ser recuperados. A empresa deve fornecer documentação detalhada comprovando que 
a eliminação foi realizadaconforme as normas exigidas pela ANPD.
175
LEI GERAL DE PROTEÇÃO DE DADOS
• Exemplo prático: uma empresa de marketing que armazena dados pessoais coletados sem 
consentimento pode ser obrigada a eliminar esses dados se não conseguir demonstrar uma 
base legal válida para mantê‑los.
A aplicação das sanções previstas pela LGPD desempenha um papel crucial na manutenção da 
conformidade e na proteção dos direitos dos titulares de dados. Essas medidas, além de funcionarem 
como penalidades, servem como instrumentos de educação e conscientização, incentivando as 
empresas a adotarem práticas mais rigorosas de proteção de dados. Com a aplicação rigorosa 
dessas sanções pela ANPD, espera‑se que as organizações brasileiras avancem na implementação 
de políticas de proteção de dados robustas, alinhadas com os padrões internacionais, e que 
contribuam para a construção de um ambiente de negócios mais seguro e confiável.
 Observação
As sanções previstas na LGPD desempenham um papel estratégico na 
promoção da conformidade legal e na proteção dos direitos dos titulares de 
dados. Multas financeiras, advertências, divulgação de infrações, bloqueio 
e eliminação de dados não são apenas medidas punitivas, mas também 
ferramentas educativas e preventivas que incentivam as organizações 
a adotarem uma postura mais proativa e responsável no tratamento de 
dados pessoais.
8.2 Processos administrativos e judiciais
8.2.1 Procedimentos de fiscalização e sanção
A LGPD estabelece um marco regulatório para a proteção de dados pessoais no Brasil, impondo 
diversas obrigações às organizações no que diz respeito ao tratamento de dados. Um aspecto crucial 
para a efetividade da LGPD é a fiscalização e a aplicação de sanções para garantir que as entidades 
que tratam dados pessoais estejam em conformidade com a lei. Este tópico aborda os procedimentos 
administrativos e judiciais envolvidos na fiscalização e sanção conforme a LGPD, analisando as etapas 
do processo, as responsabilidades dos agentes de fiscalização e as possíveis consequências para as 
organizações que não cumprirem as disposições da lei.
8.2.1.1 Procedimentos de fiscalização
Responsabilidade da ANPD
A ANPD tem a competência de instaurar processos administrativos para averiguar possíveis infrações 
à lei e aplicar sanções conforme necessário. Também é responsável por emitir normas complementares e 
orientações para a aplicação da LGPD, além de coordenar com outros órgãos e entidades públicas para 
garantir a eficácia da lei.
176
Unidade IV
• Exemplo prático: uma empresa de e‑commerce que coleta dados pessoais sem informar 
adequadamente os titulares sobre o uso desses dados pode ser alvo de uma investigação pela 
ANPD. Destaca‑se que afiscalização pode ser iniciada por denúncias de consumidores, por 
iniciativa própria da ANPD ou por notificações de outros órgãos reguladores.
Etapas da fiscalização
O processo de fiscalização segue várias etapas, começando pela identificação da infração, em que 
a ANPD avalia indícios de descumprimento da LGPD. Em seguida, ocorre a investigação preliminar, na 
qual são coletadas informações adicionais para confirmar a violação. Se a infração for confirmada, a ANPD 
poderá emitir uma notificação de irregularidade para a organização, concedendo um prazo para que 
esta corrija as falhas identificadas.
Os procedimentos detalhados envolvem:
• Identificação da infração: pode ocorrer através de denúncias, reclamações de titulares de dados 
ou por fiscalização direta da ANPD.
• Investigação preliminar: reúnem‑se documentos, realizam‑se inspeções e solicitam‑se 
esclarecimentos da organização envolvida.
• Notificação de irregularidade: a organização é notificada das infrações e tem a oportunidade 
de corrigir as falhas ou apresentar uma defesa.
Medidas provisórias e cautelares
Durante o processo de fiscalização, a ANPD pode adotar medidas provisórias ou cautelares para 
prevenir maiores danos aos titulares de dados. Essas medidas incluem a suspensão temporária do 
tratamento de dados, o bloqueio de dados pessoais ou até mesmo a proibição total do tratamento de dados 
até que as questões sejam resolvidas.
• Exemplo prático: se uma empresa de tecnologia estiver processando dados pessoais de forma 
irregular, a ANPD pode ordenar a suspensão imediata dessas atividades até que a conformidade 
com a LGPD seja garantida.
8.2.1.2 Processo administrativo sancionador
Início do processo sancionador
Caso a organização não corrija as irregularidades, ou se a infração for considerada grave, a 
ANPD pode instaurar um processo administrativo sancionador, que visa apurar a responsabilidade da 
organização e aplicar as sanções previstas pela LGPD. A empresa será formalmente notificada do início 
do processo e terá direito ao contraditório e à ampla defesa.
177
LEI GERAL DE PROTEÇÃO DE DADOS
As fases do processo envolvem:
• Notificação formal: a empresa é informada sobre as infrações e o início do processo.
• Apresentação de defesa: a organização pode apresentar sua defesa, argumentando sobre as 
ações tomadas ou justificando as práticas adotadas.
• Instrução processual: coleta de provas e análise detalhada das práticas da organização em 
relação às infrações apontadas.
Critérios de decisão
Ao decidir sobre as sanções a serem aplicadas, a ANPD leva em consideração diversos fatores, como 
a gravidade da infração, a reincidência, a cooperação da organização durante o processo e as medidas 
adotadas para mitigar os danos. A decisão final deve ser fundamentada e pode incluir desde advertências 
até multas e outras sanções administrativas.
• Exemplo prático: uma organização que, apesar de advertida, não corrige as práticas inadequadas 
de tratamento de dados pode ser multada e ter a infração publicizada, o que afeta sua reputação 
e operações futuras.
Sanções administrativas
Incluem advertências, multas, bloqueio de dados, eliminação de dados pessoais e a suspensão parcial 
ou total das atividades de tratamento de dados. As multas podem chegar a 2% do faturamento da 
empresa, limitada a R$ 50 milhões por infração.
• Impacto no mercado: a imposição de multas severas pode servir como um exemplo para outras 
organizações, incentivando o cumprimento das normativas e demonstrando o compromisso do 
Brasil com a proteção de dados.
8.2.1.3 Procedimentos judiciais
Acesso ao Judiciário
Além das sanções administrativas, as organizações e os titulares de dados podem recorrer ao 
Poder Judiciário para contestar decisões da ANPD ou buscar reparação por danos causados por 
violações da LGPD. As ações judiciais podem ser movidas tanto pela ANPD quanto pelos próprios 
titulares de dados.
• Exemplo prático: um titular de dados que teve suas informações pessoais vazadas por 
negligência de uma empresa pode mover uma ação judicial buscando indenização por danos 
morais e materiais.
178
Unidade IV
Coordenação entre ANPD e Judiciário
A ANPD pode atuar como parte ou assistente em processos judiciais relacionados à proteção 
de dados, fornecendo pareceres técnicos e ajudando a esclarecer questões legais complexas. 
Essa coordenação é essencial para garantir que as decisões judiciais estejam alinhadas com as 
diretrizes da LGPD.
• Importância da colaboração: a colaboração entre a ANPD e o Poder Judiciário fortalece a 
aplicação da LGPD, garantindo que as decisões sejam embasadas em uma interpretação técnica e 
jurídica robusta.
Decisões judiciais e precedentes
As decisões judiciais que interpretam e aplicam a LGPD podem estabelecer precedentes importantes, 
influenciando futuras decisões administrativas e judiciais. Esses precedentes ajudam a criar um 
corpo jurisprudencial que orienta a aplicação da lei e fornece segurança jurídica às empresas e aos 
titulares de dados.
• Exemplo prático: decisões judiciais que condenam empresas por falhas na proteção de dados 
podem servir como referência para futuros casos, consolidando a interpretação da LGPD e 
reforçando sua aplicação prática.
Os procedimentos de fiscalização e sançãoprevistos pela LGPD são fundamentais para garantir 
a conformidade das organizações com as normas de proteção de dados. A atuação da ANPD, em 
conjunto com o Poder Judiciário, assegura que as infrações à LGPD sejam devidamente apuradas e 
punidas, protegendo os direitos dos titulares de dados e promovendo um ambiente de negócios mais 
seguro e transparente. A aplicação rigorosa das sanções, aliada ao direito de defesa das organizações, 
estabelece um equilíbrio necessário entre a proteção dos dados pessoais e a segurança jurídica das 
operações empresariais.
 Lembrete
A ANPD desempenha um papel central no processo de fiscalização e 
sanção, conduzindo investigações, aplicando medidas administrativas 
e emitindo orientações que promovem boas práticas no tratamento de 
dados pessoais. Essas ações não apenas garantem a proteção dos direitos 
dos titulares, mas também incentivam uma cultura organizacional de 
responsabilidade e transparência.
179
LEI GERAL DE PROTEÇÃO DE DADOS
8.2.2 Exemplos de casos julgados e decisões administrativas
A aplicação da LGPD no Brasil vem ganhando forma à medida que as primeiras decisões 
administrativas e judiciais são proferidas. Esses casos são fundamentais para a interpretação e aplicação 
prática da lei, estabelecendo precedentes que guiarão futuras ações de fiscalização e sanção. Este tópico 
aborda exemplos significativos de casos julgados e decisões administrativas que moldaram o cenário 
da proteção de dados no Brasil. A análise desses casos não apenas esclarece a aplicação da LGPD, mas 
também destaca as consequências jurídicas e administrativas para as organizações que violam a lei.
Caso A: empresa de telecomunicações e vazamento de dados
Uma das primeiras decisões relevantes envolvendo a LGPD foi contra uma grande empresa de 
telecomunicações brasileira que sofreu um vazamento de dados pessoais de milhões de clientes. 
O incidente resultou em uma investigação conduzida pela ANPD, que identificou falhas significativas 
nas práticas de segurança da informação da empresa.
• Decisão administrativa: a ANPD determinou que a empresa implementasse medidas corretivas 
imediatas, incluindo o aprimoramento das políticas de segurança da informação e a realização 
de treinamentos obrigatórios para funcionários. A empresa foi multada em milhões de reais, com 
base nos critérios estabelecidos pela LGPD, como a gravidade da infração e o número de titulares 
de dados afetados.
• Impacto: esse caso destacou a importância de medidas de segurança robustas e a responsabilidade 
das empresas em proteger os dados pessoais que gerenciam. A decisão serviu como um alerta 
para outras empresas, reforçando a necessidade de conformidade com a LGPD.
Caso B: instituição financeira e consentimento de clientes
Em outro caso marcante, uma instituição financeira foi acusada de utilizar dados pessoais de seus 
clientes para fins de marketing sem o devido consentimento. A prática foi denunciada por um grupo 
de consumidores que alegaram não ter sido informados de forma adequada sobre o uso de seus dados 
para essas finalidades.
• Decisão administrativa: a ANPD determinou que a instituição financeira cessasse imediatamente 
o uso indevido dos dados e revisse suas políticas de coleta e consentimento. A empresa também 
foi obrigada a implementar um sistema mais transparente de obtenção de consentimento, 
garantindo que os clientes fossem devidamente informados e pudessem optar por não participar 
das campanhas de marketing.
• Impacto: o caso reforçou o princípio da transparência e a necessidade de consentimento 
informado, conforme previsto na LGPD. A decisão administrativa destacou a responsabilidade 
das empresas em respeitar os direitos dos titulares de dados e em manter práticas éticas de 
tratamento de dados pessoais.
180
Unidade IV
Caso C: rede de supermercados e uso indevido de dados biométricos
Uma rede de supermercados foi investigada pela ANPD após a denúncia de que estaria utilizando 
dados biométricos de seus clientes, capturados através de câmeras de vigilância, para fins de análise 
de comportamento sem o consentimento dos indivíduos. A coleta e uso desses dados levantaram 
preocupações sobre privacidade e vigilância indevida.
• Decisão administrativa: a ANPD considerou a prática uma violação grave dos direitos dos 
titulares de dados e determinou a suspensão imediata da coleta e do uso de dados biométricos 
sem consentimento explícito. Além disso, a rede foi multada e obrigada a revisar completamente 
suas práticas de vigilância, garantindo que qualquer coleta de dados biométricos fosse feita com 
base em uma justificativa legal adequada e com o consentimento dos titulares.
• Impacto: esse caso chamou a atenção para os riscos associados ao uso de tecnologias avançadas, 
como a biometria, e a necessidade de garantir que tais práticas estejam em conformidade com a 
LGPD. A decisão reforçou a importância do consentimento e da minimização na coleta de dados 
pessoais sensíveis.
Caso D: empresa de tecnologia e compartilhamento de dados com terceiros
Uma empresa de tecnologia foi acusada de compartilhar dados pessoais de seus usuários com 
terceiros sem informar adequadamente aos titulares dos dados. A prática foi descoberta após uma 
investigação que revelou que os dados estavam sendo vendidos para empresas de marketing sem o 
consentimento dos usuários.
• Decisão judicial: nesse caso, a decisão foi levada ao Judiciário, e o tribunal determinou que a 
empresa cessasse imediatamente o compartilhamento de dados e implementasse um sistema de 
opt‑in, no qual os usuários teriam que consentir explicitamente com o compartilhamento de seus 
dados. A empresa foi condenada a pagar uma indenização significativa aos usuários afetados e a 
implementar mudanças estruturais em sua política de privacidade.
• Impacto: a decisão judicial serviu como um precedente importante para a proteção dos direitos 
dos titulares de dados, especialmente em relação ao compartilhamento de informações com 
terceiros. O caso também destacou a necessidade de transparência e de garantir que os titulares 
estejam cientes e no controle de como seus dados são utilizados.
Os casos discutidos ilustram a importância da LGPD na proteção dos dados pessoais e a eficácia das 
sanções administrativas e judiciais para garantir o cumprimento da lei. As decisões analisadas não apenas 
reforçam os princípios da LGPD, como transparência, segurança e consentimento, mas também servem 
como um guia para empresas de todos os setores na adoção de práticas adequadas de tratamento de 
dados. À medida que mais casos surgem, a jurisprudência em torno da LGPD continuará a se desenvolver, 
proporcionando maior clareza e segurança jurídica para todos os envolvidos.
181
LEI GERAL DE PROTEÇÃO DE DADOS
 Observação
As primeiras decisões administrativas e judiciais baseadas na LGPD 
desempenham um papel essencial na consolidação do marco regulatório 
de proteção de dados no Brasil. Esses casos não apenas interpretam a 
lei, mas também estabelecem precedentes que orientam as organizações 
sobre as melhores práticas e as consequências do descumprimento. Eles 
evidenciam a importância de princípios como segurança, transparência e 
consentimento no tratamento de dados pessoais.
 
8.3 Portais para consultas de casos
8.3.1 Consultas de casos sobre LGPD
Com a implementação da LGPD no Brasil, tornou‑se essencial que organizações, profissionais da 
área jurídica e de compliance, além de cidadãos em geral, tenham acesso a informações detalhadas 
sobre como a lei está sendo aplicada em diferentes contextos. A consulta a casos específicos sobre 
a LGPD oferece insights valiosos sobre interpretações legais, precedentes estabelecidos e práticas 
recomendadas. Este tópico abordará os principais portais e fontes de consulta disponíveis para acessar 
decisões judiciais e administrativas relacionadas à LGPD, bem como a importância dessas consultas para 
garantir a conformidade e a adequada proteção de dados pessoais.
8.3.1.1 Importânciadas consultas de casos sobre LGPD
Compreensão e interpretação da LGPD
A LGPD é uma legislação relativamente nova no Brasil, e sua aplicação ainda está em desenvolvimento. 
Consultar casos decididos pela ANPD e pelos tribunais é fundamental para entender como os princípios 
da lei estão sendo interpretados e aplicados em situações reais. Isso ajuda as organizações a ajustar suas 
práticas e a antecipar possíveis riscos legais.
• Exemplo prático: empresas que desejam implementar políticas de consentimento mais eficazes 
podem consultar decisões da ANPD sobre como a permissão deve ser obtida e quais práticas 
foram consideradas inadequadas, orientando assim suas estratégias de conformidade.
Estabelecimento de precedentes
À medida que mais casos relacionados à LGPD são decididos, eles fixam precedentes que guiam 
futuras decisões. A consulta a esses precedentes é crucial para advogados e consultores que precisam 
aconselhar seus clientes ou empresas sobre como proceder em situações semelhantes.
• Exemplo prático: um advogado que representa uma empresa acusada de violar a LGPD pode 
consultar casos anteriores em que empresas enfrentaram questões similares, utilizando‑os para 
construir uma defesa baseada em precedentes estabelecidos.
182
Unidade IV
Educação e treinamento
Profissionais que atuam na área de proteção de dados e compliance podem usar consultas de casos 
para educar e treinar suas equipes. Analisando como a LGPD foi aplicada em diferentes casos, eles podem 
desenvolver melhores políticas internas e treinamentos que abordem as áreas críticas identificadas nas 
decisões anteriores.
• Exemplo prático: uma equipe de compliance pode revisar casos sobre vazamento de dados e usar 
as lições aprendidas para criar programas de treinamento que previnam incidentes semelhantes 
em sua organização.
8.3.1.2 Portais para consulta de casos sobre LGPD
Portal da ANPD
O portal oficial da ANPD é a principal fonte para consultar decisões administrativas sobre a LGPD. 
No site, os usuários podem encontrar informações detalhadas sobre processos administrativos, medidas 
corretivas aplicadas e orientações gerais emitidas pela ANPD. O portal também disponibiliza documentos 
e guias que ajudam a esclarecer pontos específicos da lei.
• Funcionalidades do portal
— Busca por casos: ferramenta de busca que permite filtrar decisões por palavras‑chave, data e 
tipo de sanção aplicada.
— Publicações: acesso a relatórios, orientações e guias emitidos pela ANPD para auxiliar na 
compreensão e aplicação da LGPD.
— Notícias: atualizações sobre as ações da ANPD e eventos relacionados à proteção de dados.
— Exemplo prático: um gestor de TI pode usar o portal da ANPD para buscar casos específicos 
sobre segurança da informação e entender quais medidas de segurança foram consideradas 
adequadas ou insuficientes em casos julgados.
Jurisprudência do Superior Tribunal de Justiça (STJ) e Supremo Tribunal Federal (STF)
O STJ e o STF são as principais cortes brasileiras que têm proferido decisões sobre a aplicação da 
LGPD. O acesso às jurisprudências dessas cortes é essencial para entender como a LGPD é interpretada 
em níveis superiores do sistema judiciário. Os sites do STJ e STF oferecem ferramentas de busca avançada 
para acessar acórdãos e decisões sobre a LGPD.
• Funcionalidades dos portais
— Consulta avançada: permite a busca por palavras‑chave, número do processo, relator e outras 
variáveis específicas.
183
LEI GERAL DE PROTEÇÃO DE DADOS
— Sumários executivos: resumos das decisões que facilitam a compreensão rápida dos principais 
pontos abordados.
— Acesso a integrais de acórdãos: visualização completa dos textos das decisões, com 
possibilidade de download.
— Exemplo prático: um advogado que prepara um caso envolvendo a violação de dados pode 
usar o portal do STJ para encontrar decisões similares e entender os argumentos jurídicos que 
foram aceitos ou rejeitados em outras instâncias.
Portais de tribunais regionais
Além das cortes superiores, os Tribunais de Justiça (TJs) estaduais e Tribunais Regionais Federais (TRFs) 
julgam casos relevantes sobre a LGPD. Os sites desses tribunais oferecem acesso a decisões que podem 
ter implicações diretas para empresas e cidadãos em suas respectivas jurisdições.
• Funcionalidades dos portais
— Consulta por jurisdição: ferramentas de busca que permitem filtrar decisões por estado 
ou região.
— Relatórios estatísticos: alguns tribunais oferecem dados estatísticos sobre o número de 
casos julgados relacionados à LGPD, oferecendo uma visão geral da aplicação da lei em 
diferentes regiões.
— Exemplo prático: uma empresa com operações em diferentes estados pode consultar os 
portais dos TJs e TRFs para entender como a LGPD está sendo aplicada em cada localidade, 
ajustando suas práticas regionais conforme necessário.
Portais de associações e entidades de classe
Algumas associações e entidades de classe, como a Associação Brasileira de Direito da Tecnologia 
da Informação e Comunicações (ABDTIC) e a ANPPD, oferecem portais com recursos valiosos para 
a consulta de casos sobre LGPD. Esses portais frequentemente disponibilizam análises de casos, 
artigos acadêmicos e opiniões de especialistas que ajudam a contextualizar as decisões da ANPD e 
dos tribunais.
• Funcionalidades dos portais
— Análises de casos: comentários e interpretações de decisões importantes, oferecendo uma 
perspectiva mais profunda sobre os impactos dessas decisões.
— Webinars e seminários: acesso a eventos e discussões que aprofundam o entendimento sobre 
a aplicação da LGPD.
184
Unidade IV
— Publicações: artigos e white papers sobre temas específicos relacionados à proteção de 
dados e à LGPD.
— Exemplo prático: um consultor de privacidade pode usar os recursos desses portais para 
se manter atualizado sobre as últimas tendências e interpretações da LGPD, aplicando esse 
conhecimento em suas atividades de consultoria.
Portais internacionais
Embora focados principalmente no GDPR europeu, portais internacionais, como o da Comissão 
Europeia e do EDPB, oferecem informações úteis para entender as influências e similaridades 
entre a LGPD e o GDPR. Consultar esses portais pode ser particularmente relevante para empresas 
que operam internacionalmente e precisam harmonizar suas práticas de proteção de dados em 
diferentes jurisdições.
• Funcionalidades dos portais
— Guias comparativos: ferramentas que permitem comparar as exigências do GDPR 
com as da LGPD.
— Jurisprudência internacional: acesso a decisões que podem influenciar a interpretação da 
LGPD no Brasil.
— Recursos educacionais: webinars, cursos online e tutoriais que exploram a aplicação da 
proteção de dados em um contexto global.
— Exemplo prático: uma multinacional brasileira que opera na Europa e no Brasil pode consultar 
esses portais para alinhar suas práticas de conformidade com ambas as legislações, minimizando 
riscos legais em diferentes países.
8.3.1.3 Benefícios da consulta de casos para diferentes setores
Para empresas
As consultas de casos ajudam as empresas a identificar áreas de risco e a desenvolver estratégias 
proativas para garantir a conformidade com a LGPD. Ao estudar casos em que outras empresas foram 
sancionadas, as organizações podem evitar cometer os mesmos erros e adotar práticas que já foram validadas 
como eficazes pela ANPD e pelo Judiciário.
Para advogados e consultores
Profissionais da área jurídica e de consultoria se beneficiam das consultas de casos ao obterem 
uma compreensão mais profunda da jurisprudência relacionada à LGPD. Isso lhes permite oferecer 
aconselhamento mais informado a seus clientes e criar defesas mais robustas em processos judiciais.
185
LEI GERAL DE PROTEÇÃO DE DADOS
Para cidadãos e consumidores
Titulares de dados também podem consultar casos para entender melhor seus direitos sob a LGPD 
e identificar quando uma violação ocorreu. Esses conhecimentos podem empoderar os consumidores a 
buscar reparação em casos de uso indevido de seus dados pessoais.