L'UE et le Brésil reconnaissent désormais leurs droits des données — ce que l'adéquation supprime vraiment

Les clauses contractuelles types ne sont plus le prix à payer pour faire circuler des données personnelles entre le Brésil et l'Europe. Fin janvier 2026, les deux juridictions ont reconnu leurs régimes comme mutuellement adéquats : la Résolution CD/ANPD n° 32 a été publiée le 26 janvier et est entrée en vigueur le jour même, et la Commission européenne a adopté sa propre décision d'adéquation sur le Brésil le 27 janvier. Les données circulent désormais dans les deux sens sur le seul fondement de ces décisions. Pour une entreprise européenne dotée d'une filiale brésilienne, d'un portail distributeurs ou d'une base clients répartie le long du corridor, la question du mécanisme de transfert qui figurait dans chaque contrat fournisseur s'est largement tue.

Ce qui disparaît est précis. L'exportateur européen qui envoie des données personnelles au Brésil s'appuie sur l'article 45 du RGPD au lieu de négocier des CCT ; l'exportateur brésilien qui envoie des données en Europe s'appuie sur l'article 33(I) de la LGPD au lieu d'adopter les clauses types de l'ANPD, devenues obligatoires pour les contrats en cours seulement en août 2025. La décision brésilienne couvre les États membres de l'UE, les pays de l'EEE — Islande, Liechtenstein et Norvège — et les institutions européennes. C'est la première fois que la Commission conclut un arrangement mutuel de cette portée, couvrant à la fois le secteur public et le secteur privé et toutes les catégories de données, y compris les données sensibles. Côté achats, cela retire une négociation de l'intégration des fournisseurs.

Il vaut la peine d'être précis sur ce qui n'a pas changé, car la décision est un pont institutionnel et non un label de conformité. L'adéquation régit le transfert, pas le traitement : il vous faut toujours une base légale, de la transparence envers les personnes concernées, un délégué à la protection des données lorsqu'il est requis, des contrats de sous-traitance avec vos prestataires, des mesures de sécurité et un processus d'incident qui fonctionne. Les deux régimes s'appliquent pleinement de chaque côté du pont. La décision écarte par ailleurs les transferts effectués exclusivement à des fins de sécurité publique, de défense nationale, de sûreté de l'État ou d'enquête et de poursuites pénales : ceux-là gardent besoin de leur propre fondement.

La question de la durabilité est celle qui mérite d'être anticipée. L'avis 28/2025 du CEPD, du 5 novembre 2025, était favorable mais invitait la Commission à rester attentive à plusieurs points : la manière dont le Brésil traite les analyses d'impact, les limites à la transparence lorsque le secret commercial et industriel est invoqué, les règles sur les transferts ultérieurs depuis le Brésil, la portée du droit brésilien sur l'activité répressive et l'étendue de la notion brésilienne de sécurité nationale. La décision est réexaminée dans les quatre ans et peut être rouverte plus tôt si l'un des régimes se déplace. Quiconque a suivi le Safe Harbour et le Privacy Shield en tirera la conclusion évidente : traitez l'adéquation comme la norme, gardez vos flux de données cartographiés et conservez les CCT comme une solution de repli exécutable, plutôt qu'à improviser dans l'urgence.

La lecture commerciale est modeste mais réelle. L'adéquation n'ouvre pas un marché et ne décidera pas si le Brésil vaut l'entrée. Ce qu'elle fait, c'est retirer une friction récurrente — l'annexe contractuelle, l'analyse d'impact du transfert, la revue juridique qui ajoutait des semaines à chaque intégration — d'un corridor où cette friction était rarement la partie intéressante de l'affaire. Les obstacles qui déterminent vraiment une entrée restent ceux du produit : qui détient l'enregistrement, qui agit comme importateur et ce que le coût de mise à quai fait à votre prix. Si vous évaluez le corridor brésilien, notre Opportunity Scan est le point de départ sur ces questions.