En un mundo cada vez más globalizado, en el que el intercambio de datos entre países es constante y necesario para el funcionamiento de diversas actividades económicas y tecnológicas, la Ley General de Protección de Datos (LGPD) impone reglas estrictas para garantizar que se respeten los derechos de los interesados, incluso cuando esta información cruza fronteras.
Sobre este asunto, el 23/08/2024 la Autoridad Nacional de Protección de Datos (ANPD) publicó la Resolución CD/ANPD n. 19/2024 (“Resolución”), que establece los procedimientos y las reglas aplicables a las operaciones de transferencia internacional de datos.
Preliminarmente, vale recordar que la transferencia internacional ocurre cuando el agente, desde dentro o fuera de Brasil, transmite, comparte o pone a disposición el acceso a datos personales fuera del territorio nacional. El agente transmisor se llama exportador, mientras que el agente que recibe los datos se llama importador.
Pues bien, la transferencia internacional de datos personales sólo puede producirse cuando esté respaldada por una base legal prevista en la LGPD y por alguno de los siguientes mecanismos: países con protección adecuada, cláusulas contractuales tipo, estándares corporativos globales o cláusulas contractuales específicas y, finalmente, garantías de protección y necesidades específicas.
Entre los mecanismos descritos anteriormente, el instrumento de las cláusulas estándar contractuales ya era conocido en contextos legislativos internacionales (especialmente en Europa, bajo la vigencia del Reglamento General de Protección de Datos). En el contexto brasileño, también es posible prever un amplio uso de este instrumento en los contratos.
El texto de las cláusulas estándar del contrato se encuentra en el mismo Reglamento, en el Anexo II, que prevé un conjunto de 24 cláusulas formuladas por la ANPD, para ser incorporadas en contratos que involucren la transferencia internacional de datos, con el fin de asegurar que los agentes exportadores e importadores de datos personales mantengan un nivel adecuado de protección, equivalente al exigido por la legislación brasileña. Las empresas tienen un plazo de 12 meses, a partir de la publicación, para ajustar sus contratos.
Ahora, la utilización de las cláusulas estándar trae una serie de impactos a los contratos de los agentes. Entre estos impactos principales, destacamos:
Cambios en los términos del contratoAdemás de que el texto de las cláusulas estándar no puede ser modificado, la Resolución también establece que el texto original del contrato no debe contradecir lo dispuesto en las cláusulas estándar. De esta manera, el agente deberá revisar y, si es necesario, modificar lo dispuesto en los contratos para garantizar la conformidad de la transferencia internacional.
Distribución de responsabilidades:Las cláusulas definen claramente las responsabilidades de las partes involucradas en el tratamiento y protección de los datos personales, atribuyendo deberes específicos tanto a los controladores como a los operadores. Estas responsabilidades se dividen entre la comprobación de la adopción de medidas eficaces, deberes de transparencia, atención a los derechos de los titulares, comunicación de incidentes de seguridad, indemnización por daños y adecuación a diversas modalidades de tratamiento.
Transparencia:El responsable del tratamiento deberá proporcionar al interesado, si así lo solicita, las cláusulas contractuales completas utilizadas, teniendo en cuenta los secretos comerciales e industriales, así como publicar en su sitio web, en una página específica o integrada en la Política de Privacidad, información clara y accesible sobre la transferencia internacional de datos.
Riesgo de sanciones:El incumplimiento de las cláusulas estándar puede dar lugar a sanciones severas, incluidas multas, además de dañar la reputación de las empresas involucradas.
Definición de foro y jurisdicción:cualquier desacuerdo con los términos de las cláusulas estándar deberá ser resuelto ante los tribunales competentes en Brasil.
Debido a estos impactos, será necesaria en muchos casos la renegociación de contratos entre agentes para incluir las cláusulas estándar. Más precisamente, las cláusulas estándar de la ANPD para transferencias internacionales de datos personales imponen una nueva capa de complejidad a los contratos empresariales, exigiendo revisiones detalladas, adaptaciones en las cláusulas y una mayor formalidad en las relaciones comerciales. Sin embargo, al estandarizar prácticas y garantizar la seguridad jurídica, estas cláusulas contribuyen a la creación de un entorno más seguro y confiable para la circulación de datos más allá de las fronteras nacionales, esencial en un mundo cada vez más interconectado.
