Regras de Transferência Internacional de Dados

As transferências transfronteiriças de ficheiros da UE para países terceiros exigem um dos instrumentos de transferência do Capítulo V ao abrigo dos Artigos 44.º a 50.º do RGPD: uma decisão de adequação (Artigo 45.º), Cláusulas Contratuais-Tipo (Artigo 46.º), Regras Vinculativas para Empresas (Artigo 47.º) ou uma derrogação (Artigo 49.º). Desde que o acórdão Schrems II invalidou o Privacy Shield em julho de 2020, cada transferência baseada em CCT requer também uma Avaliação de Impacto na Transferência que documente se as leis de vigilância do país de destino comprometem a proteção. Errar aqui pode resultar em coimas de até 4% do volume de negócios global e injunções que suspendam o fluxo de dados.

As decisões de adequação em que pode confiar

A Comissão Europeia declarou os seguintes países terceiros como adequados a partir de 2026: Andorra, Argentina, Canadá (apenas operadores comerciais), Ilhas Faroé, Guernsey, Israel, Ilha de Man, Japão, Jersey, Nova Zelândia, República da Coreia, Suíça, Reino Unido, Estados Unidos (apenas entidades certificadas DPF) e Uruguai. As transferências para estes destinos não necessitam de garantias adicionais ao abrigo do Artigo 46.º. Para todos os outros — Índia, Brasil, China, Austrália fora de quadros específicos, a maioria de África e da América Latina — são necessárias CCT mais uma AIT. A lista de adequação é atualizada; verifique o registo oficial da Comissão antes de nela se basear.

Cláusulas Contratuais-Tipo: os quatro módulos

A Decisão de Execução da Comissão 2021/914 (junho de 2021) introduziu as CCT atuais com quatro módulos. Módulo 1: responsável para responsável (partilha de um .csv exportado com um parceiro no Brasil). Módulo 2: responsável para subcontratante (utilização de um serviço de transferência sediado nos EUA que não esteja certificado pelo DPF). Módulo 3: subcontratante para subcontratante (o seu subcontratante do CS usa um sub-subcontratante fora do EEE). Módulo 4: subcontratante para responsável (exportação de dados de volta de um subcontratante para um responsável de um país terceiro). Escolha o módulo correto — o errado é tão inválido como não ter nenhum.

Avaliações de Impacto na Transferência após Schrems II

O acórdão Schrems II do TJUE (C-311/18, julho de 2020) exige que os exportadores verifiquem se o importador consegue cumprir os compromissos das CCT face ao direito de vigilância local. As Recomendações 01/2020 do CEPD (adotadas em junho de 2021) estabelecem seis etapas: (1) mapear as transferências, (2) identificar o instrumento de transferência, (3) avaliar a eficácia no país de destino, (4) identificar medidas suplementares, (5) etapas processuais, (6) reavaliação periódica. Para transferências para os EUA, as leis em causa são a Secção 702 da FISA e a Ordem Executiva 12333. Para transferências para a China, a Lei de Inteligência Nacional de 2017 e a Lei de Segurança de Dados de 2021.

Medidas suplementares que funcionam efetivamente

O CEPD classifica as medidas suplementares como técnicas, contratuais e organizativas. Apenas as medidas técnicas resistem à vigilância mais agressiva. O texto cifrado em trânsito com chaves detidas exclusivamente pelo exportador de dados (E2EE do lado do cliente) significa que o importador detém apenas blobs encriptados inúteis para as autoridades estrangeiras. A pseudonimização em que as chaves de reidentificação permanecem no EEE é equivalente para a maioria dos casos de utilização. As medidas contratuais — cláusulas de notificação de acesso, relatórios de transparência — são relevantes, mas não impedem a divulgação compelida. As medidas organizativas (controlos de acesso, formação) são condição mínima, não soluções.

O Quadro de Privacidade de Dados UE-EUA

O DPF UE-EUA, em vigor desde julho de 2023 após a decisão de adequação da Comissão, restabelece um caminho simplificado para transferências para entidades norte-americanas certificadas. As empresas autocertificam-se anualmente através do Departamento de Comércio dos EUA, comprometem-se com os Princípios do DPF e submetem-se à fiscalização da FTC. Mais de 2.500 empresas dos EUA tinham certificado no início de 2026, incluindo a maioria dos principais fornecedores SaaS. Para destinatários certificados pelo DPF, não são necessárias CCT nem AIT. Verifique a certificação em dataprivacyframework.gov antes de cada transferência; as certificações expiram, e as transferências após a expiração voltam a estar sujeitas aos requisitos das CCT.

Regras Vinculativas para Empresas para transferências intragrupo

As RVE ao abrigo do Artigo 47.º são códigos de conduta internos que vinculam todas as empresas de um grupo empresarial, aprovados por uma autoridade de supervisão principal após consulta de todas as autoridades competentes. A aprovação demora entre 18 e 36 meses e custa entre 100.000 € e 300.000 € em honorários jurídicos. Uma vez aprovadas, as RVE cobrem todas as transferências intragrupo — uma sede alemã pode enviar livremente ficheiros de pessoal para filiais em Singapura, México e Nigéria. As RVE não abrangem subcontratantes terceiros; para esses, as CCT continuam a ser o instrumento. Cerca de 120 grupos detinham RVE aprovadas em 2025.

Derrogações do Artigo 49.º para casos limite

O Artigo 49.º permite transferências sem as garantias do Artigo 46.º em situações específicas: consentimento explícito com divulgação de riscos (49.º(1)(a)), transferência necessária para execução do contrato (49.º(1)(b)), razões importantes de interesse público (49.º(1)(d)), estabelecimento ou defesa de ações legais (49.º(1)(e)), interesses vitais (49.º(1)(f)), e transferências de registos públicos (49.º(1)(g)). As Orientações 2/2018 do CEPD sublinham que estas são exceções estritas — "ocasionais e não repetitivas". Utilizar o consentimento do 49.º(1)(a) para transferências contínuas de ficheiros de clientes não é conforme. Utilizar o 49.º(1)(e) para enviar um processo a advogado adverso nos EUA para litígio é legítimo.

Regras específicas de países além do RGPD

A Lei de Proteção de Informações Pessoais da China (PIPL, novembro de 2021) exige uma avaliação de segurança pela CAC para exportações de dados sensíveis ou de grande volume. A lei russa de localização de dados (242-FZ, setembro de 2015) exige que os dados pessoais de cidadãos russos sejam armazenados primeiro em território russo. A LGPD brasileira (agosto de 2020) tem o seu próprio quadro de adequação. A Lei de Proteção de Dados Pessoais Digitais indiana (agosto de 2023, regulamentação pendente) restringirá as transferências para países incluídos numa lista negra pelo governo central. As transferências de ficheiros que envolvam estas jurisdições requerem assessoria jurídica local — a conformidade com o RGPD por si só não é suficiente.

Arquitetura prática para conformidade transfronteiriça

Uma arquitetura limpa de transferência transfronteiriça de ficheiros: (1) encriptar do lado do cliente com chaves inacessíveis ao fornecedor, de modo que o fornecedor estrangeiro detenha apenas texto cifrado; (2) fixar o armazenamento de ficheiros e metadados em regiões europeias (OVH Gravelines, AWS Frankfurt com sem-replicação explícita, Scaleway Paris); (3) registar cada transferência com o país de destino e a base legal; (4) expirar ficheiros automaticamente após 7 a 30 dias para minimizar o risco de residência; (5) manter um registo de sub-subcontratantes atualizado com as jurisdições. Serviços como a HexaTransfer implementam estes padrões de raiz — armazenamento exclusivamente na UE, AES-256-GCM do lado do cliente, expiração de 7 dias.

Manter registos ao abrigo do Artigo 30.º(1)(e)

O Artigo 30.º(1)(e) exige que os responsáveis documentem, para cada atividade de tratamento que envolva transferências internacionais, o país terceiro e as garantias utilizadas. A entrada no registo para um serviço de transferência deve indicar: "Entregas de ficheiros a parceiros-clientes, transferências para os EUA (certificados DPF) e Reino Unido (adequado), CCT Módulo 2 para sub-subcontratantes não certificados, AIT datada de [data] revista anualmente." Mantenha as AIT em controlo de versões; as autoridades de supervisão analisam o histórico em investigações, não apenas a versão atual.

Defina o percurso de transferência antes de mover o primeiro byte. Experimente em hexatransfer.com — gratuito, sem conta, até 10 GB.