A Autoridade Nacional de Proteção de Dados – ANPD – abriu Consulta Pública sobre a norma de transferências internacionais de dados pessoais. A Consulta estará disponível na plataforma Participa Mais Brasil entre os dias 15 de agosto e 14 de setembro.
Essa é uma excelente notícia, já que o tema de transferência internacional de dados está pendente de regulamentação da ANPD. O tema é especialmente sensível para as entidades desportivas e, como defendemos em outras oportunidades, as entidades desportivas (especialmente as entidades desportivas que atuam com o desporto de rendimento) se beneficiariam de uma regulação específica em matéria de dados pessoais em relação às transferências internacionais.
A transferência internacional de dados é limitada às hipóteses expressamente previstas na LGPD, no artigo 33:
Art. 33. A transferência internacional de dados pessoais somente é permitida nos seguintes casos:
I – para países ou organismos internacionais que proporcionem grau de proteção de dados pessoais adequado ao previsto nesta Lei;
II – quando o controlador oferecer e comprovar garantias de cumprimento dos princípios, dos direitos do titular e do regime de proteção de dados previstos nesta Lei, na forma de:
a) cláusulas contratuais específicas para determinada transferência;
b) cláusulas-padrão contratuais;
c) normas corporativas globais;
d) selos, certificados e códigos de conduta regularmente emitidos;
III – quando a transferência for necessária para a cooperação jurídica internacional entre órgãos públicos de inteligência, de investigação e de persecução, de acordo com os instrumentos de direito internacional;
IV – quando a transferência for necessária para a proteção da vida ou da incolumidade física do titular ou de terceiro;
V – quando a autoridade nacional autorizar a transferência;
VI – quando a transferência resultar em compromisso assumido em acordo de cooperação internacional;
VII – quando a transferência for necessária para a execução de política pública ou atribuição legal do serviço público, sendo dada publicidade nos termos do inciso I do caput do art. 23 desta Lei;
VIII – quando o titular tiver fornecido o seu consentimento específico e em destaque para a transferência, com informação prévia sobre o caráter internacional da operação, distinguindo claramente esta de outras finalidades; ou;
IX – quando necessário para atender as hipóteses previstas nos incisos II, V e VI do art. 7º desta Lei. (BRASIL, 2018, online).
O fluxo de transferência internacional de dados pessoais no esporte é alto; especificamente em relação ao futebol, o Brasil está dentre os dez países com o maior número de transferências de atletas[1]. Operando no cenário no qual não há uma regulamentação específica para o esporte, as entidades desportivas podem realizar transferências internacionais sustentadas na base legal do cumprimento do contrato, previsão do artigo 33, IX, acima transcrito. Esta base legal, contudo, encontra limitações, especialmente quando se lida com dados pessoais sensíveis, tais como dados pessoais de saúde dos atletas.
A ANPD disponibilizou uma minuta de Resolução do Regulamento de Transferência Internacional de Dados e os modelos de cláusulas-padrão contratuais. O documento disciplina a transferência de dados pessoais para países estrangeiros ou organismos internacionais dos quais o Brasil seja membro. Além disso, traz no Anexo II um modelo de Cláusulas-Padrão Contratuais (CPC).
As cláusulas-padrão contratuais estabelecem garantias mínimas e condições válidas para a realização de transferência internacional de dados baseadas no inciso II, alínea b, do art. 33 da LGPD, acima transcrito.
A minuta prevê que, para que a transferência internacional seja válida com base no uso das cláusulas-padrão contratuais, estas devem ser adotadas integralmente e sem qualquer alteração no texto. É possível incorporá-las a contratos com um objeto mais amplo ou utilizá-las como parte de um contrato específico para reger a transferência internacional de dados.
Importante destacar: mesmo com a adoção das cláusulas-padrão contratuais, o agente de tratamento permanece com as obrigações previstas na LGPD, em especial, o dever de disponibilizar ao titular, em caso de solicitação, o instrumento contratual utilizado para a realização da transferência internacional de dados, observados os segredos comercial e industrial.
Ademais, a minuta disponibilizada pela ANPD prevê que o agente de tratamento deverá publicar em sua página na Internet documento contendo informações redigidas em língua portuguesa, em linguagem simples, clara, precisa e acessível sobre a realização da transferência internacional de dados, incluindo, pelo menos, informações sobre: I – a forma, a duração e a finalidade específica da transferência internacional; II – o país de destino dos dados transferidos; III – a identificação e os contatos do controlador; IV – o uso compartilhado de dados pelo controlador e a finalidade; V – as responsabilidades dos agentes que realizarão o tratamento; e VI – os direitos do titular e os meios para o seu exercício, incluindo canal de fácil acesso e o direito de peticionar contra o controlador perante a ANPD.
A minuta também prevê a adoção de cláusulas contratuais específicas. Há, por parte da ANPD, o reconhecimento de que determinadas transferências internacionais de dados podem apresentar características singulares, como no caso das operações realizadas no esporte, por exemplo.
Neste caso, será possível solicitar à ANPD a aprovação de cláusulas contratuais específicas, que ofereçam e comprovem garantias de cumprimento dos princípios, dos direitos do titular e do regime de proteção de dados previstos na LGPD.
A minuta descreve todo o processo de aprovação de tais cláusulas, que, a despeito de não indicar um processo tão demorado, se a transação depender de tal aprovação, é possível que a oportunidade de negócio esteja ameaçada. É um ponto delicado, ao qual os agentes de tratamento devem estar atentos.
A minuta também disponibiliza o fluxo de aprovação das Normas Corporativas Globais (NCG), que são destinadas às transferências internacionais de dados entre organizações do mesmo grupo econômico e que têm caráter vinculante em relação a todos os membros do grupo.
Além disso, a minuta prevê o mecanismo da Decisão de Adequação: trata-se do reconhecimento da ANPD sobre a equivalência do nível de proteção de dados pessoais de país estrangeiro ou de organismo internacional com a legislação nacional de proteção de dados pessoais.
No âmbito do Regulamento Geral de Proteção de Dados[2], norma europeia também conhecida pela sigla em inglês, “GDPR”, há uma lista de países considerados com nível adequado de proteção para que haja a transferência internacional de dados pessoais. A lista atual é composta pelos seguintes países: Andorra, Argentina, Canadá, Ilhas Faroé, Guernsey, Israel, Ilha de Man, Japão, Jersey, Nova Zelândia, República da Coréia, Suíça, Reino Unido sob o GDPR e o LED, e Uruguai.
A questão da transferência internacional de dados pessoais no esporte também se reflete no tema da antidopagem. O Código Brasileiro Antidopagem[3] prevê o consentimento tácito dos atletas para o tratamento dos seus dados pessoais:
SEÇÃO III
DO ARMAZENAMENTO E PROCESSAMENTO DE INFORMAÇÃO SOBRE CONTROLE DE DOPAGEM
Art. 344. A ABCD deverá reportar à AMA, via ADAMS, nos termos dos Padrões Internacionais aplicáveis, as seguintes informações: I – testes realizados em competição e fora de competição; II – dados do passaporte biológico dos atletas de nível internacional e nacional; III – informações de localização de atletas, inclusive daqueles em Grupos Alvo de Testes; IV – solicitações e decisões e documentação; e V – decisões da gestão de resultados.
Parágrafo único. As informações previstas no caput poderão ser acessadas via ADAMS pela ABCD, pelo atleta testado, pela respectiva Federação Internacional, e por quaisquer outras Organizações Antidopagem com autoridade de teste sobre o atleta.
SEÇÃO IV
DA PRIVACIDADE DOS DADOS
Art. 345. A ABCD poderá coletar, armazenar, processar ou divulgar informações pessoais relativas aos atletas ou outras pessoas, sob sua jurisdição, pelo sistema ADAMS ou outro sistema próprio, desde que aprovado pela AMA.
Art. 346. O fornecimento por atleta ou outra pessoa de quaisquer informações, incluindo dados pessoais, implica em autorização tácita à ABCD e à AMA para colher, processar, utilizar e divulgar as referidas informações, nos termos deste Código, respeitada a legislação de proteção de dados e o Padrão Internacional para a Proteção da Privacidade e Informações Pessoais.
A despeito de o artigo 346 acima reproduzido prever que deve ser respeitada a legislação de proteção de dados, é o mesmo artigo que prevê que o consentimento do atleta para o tratamento de seus dados pessoais é tácito. Trata-se de previsão absolutamente incompatível com o conceito de consentimento válido expresso na LGPD. Conforme disposto no artigo 33 acima descrito, o consentimento válido é aquele fornecido de forma específica e em destaque para a transferência, com informação prévia sobre o caráter internacional da operação, distinguindo claramente esta de outras finalidades.
É também incompatível com a legislação de proteção de dados a previsão do artigo 344 acima transcrito que autoriza a Autoridade Brasileira de Controle de Dopagem a transferência internacional de dados pessoais sensíveis sem qualquer ingerência destes. Além disso, o Parágrafo Único do artigo 344 ainda permite o acesso à tais dados sensíveis à terceiros, também sem qualquer ingerência do atleta.
Observando que essas normas podem representar grave risco da perspectiva dos atletas profissionais titulares de direitos sobre os seus dados pessoais, Maurício De Figueiredo Corrêa Da Veiga faz alerta similar[4]:
O paradigma aponta para a necessidade de que a Autoridade Nacional de Proteção de Dados discipline a transferência de dados pessoais com o propósito de auxiliar a luta antidopagem, e a chave interpretativa do Recital 122 do RGDP revela-se como um ponto de partida pertinente
O Recital 122 do RGPD a que se refere o autor exigiu expressamente que a eliminação do doping no esporte fosse considerada razão de interesse público, o que daria legitimidade à transferência de dados pessoais de atletas. De acordo com Maurício De Figueiredo Corrêa Da Veiga, “a relevância da matéria fica evidenciada pelo fato de o Recital 112 conferir idêntico tratamento ao compartilhamento de dados que visa a resguardar a integridade física do titular de direitos”.
O mesmo autor ressalta, contudo, que a despeito da possibilidade de invocação do Recital 112 para sustentar a transferência internacional dos dados pessoais para fins de antidoping, ainda resta o risco de que a transferência de dados de atletas profissionais com propósito antidopagem “careça de base legal específica e, dessa forma, não seja recepcionada por autoridades nacionais de proteção de dados ou pelos ordenamentos jurídicos de cada estado nação”.
O tema da transferência internacional de dados é extremamente sensível ao esporte e é positivo que a ANPD esteja voltando seu olhar para uma regulamentação da LGPD sobre o tema. Esse olhar, porém, não descarta a necessidade de uma regulamentação específica sobre a proteção de dados pessoais no esporte.
Nos siga nas redes sociais: @leiemcampo
[1] Dados do relatório de transferências internacionais: 01 de junho a 01 de setembro de 2022, publicado pela FIFA. Disponível em: <https://digitalhub.fifa.com/m/5d58d603a7d5dadc/original/International-Transfer-Snapshot-September-2022.pdf>.
[2] Importante ressaltar que, no caso do GDPR, há uma pequena diferença em relação à LGPD no que tange as hipóteses legais para a transferência internacional de dados. A norma europeia prevê uma ordem de preferência das hipóteses, o que não acontece na LGPD. Assim, preferencialmente, a transferência internacional de dados no âmbito da GDPR deve ocorrer para países que proporcionem grau de proteção de dados pessoais adequado. Caso não seja possível, deve-se adotar uma das salvaguardas apropriadas; a escolha da salvaguarda dependerá da relação entre os controladores. Dentre as salvaguardas estão as regras corporativas vinculantes, as cláusulas-padrão, as cláusulas contratuais específicas e os códigos de conduta. Caso a operação não se enquadre nestas hipóteses, é possível utilizar-se das chamadas “derrogações”, dentre as quais está a hipótese de cumprimento de obrigação legal ou regulatória; a proteção da vida; a execução de contratos; o consentimento e algumas situações nas quais somente autoridades públicas podem sustentar a transferência internacional de dados (como no caso de políticas públicas, por exemplo).
[3] Código Brasileiro Antidopagem. Disponível em: <https://www.gov.br/abcd/pt-br/composicao/regras-antidopagem-legislacao-1/codigos/copy_of_codigos/cbad_2021_v6.pdf/#:~:text=Art.,em%20todo%20o%20territ%C3%B3rio%20brasileiro>.
[4] VEIGA, Maurício de Figueiredo Corrêa da. Tratamento de Dados no Contrato de Trabalho Desportivo. Em Direito Desportivo. Domingos Sávio Zaiaghi (Organizador); Alessandra Christine Bittencourt Ambrogi de Moura, et al. Leme: Mizuno, 2022.
