RESOLUÇÃO CD/ANPD Nº 19, DE 23 DE AGOSTO DE 2024 (parte 2 de 4)

ANEXO
REGULAMENTO DE TRANSFERÊNCIA INTERNACIONAL DE DADOS
CAPÍTULO I
DISPOSIÇÕES PRELIMINARES
Seção I
Objetivo e Escopo
Art. 1º Este Regulamento estabelece os procedimentos e as regras aplicáveis às
operações de transferência internacional de dados:
I - para países ou organismos internacionais que proporcionem grau de proteção de
dados pessoais adequado ao previsto na Lei nº 13.709, de 14 de agosto de 2018, mediante
reconhecimento da adequação pela ANPD; ou
II - quando controlador oferecer e comprovar garantias de cumprimento dos
princípios, dos direitos do titular e do regime de proteção de dados previstos na Lei nº 13.709,
de 14 de agosto de 2018, na forma de:
a) cláusulas contratuais específicas para determinada transferência;
b) cláusulas-padrão contratuais; ou
c) normas corporativas globais.
Parágrafo único. O disposto neste Regulamento não exclui a possibilidade da
realização de transferência internacional de dados com base nos demais mecanismos previstos
no art. 33 da Lei nº 13.709, de 14 de agosto de 2018, que não dependam de regulamentação,
desde que atendidas as especificidades do caso concreto e os requisitos legais aplicáveis.
Seção II
Diretrizes
Art. 2º A transferência internacional de dados será realizada em conformidade com
o disposto na Lei nº 13.709, de 14 de agosto de 2018, e neste Regulamento, observadas as
seguintes diretrizes:
I - garantia de cumprimento dos princípios, dos direitos do titular e de nível de
proteção equivalente ao previsto na legislação nacional, independentemente do país onde
estejam localizados os dados pessoais objeto da transferência, inclusive após o término do
tratamento e nas hipóteses de transferências posteriores;
II - adoção de procedimentos simples, preferencialmente interoperáveis, e
compatíveis com normas e boas práticas internacionais;
III - promoção do livre fluxo transfronteiriço de dados com confiança e do
desenvolvimento social, econômico e tecnológico, com observância aos direitos dos titulares;
IV - responsabilização e prestação de contas, mediante a adoção de medidas
eficazes e capazes de comprovar a observância e o cumprimento dos princípios dos direitos do
titular e do regime de proteção de dados pessoais previstos na Lei nº 13.709, de 14 de agosto
de 2018, inclusive, da eficácia dessas medidas;
V - implementação de medidas efetivas de transparência, que assegurem o
fornecimento aos titulares de informações claras, precisas e facilmente acessíveis sobre a
realização da transferência, observados os segredos comercial e industrial; e
VI - adoção de boas práticas e de medidas de prevenção e segurança apropriadas e
compatíveis com a natureza dos dados pessoais tratados, a finalidade do tratamento e os riscos
envolvidos na operação.
CAPÍTULO II
DAS DEFINIÇÕES
Art. 3º Para efeitos deste Regulamento são adotadas as seguintes definições:
I - exportador: agente de tratamento, localizado no território nacional ou em país
estrangeiro, que transfere dados pessoais para importador;
II - importador: agente de tratamento, localizado em país estrangeiro ou que seja
organismo internacional, que recebe dados pessoais transferidos por exportador;
III - transferência: operação de tratamento por meio da qual um agente de
tratamento transmite, compartilha ou disponibiliza acesso a dados pessoais a outro agente de
tratamento;
IV - transferência internacional de dados: transferência de dados pessoais para país
estrangeiro ou organismo internacional do qual o país seja membro;
V - coleta internacional de dados: coleta de dados pessoais do titular efetuada
diretamente pelo agente de tratamento localizado no exterior;
VI - grupo ou conglomerado de empresas: conjunto de empresas de fato ou de
direito com personalidades jurídicas próprias, sob direção, controle ou administração de uma
pessoa natural ou jurídica ou ainda grupo de pessoas que detêm, isolada ou conjuntamente,
poder de controle sobre as demais, desde que demonstrado interesse integrado, efetiva
comunhão de interesses e atuação conjunta das empresas dele integrantes;
VII - entidade responsável: sociedade empresária, com sede no Brasil, que
responde por qualquer violação de norma corporativa global, ainda que decorrente de ato
praticado por um membro do grupo ou conglomerado de empresas com sede em outro país;
VIII - mecanismos de transferência internacional de dados: hipóteses previstas nos
incisos I a IX do art. 33 da Lei nº 13.709, de 14 de agosto de 2018, que autorizam uma
transferência internacional de dados;
IX - organismo internacional: organização regida pelo direito internacional público,
incluindo seus órgãos subordinados ou qualquer outro órgão criado mediante acordo firmado
entre dois ou mais países; e
X - medidas de segurança: medidas técnicas e administrativas adotadas para
proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de
destruição, perda, alteração, comunicação ou difusão.
CAPÍTULO III
TRANSFERÊNCIA INTERNACIONAL DE DADOS
Seção I
Requisitos Gerais
Art. 4º Cabe ao controlador verificar, nos termos da Lei nº 13.709, de 14 de agosto
de 2018, e deste Regulamento, se a operação de tratamento:
I - caracteriza transferência internacional de dados;
II - submete-se à legislação nacional de proteção de dados pessoais; e
III - está amparada em hipótese legal e em mecanismo de transferência
internacional válidos.
§ 1º O operador prestará auxílio ao controlador mediante o fornecimento das
informações de que dispuser e que se demonstrarem necessárias para o atendimento ao
disposto no caput deste artigo.
§ 2º O controlador e o operador deverão adotar medidas eficazes e capazes de
comprovar a observância e o cumprimento das normas de proteção de dados pessoais e da
eficácia dessas medidas, de forma compatível com o grau de risco do tratamento e com o
mecanismo de transferência internacional utilizado.
Seção II
Caracterização da Transferência Internacional de Dados
Art. 5º A transferência internacional de dados será caracterizada quando o
exportador transferir dados pessoais para o importador.
Art. 6º A coleta internacional de dados não caracteriza transferência internacional
de dados.
Parágrafo único. A coleta internacional de dados observará as disposições da Lei nº
13.709, de 14 de agosto de 2018, quando verificada uma das hipóteses indicadas no art. 3º da
Lei.
Seção III
Aplicação da Legislação Nacional de Proteção de Dados Pessoais
Art. 7º A transferência internacional de dados deverá observar as disposições da Lei
nº 13.709, de 14 de agosto de 2018, e deste Regulamento, quando:
I - a operação de tratamento for realizada no território nacional, ressalvado o
disposto no inciso IV do caput do art. 4º da Lei nº 13.709, de 14 de agosto de 2018, e observado
o disposto no art. 8º deste Regulamento;
II - a atividade de tratamento tiver por objetivo a oferta ou o fornecimento de bens
ou serviços ou o tratamento de dados de indivíduos localizados no território nacional; ou
III - os dados pessoais, objeto do tratamento, forem coletados no território
nacional.
Parágrafo único. A aplicação da legislação nacional à transferência internacional de
dados independe do meio utilizado para sua realização, do país de sede dos agentes de
tratamento ou do país onde estejam localizados os dados.
Art. 8º Aplica-se a Lei nº 13.709, de 14 de agosto de 2018, aos dados pessoais
provenientes do exterior sempre que estes sejam objeto de tratamento no território
nacional.
§ 1º A Lei nº 13.709, de 14 de agosto de 2018, não se aplica aos dados pessoais
provenientes do exterior somente quando ocorrer:
I - trânsito de dados pessoais, sem a ocorrência de comunicação ou uso
compartilhado de dados com agente de tratamento situado em território nacional; ou
II - retorno dos dados pessoais, objeto de tratamento no território nacional,
exclusivamente ao país ou organismo internacional de proveniência, desde que:
a) o país ou organismo internacional de proveniência proporcione grau de proteção
de dados pessoais adequado, reconhecido por decisão da ANPD;
b) a legislação do país ou as normas aplicáveis ao organismo internacional de
proveniência se apliquem à operação realizada; e
c) a situação específica e excepcional de não aplicação da Lei nº 13.709, de 14 de
agosto de 2018, esteja expressamente prevista na decisão de adequação referida na alínea
"a".
§ 2º Para fins do inciso II do § 1º, a decisão de adequação emitida pela ANPD não
excepcionará a aplicação da Lei nº 13.709, de 14 de agosto de 2018, em situações que possam
violar ou colocar em risco a observância dos princípios gerais de proteção de dados pessoais e
os direitos dos titulares previstos na legislação nacional.
§ 3º A não aplicação da Lei nº 13.709, de 14 de agosto de 2018, nas hipóteses
previstas neste artigo não afasta a necessidade de observância de outras leis ou regulamentos,
especialmente os que dispõem sobre inviolabilidade e sigilo das comunicações, requisitos
técnicos e de segurança e acesso a dados por autoridades públicas.
Seção IV
Hipótese Legal e Mecanismo de Transferência
Art. 9º A transferência internacional de dados somente poderá ser realizada para
atender a propósitos legítimos, específicos, explícitos e informados ao titular, sem possibilidade
de tratamento posterior de forma incompatível com essas finalidades, e desde que amparada
em:
I - uma das hipóteses legais previstas no art. 7º ou no art. 11 da Lei nº 13.709, de 14
de agosto de 2018; e
II - um dos seguintes mecanismos válidos de realização da transferência
internacional:
a) para países ou organismos internacionais que proporcionem grau de proteção de
dados pessoais adequado ao previsto na Lei nº 13.709, de 14 de agosto de 2018, e em normas
complementares, conforme reconhecido por decisão de adequação emitida pela ANPD;
b) cláusulas-padrão contratuais, normas corporativas globais ou cláusulas
contratuais específicas, na forma deste Regulamento; ou
c) nas hipóteses previstas nos incisos II, "d", e III a IX do art. 33 da Lei nº 13.709, de
14 de agosto de 2018.
Parágrafo único. A transferência internacional de dados deverá se limitar ao
mínimo necessário para o alcance de suas finalidades, com abrangência dos dados pertinentes,
proporcionais e não excessivos em relação às finalidades do tratamento de dados.
CAPÍTULO IV
DECISÃO DE ADEQUAÇÃO
Seção I
Disposições Gerais
Art. 10. A ANPD poderá reconhecer, mediante decisão de adequação, a
equivalência do nível de proteção de dados pessoais de país estrangeiro ou de organismo
internacional com a legislação nacional de proteção de dados pessoais, observado o disposto
na Lei nº 13.709, de 14 de agosto de 2018, e neste Regulamento.
Seção II
Critérios para Avaliação do Nível de Proteção de Dados Pessoais
Art. 11. A avaliação do nível de proteção de dados pessoais de país estrangeiro ou
de organismo internacional levará em consideração:
I - as normas gerais e setoriais em vigor com impactos sobre a proteção de dados
pessoais no país de destino ou no organismo internacional;
II - a natureza dos dados;
III - a observância dos princípios gerais de proteção de dados pessoais e dos direitos
dos titulares previstos na Lei nº 13.709, de 14 de agosto de 2018;
IV - a adoção de medidas de segurança adequadas para minimizar impactos às
liberdades civis e aos direitos fundamentais dos titulares;
V - a existência de garantias judiciais e institucionais para o respeito aos direitos de
proteção de dados pessoais; e
VI - outras circunstâncias específicas relativas à transferência.
§ 1º A avaliação das normas mencionadas no inciso I do caput deste artigo será
limitada à legislação diretamente aplicável ou que gere impactos relevantes sobre o
tratamento de dados pessoais e sobre os direitos dos titulares.
§ 2º Para fins do disposto nos incisos III e IV do caput deste artigo, será
avaliado se a legislação local estabelece aos agentes de tratamento obrigações de
implementação de medidas de segurança adequadas, considerando a natureza dos dados e
os riscos envolvidos no tratamento, entre outros fatores relevantes, em conformidade com
os parâmetros estabelecidos na Lei nº 13.709, de 14 de agosto de 2018.
§ 3º Para fins do disposto no inciso V do caput deste artigo, serão consideradas,
entre outras garantias institucionais relevantes, a existência e o efetivo funcionamento de um
órgão regulador independente, com competência para assegurar o cumprimento das normas
de proteção de dados e garantir os direitos dos titulares.
Art. 12. Para a avaliação do nível de proteção de dados pessoais, também serão
levados em consideração:
I - os riscos e os benefícios proporcionados pela decisão de adequação,
considerando, entre outros aspectos, a garantia dos princípios, dos direitos do titular e do
regime de proteção de dados previstos na Lei nº 13.709, de 14 de agosto de 2018; e
II - os impactos da decisão sobre o fluxo internacional de dados, as relações
diplomáticas, o comércio internacional e a cooperação internacional do Brasil com outros
países e organismos internacionais.
Parágrafo único. A ANPD priorizará a avaliação do nível de proteção de dados de
países estrangeiros ou organismos internacionais que garantam tratamento recíproco ao Brasil
e cujo reconhecimento de adequação viabilize a ampliação do livre fluxo de transferências
internacionais de dados pessoais entre os países e organismos internacionais.
Seção III
Emissão de Decisão de Adequação
Art. 13. O procedimento para emissão de decisão de adequação:
I - poderá ser instaurado por decisão do Conselho Diretor, de ofício ou após
solicitação das pessoas jurídicas de direito público referidas no parágrafo único do art. 1º da Lei
nº 12.527, de 18 de novembro de 2011;
II - será instruído pela área técnica competente, nos termos do Regimento Interno
da ANPD, que se manifestará sobre o mérito da decisão, indicando, se for o caso, as
condicionantes a serem observadas; e
III - após a manifestação da Procuradoria Federal Especializada, será objeto de
deliberação final pelo Conselho Diretor, na forma do Regimento Interno da ANPD.
§ 1º Os órgãos e entidades da Administração Pública com competências afetas ao
tema poderão ser cientificados da instauração do processo, sendo-lhes facultada a
apresentação de manifestação, no âmbito de suas competências legais.
§ 2º A decisão de adequação será proferida por Resolução do Conselho Diretor e
publicada na página da ANPD na Internet.
Art. 14. O processo instaurado no âmbito da ANPD com vistas à elaboração de
documentos, fornecimento de informações e quaisquer outros atos relativos ao
reconhecimento do Brasil como país adequado por outro país ou organismo internacional
observarão os procedimentos descritos no art. 13 deste Regulamento.
CAPÍTULO V
CLÁUSULAS-PADRÃO CONTRATUAIS
Seção I
Disposições Gerais
Art. 15. As cláusulas-padrão contratuais, elaboradas e aprovadas pela ANPD na
forma do Anexo II, estabelecem garantias mínimas e condições válidas para a realização de
transferências internacionais de dados baseadas no inciso II, alínea "b", do art. 33 da Lei nº
13.709, de 14 de agosto de 2018.
Parágrafo único. As cláusulas-padrão contratuais visam garantir a adoção das
salvaguardas adequadas para o cumprimento dos princípios, dos direitos do titular e do regime
de proteção de dados previstos na Lei nº 13.709, de 14 de agosto de 2018, incluindo as
determinações da ANPD.
Art. 16. A validade da transferência internacional de dados, quando amparada na
adoção das cláusulas-padrão, pressupõe a adoção integral e sem alteração do texto
disponibilizado no Anexo II, mediante instrumento contratual firmado entre o exportador e o
importador.
§ 1º As cláusulas-padrão contratuais poderão integrar:
I - contrato celebrado para reger especificamente transferências internacionais de
dados;
II - contrato com objeto mais amplo, inclusive mediante a assinatura de termo
aditivo pelo exportador e pelo importador envolvidos na operação de transferência
internacional de dados.
§ 2º As demais disposições, previstas no instrumento contratual ou em contratos
coligados firmados pelas partes, não poderão excluir, modificar ou contrariar, direta ou
indiretamente, o disposto nas cláusulas-padrão contratuais.
§ 3º Na hipótese do inciso II do § 1º deste artigo, as Seções I, II e III do Anexo II
deverão figurar como documento anexo do instrumento contratual assinado entre exportador
e importador.
Seção II
Medidas de Transparência
Art. 17. O controlador deverá disponibilizar ao titular, em caso de solicitação, a
íntegra das cláusulas utilizadas para a realização da transferência internacional de dados,
observados os segredos comercial e industrial.
§ 1º O prazo para atendimento da solicitação é de 15 (quinze) dias, ressalvada
a hipótese de prazo distinto estabelecido em regulamentação específica da ANPD.
§ 2º O controlador deverá ainda publicar em sua página na Internet documento
contendo informações em língua portuguesa, em linguagem simples, clara, precisa e acessível
sobre a realização da transferência internacional de dados, incluindo, pelo menos, informações
sobre:
I - a forma, a duração e a finalidade específica da transferência internacional;
II - o país de destino dos dados transferidos;
III - a identificação e os contatos do controlador;
IV - o uso compartilhado de dados pelo controlador e a finalidade;
V - as responsabilidades dos agentes que realizarão o tratamento e as medidas de
segurança adotadas; e
VI - os direitos do titular e os meios para o seu exercício, incluindo canal de fácil
acesso e o direito de peticionar contra o controlador perante a ANPD.
§ 3º O documento referido no § 2º poderá ser disponibilizado em página específica
ou integrado, de forma destacada e de fácil acesso, à Política de Privacidade ou a instrumento
equivalente.
Seção III
Cláusulas-padrão Contratuais Equivalentes
Art. 18. A ANPD poderá reconhecer a equivalência de cláusulas-padrão contratuais
de outros países ou de organismos internacionais com as cláusulas previstas no Anexo II.
§ 1º O procedimento para reconhecimento da equivalência de cláusulas-padrão
contratuais:
I - poderá ser instaurado por decisão do Conselho Diretor, de ofício ou a
requerimento dos interessados;
II - será instruído pela área técnica competente, nos termos do Regimento Interno
da ANPD, que se manifestará sobre o mérito da proposta de equivalência, indicando, se for o
caso, as condicionantes a serem observadas; e
III - após a manifestação da Procuradoria Federal Especializada, será objeto de
deliberação pelo Conselho Diretor, na forma do Regimento Interno da ANPD.
§ 2º O Conselho Diretor poderá determinar a realização de consulta à sociedade
durante o procedimento previsto no § 1º.
§3º Os órgãos e entidades da Administração Pública com competências afetas ao
tema poderão ser cientificados da instauração do processo, sendo-lhes facultada a
apresentação de manifestação, no âmbito de suas competências legais.
§ 4º O requerimento encaminhado à ANPD deve ser acompanhado dos seguintes
documentos e informações:
I - inteiro teor das cláusulas-padrão contratuais traduzidas para o português;
II - legislação relevante aplicável e demais documentos pertinentes, incluindo
guias e orientações expedidos pela respectiva autoridade de proteção de dados pessoais; e
III - análise de compatibilidade com as disposições da Lei nº 13.709, de 14 de agosto
de 2018, e deste Regulamento, que inclua comparativo entre o conteúdo das cláusulas
nacionais e das que se pretende obter reconhecimento de equivalência.
Art. 19. A decisão sobre a proposta de equivalência levará em consideração, entre
outras circunstâncias relevantes:
I - se as cláusulas-padrão contratuais são compatíveis com as disposições da Lei nº
13.709, de 14 de agosto de 2018, e deste Regulamento, bem como se asseguram nível de
proteção de dados equivalente ao garantido pelas cláusulas-padrão contratuais nacionais; e
II - os riscos e os benefícios proporcionados pela aprovação, considerando, entre
outros aspectos, a garantia dos princípios, dos direitos do titular e do regime de proteção de
dados previstos na Lei nº 13.709, de 14 de agosto de 2018, além dos impactos sobre o fluxo
internacional de dados, relações diplomáticas, comércio internacional e cooperação
internacional do Brasil com outros países e organismos internacionais.
Parágrafo único. Para fins do disposto no inciso II do caput, a ANPD priorizará a
aprovação de cláusulas que possam ser utilizadas por outros agentes de tratamento que
realizam transferências internacionais de dados em circunstâncias similares.
Art. 20. As cláusulas-padrão contratuais reconhecidas como equivalentes serão
aprovadas por Resolução do Conselho Diretor e publicadas na página da ANPD na
Internet.
Parágrafo único. As cláusulas-padrão contratuais reconhecidas como equivalentes
constituem mecanismo válido para a realização de transferências internacionais de dados, na
forma do art. 33, inciso II, alínea "b", da Lei nº 13.709, de 14 de agosto de 2018, observadas as
condicionantes estabelecidas na decisão do Conselho Diretor.
CAPÍTULO VI
CLÁUSULAS CONTRATUAIS ESPECÍFICAS
Art. 21. O controlador poderá solicitar à ANPD a aprovação de cláusulas contratuais
específicas, que ofereçam e comprovem garantias de cumprimento dos princípios, dos direitos
do titular e do regime de proteção de dados previstos na Lei nº 13.709, de 14 de agosto de
2018, e neste Regulamento.
§ 1º As cláusulas contratuais específicas somente serão aprovadas quando a
transferência internacional de dados não puder ser realizada por meio das cláusulas-padrão
contratuais, em razão de circunstâncias excepcionais de fato ou de direito, devidamente
comprovadas pelo controlador.
§ 2º Em qualquer hipótese, as cláusulas contratuais específicas deverão prever a
aplicação da legislação nacional de proteção de dados pessoais à transferência internacional de
dados e a sua submissão à fiscalização da ANPD.
Art. 22. O controlador deverá apresentar a íntegra das cláusulas que regerão a
transferência internacional de dados, incluindo as cláusulas específicas, para a aprovação pela
ANPD.
§ 1º A análise efetuada pela ANPD levará em consideração, entre outras
circunstâncias relevantes:
I - se as cláusulas específicas são compatíveis com as disposições da Lei nº 13.709,
de 14 de agosto de 2018, e deste Regulamento, bem como se asseguram nível de proteção
de dados equivalente ao garantido pelas cláusulas-padrão contratuais nacionais; e
II - os riscos e os benefícios proporcionados pela aprovação, considerando, entre
outros aspectos, a garantia dos princípios, dos direitos do titular e do regime de proteção de
dados previstos na Lei nº 13.709, de 14 de agosto de 2018, além dos impactos quanto ao fluxo
internacional de dados, relações diplomáticas, comércio internacional e cooperação
internacional do Brasil com outros países e organismos internacionais.
§ 2º Para fins do disposto no inciso II do § 1º, a ANPD priorizará a aprovação de
cláusulas específicas que também possam ser utilizadas por outros agentes de tratamento que
realizam transferências internacionais de dados em circunstâncias similares.
Art. 23. Nas cláusulas submetidas à aprovação da ANPD, o controlador deverá:
I - adotar, sempre que possível, a redação das cláusulas-padrão contratuais; e
II - indicar as cláusulas específicas adotadas, com a respectiva justificativa, nos
termos do art. 22.
Art. 24. As cláusulas contratuais específicas deverão ser submetidas à aprovação da
ANPD, nos termos do processo descrito no Capítulo VIII.
CAPÍTULO VII
DAS NORMAS CORPORATIVAS GLOBAIS
Art. 25. As normas corporativas globais são destinadas às transferências
internacionais de dados entre organizações do mesmo grupo ou conglomerado de empresas,
possuindo caráter vinculante em relação aos membros do grupo que as subscreverem.
Parágrafo único. A norma corporativa global constitui mecanismo válido para
realizar transferências internacionais de dados pessoais apenas para as organizações ou países
abrangidos pelas normas corporativas globais.
Art. 26. As normas corporativas globais deverão estar vinculadas à
implementação de programa de governança em privacidade que atenda às condições
mínimas estabelecidas no § 2º do art. 50 da Lei nº 13.709, de 14 de agosto de 2018.
Art. 27. Além de atender ao disposto no art. 26, as normas corporativas globais
deverão conter, no mínimo:
I - descrição das transferências internacionais de dados para as quais o instrumento
se aplica, incluindo as categorias de dados pessoais, a operação de tratamento e suas
finalidades, a hipótese legal e os tipos de titulares de dados;
II - identificação dos países para os quais os dados podem ser transferidos;
III - estrutura do grupo ou conglomerado de empresas, contendo a lista de
entidades vinculadas, o papel exercido por cada uma delas no tratamento e os dados de
contato de cada organização que efetue tratamento de dados pessoais;
IV - determinação da natureza vinculante da norma corporativa global para todos
os integrantes do grupo ou conglomerado de empresas que as subscreverem, inclusive para
seus funcionários;
V - delimitação de responsabilidades pelo tratamento, com a indicação da entidade
responsável;
VI - indicação dos direitos dos titulares aplicáveis e os meios para o seu exercício,
incluindo canal de fácil acesso e o direito de peticionar contra o controlador perante a ANPD,
após comprovada pelo titular a apresentação de reclamação ao controlador não solucionada
no prazo estabelecido em regulamentação;
VII - regras sobre o processo de revisão das normas corporativas globais e previsão
de submissão à prévia aprovação da ANPD; e
VIII - previsão de comunicação à ANPD em caso de alterações nas garantias
apresentadas como suficientes de observância dos princípios, dos direitos do titular e do
regime de proteção de dados previsto na Lei nº 13.709, de 14 de agosto de 2018,
especialmente na hipótese em que um dos membros do grupo ou conglomerado de empresas
estiver submetido a determinação legal de outro país que impeça o cumprimento das normas
corporativas.
§ 1º Para fins de cumprimento do inciso VIII, a norma corporativa global deve
prever obrigação de notificação imediata à entidade responsável sempre que um membro do
grupo ou conglomerado de empresas situado em outro país esteja submetido a uma
determinação legal que impeça o cumprimento das normas corporativas, ressalvada a hipótese
de expressa proibição legal de realizar essa notificação.