Les nouvelles règles brésiliennes en matière de transfert de données internationales pourraient avoir un impact sur votre entreprise multinationale : ce que vous devez savoir et votre plan d’action en 6 étapes

De nouvelles règles viennent d’entrer en vigueur au Brésil pour réglementer les transferts internationaux de données, et les employeurs qui font des affaires dans le pays doivent en prendre note. Les agents de traitement de données couverts – tels que les entreprises brésiliennes qui transfèrent des données à des entités à l’étranger, à des pays étrangers et à des organisations internationales – doivent désormais disposer d’une « décision d’adéquation » favorable de l’autorité brésilienne de protection des données ou de certains mécanismes contractuels en place avant de traiter des données internationales. transferts. Cela affectera même les entreprises qui ne sont pas basées au Brésil et n’y opèrent pas directement, à condition qu’elles reçoivent des données personnelles du Brésil. Nous vous expliquerons tout et vous donnerons six étapes que vous devriez envisager de suivre ensuite.

Contexte rapide

• contrôleurs – par exemple, une entreprise brésilienne responsable des décisions concernant le traitement des données personnelles ; et
• processeurs – par exemple, une entreprise américaine qui traite des données personnelles pour le compte d’un responsable du traitement.

Désormais, les transferts internationaux de données doivent être soutenus soit par une « décision d’adéquation », soit par un mécanisme contractuel approuvé.

Décisions d’adéquation

L’ANPD peut reconnaître, par une décision d’adéquation, l’équivalence du niveau de protection des données personnelles dans un pays étranger ou une organisation internationale avec les normes de protection des données du Brésil. Le transfert de données vers des pays ou des organisations jugés adéquats sera probablement plus rapide et plus simple. Il existe plusieurs critères pour cette évaluation, tels que :

• les règles en vigueur qui impactent la protection des données personnelles dans le pays étranger ou l’organisation internationale ;
• le respect des principes généraux de protection des données prévus par la LGPD ; et
• s’il existe des mesures de sécurité et des garanties judiciaires qui protègent les données personnelles.

Mécanismes contractuels

Alternativement, un transfert international de données peut être pris en charge par certains mécanismes contractuels.

Clauses contractuelles types

Le règlement prévoit des clauses contractuelles types qui doivent être utilisées lors de la réalisation de transferts internationaux de données. Les clauses contractuelles types, qui fournissent des garanties minimales pour garantir le respect des normes brésiliennes en matière de protection des données, peuvent être intégrées dans un contrat réglementant spécifiquement les transferts internationaux de données ou dans un contrat de portée plus large (ou même dans un avenant à un accord préexistant). . Voici deux points clés à connaître :

• Date limite de conformité pour les accords existants. Les entreprises qui utilisent déjà des clauses contractuelles pour transférer des données à l’international doivent intégrer les clauses contractuelles types du règlement dans leurs accords en 23 août 2025.
• Conséquences du non-respect. La modification du libellé standard entraînera la invalidation du transfert de données et, potentiellement, le application d’amendes.

Clauses contractuelles spécifiques

Un responsable du traitement peut demander à l’ANPD d’approuver une clause contractuelle spécifique, qui doit être conforme aux normes brésiliennes en matière de protection des données et être soumise à l’application de la loi brésilienne. Des clauses contractuelles spécifiques ne peuvent être utilisées que lorsque le transfert international de données ne peut être réalisé en utilisant la clause standard en raison de circonstances exceptionnelles (telles que dûment prouvées par le responsable du traitement). La procédure d’approbation est détaillée dans le règlement.

Règles d’entreprise mondiales

• une description du transfert international de données auquel la règle s’applique ;
• la finalité du transfert de données ;
• les pays où les données peuvent être transférées ; et
• le caractère contraignant de la règle d’entreprise pour tous les membres du groupe ou du conglomérat, y compris leurs salariés.

La procédure d’approbation d’une règle d’entreprise mondiale est détaillée dans le règlement.

Mesures de transparence (contrôleurs uniquement)

Sur demande, le responsable du traitement doit mettre certaines informations (telles que le texte intégral des clauses contractuelles utilisées pour exécuter le transfert de données) à la disposition de la personne concernée dans un délai spécifié. Un responsable du traitement doit également publier sur son site Internet un document contenant des informations sur un transfert international de données, tel que :

• le pays où les données sont envoyées ;
• le but du transfert ; et
• les droits des personnes concernées.

Ce document doit être en portugais et utiliser une formulation simple, claire, précise et accessible.

Quelle est la prochaine étape ?

Pour rester en conformité avec cette nouvelle réglementation, vous devriez envisager de suivre ces six étapes :

1. Passez en revue vos politiques et accords actuels pour identifier ceux qui contiennent des dispositions sur les transferts internationaux de données depuis le Brésil.
2. Modifier les politiques et accords existants inclure les clauses contractuelles types. N’oubliez pas d’utiliser la formulation exacte prévue dans le règlement et d’effectuer ce changement d’ici le 23 août 2025.
3. Adopter les clauses contractuelles types (soit dans le cadre d’un accord spécifique pour le transfert international de données, soit dans le cadre d’un accord plus large) pour couvrir vos transferts internationaux de données à l’avenir.
4. Demander l’approbation de l’ANPD si vous souhaitez utiliser des clauses contractuelles spécifiques ou une règle d’entreprise globale pour le transfert international de données.
5. Attendez-vous à ce que l’ANPD commence à rendre des décisions d’adéquation cela pourrait s’appliquer à vous.
6. Mettre en œuvre des mesures de transparence (contrôleurs uniquement) en publiant un document conforme sur votre site Web lorsque cela est nécessaire et en répondant en temps opportun aux demandes d’informations des personnes concernées, le cas échéant.

Conclusion

#Les #nouvelles #règles #brésiliennes #matière #transfert #données #internationales #pourraient #avoir #impact #sur #votre #entreprise #multinationale #vous #devez #savoir #votre #plan #daction #6étapes