UE i Brazylia uznały wzajemnie swoje prawo o danych — co adekwatność naprawdę zdejmuje z barków

Standardowe klauzule umowne przestały być ceną za przenoszenie danych osobowych między Brazylią a Europą. Pod koniec stycznia 2026 obie jurysdykcje uznały swoje systemy za wzajemnie adekwatne — Rezolucja CD/ANPD nr 32 została opublikowana 26 stycznia i weszła w życie z dniem publikacji, a Komisja Europejska przyjęła własną decyzję o adekwatności wobec Brazylii 27 stycznia. Dane płyną teraz w obie strony na podstawie samych decyzji. Jeśli prowadzisz europejską firmę z brazylijską spółką zależną, portalem dla dystrybutorów albo bazą klientów rozpiętą wzdłuż korytarza, pytanie o mechanizm transferu, które siedziało w każdej umowie z dostawcą, w dużej mierze ucichło.

To, co znika, da się wskazać konkretnie. Europejski eksporter przesyłający dane osobowe do Brazylii opiera się na art. 45 RODO zamiast negocjować SCC; brazylijski eksporter przesyłający dane do Europy opiera się na art. 33 pkt I LGPD zamiast wdrażać klauzule standardowe ANPD, które dla istniejących umów stały się obowiązkowe dopiero w sierpniu 2025. Decyzja brazylijska obejmuje państwa członkowskie UE, kraje EOG — Islandię, Liechtenstein i Norwegię — oraz instytucje unijne. Komisja po raz pierwszy zawarła wzajemne porozumienie o takim zasięgu: sektor publiczny i prywatny naraz, wszystkie kategorie danych, łącznie z danymi wrażliwymi. W procurement oznacza to jedną negocjację mniej przy wdrażaniu dostawcy.

Warto być precyzyjnym co do tego, co się nie zmieniło, bo decyzja jest pomostem instytucjonalnym, a nie pieczęcią zgodności. Adekwatność reguluje transfer, nie przetwarzanie: nadal potrzebujesz podstawy prawnej, przejrzystości wobec osób, których dane dotyczą, inspektora ochrony danych tam, gdzie jest wymagany, umów powierzenia z dostawcami, środków bezpieczeństwa i działającego procesu obsługi incydentów. Oba systemy stosuje się w pełni po swojej stronie pomostu. Decyzja wyłącza też transfery dokonywane wyłącznie na potrzeby bezpieczeństwa publicznego, obrony narodowej, bezpieczeństwa państwa oraz postępowań karnych — te wciąż wymagają własnej podstawy.

Pytanie o trwałość zasługuje na plan. Opinia 28/2025 EDPB z 5 listopada 2025 była przychylna, ale prosiła Komisję o dalszą obserwację kilku punktów: jak Brazylia traktuje oceny skutków dla ochrony danych, granice przejrzystości przy powoływaniu się na tajemnicę handlową i przemysłową, zasady dalszych transferów z Brazylii, zasięg prawa brazylijskiego wobec działań organów ścigania oraz zakres brazylijskiego pojęcia bezpieczeństwa narodowego. Decyzja podlega przeglądowi w ciągu czterech lat i może zostać otwarta wcześniej, jeśli któryś z systemów się przesunie. Kto śledził Safe Harbour i Privacy Shield, wyciągnie oczywisty wniosek: traktuj adekwatność jako domyślną ścieżkę, trzymaj zmapowane przepływy danych, a SCC miej jako plan awaryjny gotowy do uruchomienia — nie do wymyślania pod presją czasu.

Odczyt biznesowy jest skromny, ale realny. Adekwatność nie otwiera rynku i nie rozstrzygnie, czy Brazylia jest warta wejścia. Zdejmuje natomiast powtarzalne tarcie — załącznik do umowy, ocenę skutków transferu, przegląd prawny dokładający tygodnie do każdej integracji — z korytarza, w którym to tarcie rzadko było ciekawą częścią transakcji. Przeszkody, które naprawdę decydują o wejściu, wciąż są produktowe: kto trzyma rejestrację, kto występuje jako importer i co koszt nacjonalizacji robi z Twoją ceną. Jeśli ważysz brazylijski korytarz, nasz Opportunity Scan jest punktem wyjścia do tych pytań.