Transferências internacionais de dados fazem parte da operação normal de empresas que utilizam serviços de Cloud, plataformas SaaS, equipes globais, fornecedores estrangeiros ou estruturas corporativas distribuídas entre diferentes países. Uma empresa brasileira não precisa necessariamente “enviar uma base de dados para Londres” para que exista uma transferência internacional. O acesso remoto realizado por uma equipe britânica, o processamento de informações por um fornecedor sediado no Reino Unido ou a utilização de determinada infraestrutura tecnológica no exterior também podem fazer parte desse fluxo.

Essa discussão ganhou nova relevância em novembro de 2026. Brasil e Reino Unido anunciaram que estão avançando nas avaliações e negociações destinadas a criar futuros arranjos para facilitar transferências de dados entre as duas jurisdições. A ANPD confirmou em 6 de novembro de 2026 que os dois países continuarão o diálogo técnico, enquanto o governo britânico publicou declaração conjunta com a mesma orientação.

O anúncio é importante, mas precisa ser interpretado corretamente: Brasil e Reino Unido ainda não possuem, em novembro de 2026, uma decisão bilateral de adequação que dispense os mecanismos atualmente necessários para as transferências. Portanto, empresas não devem tratar o diálogo regulatório como se uma nova autorização geral já estivesse em vigor.

O que caracteriza uma transferência internacional de dados?

Transferência internacional não deve ser analisada apenas pela localização da sede da empresa contratada. É necessário compreender onde os dados são efetivamente tratados e quem consegue acessá-los.

Imagine, por exemplo, uma empresa brasileira que utiliza um software cujo contrato é celebrado com uma entidade brasileira, mas cuja infraestrutura está localizada no Reino Unido. Pode haver transferência internacional. O mesmo pode ocorrer quando um fornecedor mantém os dados no Brasil, mas equipes britânicas de suporte possuem acesso administrativo ao sistema.

Outro exemplo é uma empresa britânica que contrata desenvolvedores no Brasil para manutenção de uma aplicação. Se esses profissionais conseguem visualizar registros de clientes britânicos durante desenvolvimento, suporte ou troubleshooting, existe um fluxo que precisa ser analisado também sob as regras britânicas.

É por essa razão que a análise deve começar pelo Data Mapping e pelo ROPA, e não pelo contrato. Como já explicamos no conteúdo da Macher Tecnologia sobre transferências internacionais de dados na LGPD, aplicações, APIs, logs, ferramentas de suporte, Cloud e profissionais localizados em outros países podem criar transferências que nem sempre são percebidas pelas áreas de negócio.

Veja também:

• O que é Data Residency?
• O que é Data Lineage?
• Data Sovereignty in Brazil: Why Local Tech Teams Matter (em inglês)

Brasil para Reino Unido: qual é a regra da LGPD?

Para uma transferência sujeita à LGPD, é necessário separar dois conceitos que frequentemente são confundidos.

O primeiro é a hipótese legal do tratamento. A organização precisa justificar por que aqueles dados pessoais podem ser tratados, utilizando uma das hipóteses previstas nos artigos 7º ou 11 da LGPD, conforme a natureza dos dados e a finalidade.

O segundo é o mecanismo que permite a transferência internacional. Ter uma base legal válida para tratar os dados não significa, por si só, que qualquer transferência para outro país esteja automaticamente autorizada.

A regulamentação brasileira prevê mecanismos específicos para essas situações. A página institucional atual da ANPD sobre Transferência Internacional de Dados detalha decisões de adequação, cláusulas-padrão contratuais, cláusulas específicas e normas corporativas globais, além das demais hipóteses previstas no artigo 33 da LGPD.

Quando a organização utiliza as cláusulas-padrão da ANPD como mecanismo, o texto aprovado deve ser incorporado integralmente ao instrumento contratual aplicável. O regulamento também exige transparência em relação à transferência, incluindo informações como país de destino, finalidade, responsabilidades dos agentes e medidas de segurança.

Na prática, isso significa que um contrato com fornecedor britânico não deveria ser analisado apenas pela equipe de compras. DPO, Jurídico, Tecnologia e Segurança precisam compreender qual tratamento será realizado e qual mecanismo sustenta o fluxo internacional.

O Reino Unido já é considerado adequado pela ANPD?

Até novembro de 2026, não.

Esse ponto merece atenção porque o cenário mudou recentemente em relação à União Europeia. Em janeiro de 2026, Brasil e União Europeia anunciaram reconhecimento recíproco de adequação. Conforme explica a ANPD em sua comunicação sobre a adequação Brasil–União Europeia, isso permite que dados circulem entre as duas jurisdições, dentro do escopo da decisão, sem necessidade de mecanismos adicionais de transferência.

O Reino Unido, entretanto, deixou a União Europeia e possui seu próprio regime regulatório. Portanto, a decisão envolvendo a União Europeia não deve ser simplesmente estendida ao Reino Unido.

É justamente essa lacuna que as negociações anunciadas em novembro de 2026 podem vir a resolver.

E quando os dados saem do Reino Unido para o Brasil?

Nesse sentido do fluxo, a análise precisa considerar o UK GDPR e a legislação britânica de proteção de dados.

O Information Commissioner’s Office — ICO — publicou em janeiro de 2026 uma revisão ampla de sua orientação sobre transferências internacionais. O novo guia do ICO para transferências internacionais introduziu um teste em três etapas para ajudar as organizações a verificar quando uma operação constitui uma restricted transfer.

De forma simplificada, a empresa britânica precisa avaliar se o UK GDPR se aplica ao tratamento, se ela está iniciando uma transferência para uma organização fora do Reino Unido e se o destinatário é uma entidade juridicamente distinta.

Quando a transferência é considerada restrita, a organização precisa verificar se o país de destino está coberto por uma regra britânica de adequação.

Quando isso não acontece, entram em cena as chamadas appropriate safeguards, ou salvaguardas apropriadas.

O que são IDTA, Addendum e Transfer Risk Assessment?

Entre os mecanismos utilizados pelo Reino Unido está o International Data Transfer Agreement – IDTA. Também pode ser utilizado, em determinados cenários, o UK Addendum, que complementa as Standard Contractual Clauses europeias para atender ao regime britânico.

A orientação do ICO sobre appropriate safeguards, atualizada em janeiro de 2026, explica que esses instrumentos fazem parte das salvaguardas disponíveis quando a transferência não está coberta por adequação.

Há ainda outra etapa importante: o Transfer Risk Assessment – TRA.

Segundo a orientação atual do ICO sobre o TRA, quando uma empresa utiliza salvaguardas do artigo 46 do UK GDPR, deve avaliar se o nível de proteção das pessoas não ficará “materialmente inferior” após a transferência. Se a avaliação identificar riscos adicionais, podem ser necessárias medidas técnicas ou organizacionais complementares.

Portanto, uma empresa brasileira que recebe dados pessoais de um cliente britânico pode ser solicitada a fornecer informações bastante detalhadas sobre segurança, acesso, suboperadores e arquitetura tecnológica para permitir que o cliente conclua essa avaliação.

Um único contrato pode precisar atender aos dois regimes

Esse é um dos pontos mais importantes para empresas com operações Brasil–Reino Unido.

Imagine uma empresa britânica que contrata uma software house brasileira para desenvolvimento e suporte. Os profissionais brasileiros acessam informações de usuários britânicos para corrigir defeitos. Ao mesmo tempo, a empresa britânica recebe informações sobre os profissionais brasileiros para gestão financeira, acessos e administração contratual.

Existem fluxos em ambas as direções.

Do lado brasileiro, determinadas transferências podem exigir análise sob a LGPD e os mecanismos da ANPD. Do lado britânico, pode haver uma restricted transfer sujeita ao UK GDPR, IDTA ou outro mecanismo aplicável.

Isso explica por que um DPA – Data Processing Agreement internacional não deveria ser um documento genérico copiado de outro contrato. Ele precisa refletir papéis, fluxos, países, fornecedores e mecanismos aplicáveis.

Para compreender melhor a função desse instrumento, vale consultar o artigo da Macher Tecnologia sobre DPO, DPIA e DPA na LGPD.

Cloud e suboperadores tornam a análise mais complexa

Uma empresa pode contratar um fornecedor no Reino Unido e concluir que seus dados serão tratados apenas naquele país. Mas o fornecedor pode utilizar Cloud nos Estados Unidos, suporte na Índia e ferramentas/times de observabilidade hospedadas em outra região.

Assim, a análise não pode terminar na primeira camada contratual.

A organização precisa conhecer os suboperadores e entender quais deles recebem, armazenam ou conseguem acessar dados pessoais.

Isso também significa que alterações na cadeia de fornecedores podem modificar a análise original da transferência. Um novo serviço de IA, por exemplo, pode criar um fluxo para uma jurisdição que não fazia parte do Data Mapping inicial.

Por essa razão, a governança de transferências deve estar conectada à gestão de fornecedores e ao processo de aprovação de novas tecnologias.

O que uma empresa deveria revisar para 2027?

O ponto de partida é confirmar se o ROPA e o inventário de fornecedores refletem a operação atual. Para cada fluxo Brasil–Reino Unido, a empresa deveria conseguir explicar quais dados são transferidos, quais titulares estão envolvidos, qual é a finalidade, quem exporta e recebe os dados, quais suboperadores participam e onde o processamento efetivamente ocorre.

Depois, deve ser verificado o mecanismo jurídico utilizado em cada direção da transferência. Contratos antigos merecem atenção especial, principalmente aqueles assinados antes da regulamentação brasileira de transferências internacionais ou antes das atualizações recentes do regime britânico.

Também é recomendável revisar os avisos de privacidade. A transparência sobre transferências internacionais não deve ficar escondida apenas em contratos entre empresas; o titular precisa receber informações adequadas sobre os fluxos relevantes.

O que pode mudar entre Brasil e Reino Unido?

A aproximação regulatória anunciada em novembro de 2026 é relevante porque pode reduzir a complexidade de determinadas transferências no futuro.

Brasil e Reino Unido afirmaram que continuarão suas avaliações e o diálogo técnico nos próximos meses. Mas cada jurisdição precisa concluir seus próprios procedimentos antes que um eventual arranjo produza efeitos jurídicos.

Por isso, a estratégia adequada para 2027 é acompanhar o processo sem suspender as medidas atuais de conformidade.

Se uma decisão de adequação for adotada, determinados fluxos poderão se tornar mais simples. Isso, porém, não eliminará obrigações relacionadas a segurança, finalidade, minimização, direitos dos titulares, contratos e gestão de fornecedores.

Adequação simplifica a transferência internacional; ela não transforma o tratamento de dados em uma atividade sem governança.

Como a Macher Tecnologia pode ajudar

A Macher Tecnologia apoia empresas brasileiras e internacionais na avaliação de transferências de dados, Data Mapping, ROPA, revisão de contratos e DPAs e no bridging entre LGPD e regulamentações estrangeiras.

Em projetos envolvendo Brasil e Reino Unido, a análise precisa unir aspectos jurídicos e tecnológicos: não basta saber qual contrato foi assinado. É necessário compreender como Cloud, suporte, APIs, equipes globais e suboperadores fazem os dados circular na prática.

Essa visão permite estruturar contratos e mecanismos de transferência a partir da realidade da operação e não apenas da localização formal das empresas envolvidas.

Converse com nossos consultores agora!