Brasil e União Europeia agora reconhecem as leis de dados um do outro — o que a adequação de fato elimina

As cláusulas contratuais padrão deixaram de ser o preço de mover dados pessoais entre Brasil e Europa. No fim de janeiro de 2026, as duas jurisdições reconheceram mutuamente seus regimes como adequados — a Resolução CD/ANPD nº 32 foi publicada em 26 de janeiro e entrou em vigor na data da publicação, e a Comissão Europeia adotou sua própria decisão de adequação sobre o Brasil em 27 de janeiro. Os dados agora circulam nos dois sentidos com base nas próprias decisões. Para uma empresa europeia com subsidiária brasileira, portal de distribuidores ou base de clientes repartida ao longo do corredor, a pergunta sobre mecanismo de transferência que ocupava todo contrato com fornecedor silenciou em boa medida.

O que se elimina é específico. O exportador europeu que envia dados pessoais ao Brasil se apoia no artigo 45 do GDPR em vez de negociar SCCs; o exportador brasileiro que envia dados à Europa se apoia no artigo 33, I, da LGPD em vez de adotar as cláusulas-padrão da ANPD, que só se tornaram obrigatórias para contratos existentes em agosto de 2025. A decisão brasileira alcança os Estados-membros da UE, os países do EEE — Islândia, Liechtenstein e Noruega — e as instituições europeias. É a primeira vez que a Comissão firma um arranjo mútuo dessa amplitude, cobrindo os setores público e privado ao mesmo tempo e todas as categorias de dados, inclusive dados sensíveis. Em termos de procurement, tira uma negociação do onboarding de fornecedores.

Vale ser preciso sobre o que não mudou, porque a decisão é uma ponte institucional, não um selo de conformidade. A adequação rege a transferência, não o tratamento: continuam necessários base legal, transparência aos titulares, encarregado quando exigido, contratos de tratamento com fornecedores, medidas de segurança e um processo de incidentes que funcione. Os dois regimes se aplicam integralmente de cada lado da ponte. A decisão também exclui transferências feitas exclusivamente para segurança pública, defesa nacional, segurança do Estado ou investigação e persecução penal — essas seguem precisando de fundamento próprio.

A questão da durabilidade é a que merece planejamento. O Parecer 28/2025 do EDPB, de 5 de novembro de 2025, foi favorável, mas pediu à Comissão atenção continuada a alguns pontos: como o Brasil trata os relatórios de impacto à proteção de dados, os limites de transparência quando se invoca segredo comercial e industrial, as regras de transferências ulteriores a partir do Brasil, o alcance da lei brasileira sobre atividades de persecução penal e a extensão do conceito brasileiro de segurança nacional. A decisão é reavaliada em até quatro anos e pode ser reaberta antes disso se algum dos regimes se deslocar. Quem acompanhou o Safe Harbour e o Privacy Shield tira a conclusão evidente: trate a adequação como padrão, mantenha seus fluxos de dados mapeados e guarde as SCCs como um plano B executável — não como algo a improvisar sob pressão.

A leitura comercial é modesta, mas real. A adequação não abre mercado e não vai decidir se o Brasil vale a entrada. O que ela faz é remover um atrito recorrente — o anexo contratual, a avaliação de impacto da transferência, a revisão jurídica que somava semanas a cada integração — de um corredor onde esse atrito raramente era a parte interessante do negócio. Os obstáculos que de fato determinam uma entrada continuam sendo os de produto: quem detém o registro, quem é o importador de registro e o que o custo de nacionalização faz com o seu preço. Se você está avaliando o corredor brasileiro, nosso Opportunity Scan é o ponto de partida para essas perguntas.