Entenda por que o Privacy Shield foi invalidado, como verificar o EU-U.S. Data Privacy Framework e como documentar transferências internacionais sob a LGPD e o GDPR.

A expressão Privacy Shield ainda aparece em contratos, políticas de privacidade e páginas comerciais de fornecedores internacionais. Quando ela é apresentada como autorização atual para enviar dados aos Estados Unidos, o documento está desatualizado e pode esconder uma transferência cujo fundamento não foi corretamente identificado. Considere a Loja Aurora, e-commerce brasileiro fictício que utiliza um CRM norte-americano e vende para alguns consumidores europeus. Para revisar a operação, a empresa precisa separar os fluxos Brasil–Estados Unidos e União Europeia–Estados Unidos, identificar as normas aplicáveis e conferir o que o fornecedor realmente oferece. Uma certificação estrangeira, isoladamente, não substitui a análise exigida pela LGPD. Este guia apresenta um procedimento operacional, com campos de registro, evidências, responsáveis e intervalos de revisão.

As faixas de frequência sugeridas são parâmetros de governança baseados em risco, e não prazos legais universais.

Principais pontos

• O Privacy Shield foi invalidado em 16 de julho de 2020 e não pode ser apresentado como fundamento vigente para transferências internacionais.
• Transferências sujeitas à LGPD precisam ser avaliadas pelos mecanismos previstos na legislação brasileira e regulamentados pela ANPD; um mecanismo europeu não as autoriza automaticamente.
• Hospedagem, backups, suporte remoto, logs e suboperadores devem ser comprovados por evidências específicas, porque a sede comercial do fornecedor não revela todo o fluxo.
• O registro da transferência deve identificar exportador, importador, controlador, operador, países, dados, finalidade, mecanismo, riscos, aprovações e data de revisão.
• Base legal para tratar dados, mecanismo ordinário de transferência e derrogação excepcional são decisões relacionadas, mas juridicamente distintas.

O que foi o Privacy Shield e qual problema ele buscava resolver

Criado no contexto europeu, o EU-U. S. Privacy Shield era um mecanismo destinado a facilitar determinadas transferências de dados pessoais do Espaço Econômico Europeu para organizações participantes nos Estados Unidos. As empresas norte-americanas assumiam compromissos de proteção e podiam receber dados nas condições então reconhecidas pela Comissão Europeia. O programa não era uma norma global, não integrava a LGPD e não autorizava, por si só, transferências iniciadas no Brasil.

Na Loja Aurora, a primeira pergunta não deve ser apenas onde está sediado o CRM, mas em quais países cada operação ocorre. Envio para um servidor estrangeiro é a hipótese mais evidente. Armazenamento em outra jurisdição pode ser confirmado pela região de hospedagem indicada no pedido, no painel administrativo ou em declaração técnica do fornecedor. A existência de backups fora do país deve ser verificada na política de continuidade, na arquitetura do serviço ou em resposta formal sobre local, redundância e restauração. O acesso remoto por suporte estrangeiro exige conferir a localização das equipes, os perfis autorizados e os registros de acesso. Já a participação de terceiros depende da lista de suboperadores, com nome jurídico, função, país e serviço prestado.

Não é juridicamente seguro afirmar que todo envio, armazenamento ou acesso no exterior sempre terá o mesmo enquadramento. A caracterização depende da norma aplicável, da origem e do destino, da disponibilidade dos dados a outra organização e da estrutura concreta do fluxo. Na LGPD, a análise deve observar a definição legal de transferência internacional e a regulamentação da ANPD. No GDPR, também importa saber se os dados são disponibilizados por um exportador sujeito ao regulamento a um importador localizado em terceiro país. A equipe deve registrar os fatos e submeter casos limítrofes, como mero trânsito técnico ou acesso dentro da mesma organização, à avaliação jurídica.

• Hospedagem: região contratada, painel do serviço e declaração técnica devem apontar o país.
• Suporte: matriz de acessos, localização das equipes e logs devem revelar quem pode consultar os dados.
• Backups: documento de continuidade deve indicar países, retenção, criptografia e processo de restauração.
• Suboperadores: lista vigente deve informar entidade jurídica, função, país e antecedência para mudanças.

Por que o Privacy Shield foi invalidado

Em 16 de julho de 2020, o Tribunal de Justiça da União Europeia invalidou a decisão que sustentava o Privacy Shield no processo C-311/18, conhecido como Schrems II. O julgamento examinou, entre outros pontos, o acesso de autoridades públicas norte-americanas aos dados e a disponibilidade de garantias e recursos efetivos para as pessoas afetadas. Desde então, o antigo programa não pode ser usado como fundamento vigente.

A decisão não proibiu toda transferência para os Estados Unidos. Outros mecanismos continuaram disponíveis, mas sujeitos às respectivas condições e, quando necessário, à avaliação das leis e práticas do país destinatário e à adoção de medidas suplementares. Por isso, um contrato da Loja Aurora que ainda cite o Privacy Shield precisa ser corrigido. A providência não se limita a substituir uma expressão: é necessário identificar o fluxo, verificar a entidade contratada, escolher o mecanismo adequado e confirmar se as salvaguardas funcionam na prática.

Documentos históricos podem mencionar o programa ao explicar fatos anteriores a julho de 2020. Nesse caso, o texto deve deixar explícitos o período e a invalidação. Políticas atuais, anexos de tratamento e respostas comerciais não devem apresentar a antiga adesão como certificação válida.

O que substituiu o Privacy Shield — e o que realmente mudou

O EU-U. S. Data Privacy Framework passou a oferecer um novo arranjo para determinadas transferências da União Europeia aos Estados Unidos. A Comissão Europeia adotou a Decisão de Execução (UE) 2023/1795 em 10 de julho de 2023. Na data de publicação deste guia, 10 de setembro de 2026, o ato constava como vigente no EUR-Lex, e o programa permanecia operacional nas páginas oficiais da Comissão Europeia e do Departamento de Comércio dos Estados Unidos.

Também houve desenvolvimento judicial posterior. Em 3 de setembro de 2025, o Tribunal Geral da União Europeia rejeitou, no processo T-553/23, o pedido de anulação da decisão de adequação. Essa decisão não transforma o framework em garantia permanente. Contestações, recursos, revisões periódicas, mudanças regulatórias ou alterações no status de uma empresa podem afetar seu uso. Antes de cada contratação ou renovação, deve-se consultar o EUR-Lex, a página de adequação da Comissão Europeia, a lista oficial do programa norte-americano e o andamento de processos judiciais relevantes. A conclusão deve registrar a data da consulta; uma captura antiga não basta.

A busca na lista oficial precisa ser feita pelo nome jurídico da destinatária, e não apenas pela marca do produto. O revisor deve conferir se o status está ativo, a data inicial e a data mais recente de certificação, a data de eventual expiração, as subsidiárias abrangidas e a política de privacidade vinculada. Também deve verificar se a cobertura inclui dados não relacionados a recursos humanos, dados de recursos humanos ou ambos. Se a Loja Aurora contrata uma subsidiária que não consta do registro, a participação da controladora não deve ser presumida.

O framework pode ser relevante para o fluxo de compradores europeus enviado a uma participante norte-americana, desde que o GDPR se aplique e o escopo registrado cubra a entidade e os dados. Ele não autoriza automaticamente o fluxo Brasil–Estados Unidos. Para dados transferidos sob a LGPD, a Loja Aurora deve selecionar um mecanismo previsto no direito brasileiro e observar a Resolução CD/ANPD nº 19/2024.

Diferenças entre instrumentos relacionados às transferências internacionais

Instrumento	Contexto regulatório	Situação ou função	Verificação prática
EU-U.S. Privacy Shield	Transferências europeias para participantes nos Estados Unidos	Invalidado em 16 de julho de 2020	Localizar e corrigir referências atuais em contratos, políticas e páginas comerciais
EU-U.S. Data Privacy Framework	Determinadas transferências europeias para participantes nos Estados Unidos	Baseado na decisão europeia de adequação de 2023, vigente na data de publicação	Conferir entidade, status, datas, subsidiárias, política e cobertura de dados de RH
Cláusulas-padrão da ANPD	Transferências internacionais sujeitas à LGPD	Cláusulas aprovadas pela Resolução CD/ANPD nº 19/2024	Usar o texto aplicável sem alteração incompatível e vinculá-lo ao fluxo documentado
Cláusulas contratuais-tipo da União Europeia	Transferências submetidas ao GDPR sem decisão de adequação aplicável	Salvaguarda do artigo 46 do GDPR, conforme o módulo e o caso	Selecionar módulo, avaliar o país destinatário e documentar medidas suplementares quando necessárias

Quando esse tema afeta uma empresa brasileira

Uma PME pode classificar cada rota por quatro perguntas: quem disponibiliza os dados, quem os recebe, em qual qualidade cada parte atua e qual norma rege o fluxo. Para a Resolução CD/ANPD nº 19/2024, o exportador é o agente de tratamento situado no Brasil ou sujeito à LGPD que transfere dados pessoais a um importador situado no exterior. O importador é o agente estrangeiro que recebe os dados. Essa classificação não substitui os papéis de controlador e operador: tanto exportador quanto importador podem atuar como controlador ou operador, conforme quem decide finalidades e meios essenciais.

No fluxo Brasil–Estados Unidos, se a Loja Aurora decide por que os dados dos clientes serão utilizados e o CRM os trata segundo suas instruções, a loja tende a ser controladora e exportadora, enquanto a entidade norte-americana tende a ser operadora e importadora. Se o fornecedor reutiliza informações para finalidade própria, ele pode assumir posição de controlador independente nessa atividade, o que exige registro separado. O mecanismo de transferência deve vir da LGPD e da regulamentação da ANPD, e não do EU-U. S. Data Privacy Framework.

No fluxo União Europeia–Estados Unidos, exportador e importador são identificados em relação ao GDPR. Se uma entidade sujeita ao regulamento disponibiliza dados a uma participante norte-americana ativa e abrangida, a decisão de adequação pode ser considerada. Se a entidade ou o tipo de dado não estiver coberto, será necessário examinar outra salvaguarda, como as cláusulas contratuais-tipo europeias, e as avaliações adicionais pertinentes.

No fluxo União Europeia–Brasil, uma empresa brasileira pode ser importadora para fins do mecanismo europeu, ainda que também seja controladora ou operadora. Como o Brasil não deve ser presumido adequado pela União Europeia sem uma decisão oficial aplicável, o exportador europeu precisa selecionar uma salvaguarda válida ou demonstrar uma derrogação excepcional. A Loja Aurora também deve avaliar se o próprio tratamento está submetido ao GDPR pelo artigo 3º, por exemplo quando oferece bens ou serviços de forma dirigida a pessoas na União Europeia ou monitora seu comportamento. Uma venda isolada ou a mera acessibilidade do site não resolve sozinha essa questão.

Critério operacional para três rotas frequentes

Rota	Exportador e importador	Papéis a registrar	Mecanismo a avaliar
Brasil–Estados Unidos	Exportador sujeito à LGPD no Brasil; importador que recebe no exterior	Controlador, operador ou controlador independente em cada finalidade	Adequação reconhecida pela ANPD, cláusulas-padrão da ANPD ou outro mecanismo do artigo 33 da LGPD aplicável
União Europeia–Estados Unidos	Entidade que disponibiliza sob o GDPR; destinatária norte-americana	Módulo controlador–controlador, controlador–operador ou outra configuração real	Decisão de adequação do framework, se houver cobertura, ou salvaguarda europeia adequada
União Europeia–Brasil	Exportador sujeito ao GDPR; empresa brasileira destinatária	Controlador ou operador conforme contrato e decisões efetivas	Salvaguarda do artigo 46 do GDPR ou derrogação excepcional devidamente demonstrada

Como avaliar uma transferência internacional na prática

Comece pelo caminho concreto dos dados, não pelo texto promocional do fornecedor. A Loja Aurora deve criar um registro por fluxo ou por conjunto homogêneo de fluxos. Uma planilha controlada pode atender a uma operação simples; operações críticas podem exigir um módulo no sistema de governança. O arquivo deve ter identificador único, versão, data, histórico de alterações e links para as evidências. Compradores brasileiros e europeus devem ocupar registros separados, ainda que estejam no mesmo CRM.

Os campos mínimos são: exportador; importador; controlador; operador e suboperadores; produto; finalidade; categorias de titulares e dados; presença de dados sensíveis ou de crianças; frequência e volume aproximado; países de hospedagem, backup e acesso; retenção; base legal do tratamento; mecanismo de transferência; medidas técnicas e contratuais; risco residual; responsável; aprovadores; data da decisão; próxima revisão e gatilhos de reavaliação. Não é preciso inventar precisão: se o volume não estiver disponível, registre a faixa utilizada internamente e a fonte da estimativa.

A escolha do mecanismo segue uma ordem lógica. Primeiro, verifique se há decisão de adequação aplicável à transferência e ao destinatário. Se não houver, avalie as cláusulas-padrão aprovadas pela autoridade competente. Cláusulas específicas, normas corporativas globais, selos, certificados ou códigos devem ser considerados apenas quando seus requisitos legais e aprovações forem efetivamente atendidos. As hipóteses excepcionais da LGPD ou as derrogações do artigo 49 do GDPR não devem sustentar fluxos repetitivos apenas por serem mais convenientes.

A aprovação deve envolver o proprietário do processo e a área de privacidade ou o encarregado. Segurança da informação deve aprovar controles em fluxos com acesso externo, dados sensíveis, grande escala ou fornecedor crítico. Jurídico deve validar o mecanismo, os papéis e as cláusulas quando houver aplicação do GDPR, dúvida de enquadramento ou uso de hipótese excepcional. Compras confirma a entidade contratada e os anexos; o gestor do serviço atesta que a descrição técnica corresponde à operação.

Como meta de processo, uma transferência comum pode ser analisada em até 10 dias úteis depois do recebimento de todas as evidências; um fluxo crítico pode exigir 20 dias úteis ou mais. Essas faixas não são prazos legais. O processo deve ficar suspenso se faltarem país de backup, lista de suboperadores, entidade jurídica ou mecanismo contratual.

1. Abra um registro por rota e atribua identificador, proprietário e prazo interno.
2. Mapeie origem, destinos, acessos, backups, logs, integrações e suboperadores.
3. Classifique exportador, importador, controlador e operador por finalidade.
4. Separe a base legal do tratamento do mecanismo de transferência.
5. Compare adequação, cláusulas-padrão e demais mecanismos legalmente disponíveis.
6. Avalie riscos, controles, exceções e capacidade de atender titulares e incidentes.
7. Obtenha as aprovações, registre a decisão e defina revisão de 3, 6 ou 12 meses conforme o risco.

Quais documentos e evidências precisam acompanhar a decisão

Uma cláusula isolada não demonstra conformidade. A trilha de evidências deve conectar inventário de dados, registro das operações, contrato, avaliação da transferência, controles de segurança e política de privacidade. Cada documento precisa ter responsável, repositório controlado, data de validade ou revisão e critério de aceite. Mensagens informais podem apoiar a apuração, mas informações essenciais devem ser consolidadas em documento aprovado.

A Resolução CD/ANPD nº 19/2024 foi publicada no Diário Oficial da União em 23 de agosto de 2024. O artigo 2º determinou que os agentes de tratamento que utilizassem cláusulas contratuais para realizar transferências internacionais incorporassem as cláusulas-padrão aprovadas no Anexo II aos respectivos instrumentos contratuais em até 12 meses contados da publicação. Assim, o marco encerrou-se em 23 de agosto de 2025. A forma de contagem e a aplicação a um contrato específico devem ser validadas pelo jurídico, sobretudo quando o instrumento utiliza outro mecanismo, foi renovado, envolve cadeia de subcontratação ou sofreu alteração no período.

Incidentes exigem um fluxo próprio. Nos casos abrangidos pela Resolução CD/ANPD nº 15/2024, o controlador deve comunicar à ANPD e aos titulares quando o incidente puder acarretar risco ou dano relevante. O prazo geral é de 3 dias úteis, contado do conhecimento pelo controlador de que o incidente afetou dados pessoais, ressalvada a existência de prazo previsto em legislação específica. A autoridade competente é a ANPD. O operador não substitui o controlador nessa comunicação: deve informar o controlador sem demora injustificada e fornecer os elementos necessários. Regras especiais, inclusive as aplicáveis a agentes de pequeno porte quando cabíveis, devem ser verificadas no caso concreto.

No GDPR, o artigo 33 estabelece que o controlador notifique a autoridade de controle competente sem demora injustificada e, quando possível, em até 72 horas após tomar conhecimento do incidente, salvo se for improvável que ele resulte em risco aos direitos e liberdades. Se a notificação ocorrer depois, devem ser apresentados os motivos do atraso. O operador informa o controlador sem demora injustificada. A comunicação ao titular é obrigação distinta, regida pelo artigo 34, normalmente quando houver alto risco e sem demora injustificada, sujeita às exceções do próprio dispositivo. Portanto, 3 dias úteis e 72 horas não são prazos intercambiáveis nem se aplicam automaticamente a todo evento de segurança.

Matriz mínima de evidências

Evidência	Responsável	Local recomendado	Atualização	Critério de aceite
Registro do fluxo e avaliação	Privacidade e gestor do processo	Repositório de governança com versão	A cada 3, 6 ou 12 meses e após gatilho	Campos mínimos preenchidos, fontes vinculadas e aprovações registradas
Contrato e anexo de tratamento	Jurídico e compras	Gestão contratual	Na contratação, renovação ou alteração	Entidades corretas, papéis, mecanismo, incidentes, auditoria, exclusão e subcontratação cobertos
Lista de suboperadores e países	Gestor do fornecedor	Dossiê do fornecedor	Trimestral para crítico; semestral ou anual para os demais	Nome jurídico, função, país e processo de aviso de mudanças
Arquitetura, hospedagem e backups	Segurança da informação	Repositório técnico restrito	Anual e após mudança de infraestrutura	Regiões, retenção, criptografia, restauração e acessos coerentes com o contrato
Comprovação de participação no framework	Privacidade ou jurídico	Registro da transferência	Na contratação, a cada 6 meses e na renovação	Status ativo, entidade, datas, subsidiárias e cobertura compatíveis
Plano e registros de incidentes	Segurança, privacidade e jurídico	Sistema de incidentes com acesso controlado	Após testes e cada incidente	Termo inicial, decisões de notificação, autoridade, titulares e comunicações documentados

O que observar depois de contratar um fornecedor internacional

A assinatura marca o início do monitoramento. A Loja Aurora deve acompanhar mudanças de suboperadores, países, regiões de hospedagem, finalidade, categorias de dados, retenção e medidas de segurança. Uma participação usada na decisão também pode expirar, ser retirada ou deixar de abranger a entidade contratada. O monitoramento deve comparar o estado atual com a versão aprovada, e não apenas perguntar se o fornecedor continua em conformidade.

A frequência deve acompanhar o risco. Fornecedores críticos, serviços essenciais ou fluxos com grande escala, dados sensíveis, crianças ou acesso privilegiado podem ser revistos a cada 3 a 6 meses. Fluxos de risco moderado podem ser revistos a cada 6 meses. Operações estáveis, de menor risco e sem dados sensíveis podem ter revisão anual. Essas faixas são recomendações de governança; contratos, normas setoriais ou circunstâncias concretas podem exigir intervalos menores.

A revisão mínima deve confirmar a entidade jurídica, os países de hospedagem e backup, a localização do suporte, a lista de suboperadores, a vigência do mecanismo contratual, o status de certificações efetivamente usadas, os incidentes ocorridos, os pedidos de titulares, as alterações de produto e a execução de exclusão ou devolução. Como evidência, guarde a consulta oficial datada, a lista comparada de suboperadores, a confirmação técnica do fornecedor, a ata de revisão e o plano de correção.

Independentemente do calendário, mudança de país, novo suboperador, incidente, aquisição societária, alteração de finalidade, nova categoria de dado, perda de certificação ou entrada em outro mercado exige reavaliação. Para um fornecedor crítico, uma meta interna razoável é abrir a revisão em até 5 dias úteis após o conhecimento do gatilho, sem tratar essa meta como prazo legal.

Erros comuns ao citar ou substituir o Privacy Shield

Os desvios mais perigosos produzem falsa conformidade: o documento parece atualizado, mas não representa o fluxo real. Na Loja Aurora, trocar o nome Privacy Shield por Data Privacy Framework sem conferir entidade, status, dados abrangidos e origem da transferência manteria a lacuna operacional.

Outro erro é tratar consentimento como solução única. A base legal autoriza o tratamento para determinada finalidade; o mecanismo de transferência disciplina a disponibilização internacional; e uma derrogação excepcional permite certas transferências em circunstâncias delimitadas. Essas três análises não devem ser fundidas. Um tratamento pode apoiar-se em execução de contrato e ainda precisar de cláusulas-padrão. Da mesma forma, o consentimento usado como hipótese excepcional deve cumprir requisitos próprios, ser específico para a transferência e não servir de atalho para um fluxo estrutural quando houver mecanismo ordinário apropriado.

No GDPR, as derrogações do artigo 49 devem ser interpretadas de maneira restrita e não são substitutas convenientes para salvaguardas em transferências repetitivas. Na LGPD, o consentimento específico e em destaque para a transferência internacional é uma das hipóteses legais, mas não elimina os requisitos de transparência, validade do consentimento, finalidade e possibilidade de revogação. Se a operação não pode funcionar após uma revogação, a empresa deve avaliar cuidadosamente se essa é realmente a hipótese adequada.

• Citar o Privacy Shield como vigente: remova o fundamento atual e preserve a menção apenas quando necessária ao contexto histórico.
• Tratar o framework como autorização universal: limite-o ao contexto europeu e à entidade norte-americana abrangida.
• Verificar a marca, não a entidade: confronte razão social, subsidiárias e cobertura com o contrato.
• Confundir base legal e mecanismo de transferência: registre as duas decisões em campos separados.
• Usar consentimento automaticamente: examine validade, especificidade, destaque, revogação e caráter excepcional.
• Copiar cláusulas sem mapear acessos e backups: condicione a aprovação à arquitetura e à lista de suboperadores.
• Confiar em um selo isolado: exija evidências contratuais, técnicas e operacionais compatíveis com o fluxo.

Perguntas frequentes

O Privacy Shield ainda é válido?

Não. O Tribunal de Justiça da União Europeia invalidou o programa em 16 de julho de 2020, no processo C-311/18, e ele não deve constar como fundamento vigente.

O EU-U. S. Data Privacy Framework estava vigente na data de publicação?

Sim. Em 10 de setembro de 2026, a Decisão de Execução (UE) 2023/1795 constava como vigente no EUR-Lex e o programa permanecia operacional nas fontes oficiais. O Tribunal Geral rejeitou uma contestação no processo T-553/23 em 3 de setembro de 2025. Ainda assim, o status do ato, de eventuais recursos e da empresa participante deve ser novamente conferido na data de cada decisão.

O EU-U. S. Data Privacy Framework vale para transferências feitas a partir do Brasil?

Não como autorização geral. Transferências sujeitas à LGPD precisam usar um mecanismo previsto no artigo 33 da lei e observar a regulamentação da ANPD. O framework pode ser relevante para um fluxo separado submetido ao GDPR.

Como verificar uma empresa norte-americana no Data Privacy Framework?

Pesquise a entidade jurídica na lista oficial e confira status ativo, datas de certificação e expiração, subsidiárias abrangidas, política de privacidade e cobertura de dados de recursos humanos ou de outros dados. Compare o resultado com a parte indicada no contrato.

Uma empresa brasileira precisa cumprir o GDPR ao usar um fornecedor dos Estados Unidos?

Não necessariamente. A aplicação depende da operação, como o estabelecimento na União Europeia, a oferta dirigida a pessoas naquele território ou o monitoramento de seu comportamento. A mera contratação de um fornecedor norte-americano não basta.

Cláusulas contratuais são suficientes para transferir dados pessoais ao exterior?

Sozinhas, não. Elas devem corresponder ao mecanismo aplicável e ser acompanhadas por mapeamento, classificação dos papéis, avaliação de riscos, controles de segurança, gestão de suboperadores e evidências de execução.

Consentimento resolve qualquer transferência internacional?

Não. A base legal do tratamento, o mecanismo de transferência e uma eventual hipótese excepcional são análises distintas. O consentimento precisa atender aos requisitos da norma aplicável e não deve ser usado automaticamente para sustentar transferências contínuas ou estruturais.

Quais são os prazos para comunicar um incidente?

Quando a Resolução CD/ANPD nº 15/2024 for aplicável, o controlador comunica à ANPD e aos titulares em até 3 dias úteis contados do conhecimento de que o incidente afetou dados pessoais e pode gerar risco ou dano relevante, ressalvadas regras específicas. No GDPR, o controlador notifica a autoridade competente, quando exigido, em até 72 horas após tomar conhecimento; a comunicação ao titular segue requisito e prazo próprios. O operador deve informar o controlador sem demora injustificada.

Conclusão

Contratos que ainda citam o Privacy Shield merecem revisão, mas a simples troca pelo EU-U. S. Data Privacy Framework não resolve transferências originadas no Brasil. A empresa precisa separar as rotas, identificar exportador, importador, controlador e operador, conferir as entidades jurídicas e aplicar o mecanismo correspondente à norma que rege cada fluxo. Comece com um diagnóstico de maturidade: selecione os fornecedores que recebem dados no exterior, abra um registro para cada rota e priorize, nos primeiros 30 dias, serviços críticos, dados sensíveis e contratos que ainda mencionem o programa invalidado. Em seguida, associe cada decisão às evidências, aos responsáveis e a uma revisão de 3, 6 ou 12 meses conforme o risco.

Tecnologia pode acelerar inventários e alertas, mas não substitui a validação jurídica nem a confirmação operacional do percurso real dos dados.