Principais Conclusões
➤ A China e a Rússia ocupam o topo do ranking de risco, sustentadas pelas duas maiores multas específicas de transferência já aplicadas sob o GDPR: TikTok (€530 milhões, DPC irlandesa, maio de 2025) e Yango (€100 milhões, decisão conjunta holandesa/finlandesa/norueguesa, 2026).
➤ 17 jurisdições possuem hoje uma decisão de adequação da UE em vigor, incluindo o Brasil, cuja decisão de adequação mútua com a UE (26 de janeiro de 2026) foi a primeira do gênero. Learn more about decisão de adequação mútua com a UE (26 de janeiro de 2026) foi a primeira do gênero.
➤ A decisão da DPC contra o TikTok estabeleceu que o acesso remoto a partir de um país terceiro conta como transferência internacional mesmo quando os dados nunca saem fisicamente dos servidores do EEE.
O Que É o Índice de Risco de Transferência Internacional de Dados? (Resposta Direta)
O Índice de Risco de Transferência Internacional de Dados 2026 classifica 30 países segundo a severidade com que as autoridades de proteção de dados (DPAs) europeias estão fiscalizando as transferências internacionais de dados pessoais para cada destino. A classificação combina status de adequação, ações de fiscalização já documentadas, exigência de medidas suplementares e as próprias leis de vigilância e acesso a dados do país de destino.
Termo definido: uma transferência internacional de dados sob o Capítulo V do GDPR é qualquer movimentação de dados pessoais do EEE para um país fora dele, incluindo armazenamento em nuvem, acesso remoto por funcionários e compartilhamento intragrupo de dados. Toda transferência desse tipo precisa se apoiar em uma de três bases legais: uma decisão de adequação da UE (Art. 45), salvaguardas apropriadas como Cláusulas Contratuais Padrão (SCCs) ou Regras Corporativas Vinculativas (Art. 46), ou uma derrogação específica (Art. 49).
O Índice classifica os destinos pela exposição real de uma organização ao risco de fiscalização, independentemente da base legal usada. A razão é simples: como demonstrou a decisão de €530 milhões contra o TikTok em 2025, ter SCCs assinadas não protege uma organização se as leis do país de destino puderem, na prática, se sobrepor a elas.
O Índice agrupa os 30 destinos em cinco níveis de risco, do Nível 1 (Protegido por Adequação) ao Nível 5 (Alvo de Fiscalização Ativa). A classificação reflete onde as DPAs já agiram, onde estão investigando ativamente e onde as leis domésticas de vigilância ou acesso a dados do destino criam um risco estrutural que nenhuma quantidade de papelada contratual consegue eliminar por completo.
Por Que um Índice de Risco de Transferência Importa em 2026
O cenário jurídico para transferências internacionais se tornou consideravelmente mais rígido desde a decisão Schrems II de 2020. Como resume a análise de tendências de 2026 de um grande escritório de advocacia: as organizações não devem adotar a estratégia inviável de excluir todo risco hipotético de acesso governamental das transferências cobertas pelo GDPR. Mas a mesma análise é explícita ao afirmar que as transferências para países sem decisão de adequação da UE enfrentam um clima de fiscalização mais duro, com reguladores adotando uma postura visivelmente mais rígida.
Três ações de fiscalização definem o momento atual:
TikTok — €530 milhões (DPC irlandesa, maio de 2025): a maior multa específica de transferência já aplicada na história do GDPR, por falha em verificar se as Cláusulas Contratuais Padrão e as medidas suplementares realmente protegiam os dados de usuários do EEE contra o acesso sob a Lei Antiterrorismo, a Lei de Cibersegurança, a Lei de Contraespionagem e a Lei de Inteligência Nacional da China. Isso apesar de o TikTok ter implementado o Project Clover, uma iniciativa de segurança de dados de €12 bilhões, e ter preparado Avaliações de Risco de Transferência. A multa somou €45 milhões pela infração ao Art. 13(1)(f) e €485 milhões pela infração ao Art. 46(1) do GDPR.
O bloqueio da Autoridade Europeia para a Proteção de Dados (EDPS) às transferências para a Índia: uma decisão direta de uma instituição da UE para interromper totalmente uma transferência, em vez de exigir apenas correções. Isso sinaliza que alguns destinos já são tratados como categoricamente de alto risco, independentemente das salvaguardas contratuais.
A ordem da PIPC (Coreia do Sul) para exclusão de dados e do algoritmo ligado à Alipay (janeiro de 2025): após constatar que uma carteira digital havia enviado dados de 40 milhões de usuários à Alipay, que os usou para construir escores de crédito no estilo "NSF" sem aviso nem consentimento, a PIPC não se limitou a multar as empresas em KRW 8,3 bilhões. Determinou que o próprio algoritmo fosse apagado, eliminando o ativo que a violação havia sido construída para criar.
O fio condutor entre os três casos: os reguladores não se satisfazem mais com papelada. Uma Avaliação de Impacto de Transferência que não trata das leis reais de vigilância do país de destino, uma SCC que a legislação doméstica do destino pode simplesmente anular, ou um mecanismo de transferência que ignora como algoritmos locais reaproveitam os dados — todos esses pontos são hoje alvos ativos de fiscalização, não riscos teóricos.
Como o Índice É Pontuado
Cada um dos 30 países de destino é avaliado segundo quatro fatores:
| Fator | O Que Mede |
|---|---|
| Status de Adequação | O destino possui uma decisão de adequação da UE em vigor (Art. 45)? Em caso afirmativo, essa decisão é estável, está sob revisão ou sofre contestação judicial? |
| Histórico de Fiscalização | Alguma DPA da UE já tomou uma ação de fiscalização documentada (multa, ordem de suspensão de transferência ou bloqueio formal) contra transferências para este destino? |
| Risco de Acesso Legal Doméstico | O destino possui leis de vigilância, segurança nacional ou localização de dados que possam obrigar a divulgação de dados pessoais do EEE a autoridades governamentais de forma incompatível com o padrão de "equivalência essencial" do GDPR? |
| Trajetória | A fiscalização e o escrutínio regulatório em relação a este destino estão aumentando, estáveis ou diminuindo nos últimos 12 meses? |
O nível de risco de um destino reflete a combinação desses quatro fatores, não um único deles isoladamente. Um país pode ter status de adequação e ainda carregar risco relevante se essa decisão estiver sob contestação judicial ativa: o marco EUA-UE é o exemplo mais claro dessa dinâmica.
Nível 1: Protegido por Adequação, Risco Mais Baixo
Estas 17 jurisdições possuem uma decisão de adequação vigente da Comissão Europeia sob o Artigo 45, o que significa que dados pessoais podem fluir do EEE sem salvaguardas adicionais. Esta é a lista completa e atualizada em 2026.
| Posição | Destino | Base de Adequação | Observações de Risco |
|---|---|---|---|
| 1 | Suíça | Lei Federal de Proteção de Dados (revisada) | Relação de adequação mais estável; reafirmada periodicamente |
| 2 | Reino Unido | UK GDPR / Data Protection Act 2018 | Renovada até 2031 conforme Parecer 2025/26 do EDPB (outubro de 2025); o EDPB sinalizou preocupação contínua com a evolução da legislação britânica de vigilância e com o novo "teste de proteção de dados" do Data (Use and Access) Act 2025, que pode gerar divergência futura |
| 3 | Nova Zelândia | Privacy Act 2020 | A revisão periódica de 2024 da Comissão confirmou a continuidade da adequação; autoridade supervisora independente e bem avaliada |
| 4 | Japão | Act on Protection of Personal Information (APPI) + regras complementares | Adequação acompanhada de "Salvaguardas Adicionais" negociadas além da legislação doméstica |
| 5 | Coreia do Sul | Personal Information Protection Act (PIPA) | A adequação se mantém, mas a própria PIPC coreana é simultaneamente o órgão mais agressivo da Ásia contra transferências que saem da Coreia — relevante para qualquer organização da UE com operações coreanas que enviem dados adiante |
| 6 | Canadá (apenas setor comercial) | PIPEDA | Adequação limitada estritamente a organizações comerciais; não cobre o setor público federal. A Comissão sinalizou a reforma em curso da PIPEDA (Projeto de Lei C-27) como relevante para a próxima revisão |
| 7 | Israel | Privacy Protection Act | A Comissão observou reforma legislativa em andamento; o alcance dessa reforma afetará a próxima avaliação de adequação |
| 8 | Argentina | Lei de Proteção de Dados Pessoais (Lei 25.326) | A revisão de 2024 da Comissão pediu a conclusão da modernização legislativa e a nomeação de um titular permanente da AAIP |
| 9 | Uruguai | Lei de Proteção de Dados | Adequação confirmada na revisão periódica de 2024 |
| 10 | Andorra | Lei Qualificada de Proteção de Dados Pessoais | Adequação confirmada na revisão de janeiro de 2024 |
| 11 | Brasil | LGPD (adequação mútua) | Decisão mais recente (26 de janeiro de 2026) e primeiro arranjo de adequação mútua: ambos os lados reconheceram simultaneamente o regime um do outro |
| 12 | Guernsey | Data Protection (Bailiwick of Guernsey) Law | Decisão anterior ao GDPR, confirmada na revisão de 2024 |
| 13 | Jersey | Data Protection (Jersey) Law | Decisão anterior ao GDPR, confirmada na revisão de 2024 |
| 14 | Ilha de Man | Data Protection Act | Decisão anterior ao GDPR, confirmada na revisão de 2024 |
| 15 | Ilhas Faroé | Act on Processing of Personal Data | Decisão anterior ao GDPR, confirmada na revisão de 2024 |
| 16 | Estados Unidos (apenas entidades certificadas no DPF) | EU-US Data Privacy Framework | Adequação condicional, aplicável somente às cerca de 5.300 organizações certificadas ativamente; destinatários americanos não certificados precisam de SCCs |
| 17 | Organização Europeia de Patentes | N/A (organismo internacional) | Primeira decisão de adequação já concedida a um organismo internacional em vez de um país (julho de 2025) |
A ressalva crítica para o Nível 1: adequação não é permanente, e duas entradas deste nível carregam um risco latente materialmente maior do que as demais.
Estados Unidos (#16): o EU-US Data Privacy Framework foi confirmado válido pelo Tribunal Geral da UE, mas a disputa judicial continua. A decisão Latombe v. Comissão (setembro de 2025) considerou que as DPAs nacionais têm discricionariedade para não investigar reclamações sobre o DPF: um escudo processual por ora, mas uma das leituras do panorama de 2026 aponta especificamente que os baixos entraves processuais identificados pelo Tribunal Geral para futuras contestações, somados às mudanças legislativas em curso nos EUA, tornam 2026 o ano mais propenso a um novo escrutínio do marco. Organizações que dependem apenas da certificação DPF, sem um plano de contingência documentado com SCCs, estão concentrando risco em um único mecanismo legal que já foi derrubado uma vez antes (Privacy Shield, 2020).
Reino Unido (#2): o Data (Use and Access) Act 2025 britânico introduz um novo "teste de proteção de dados" que, com o tempo, substituirá o modelo binário adequado/inadequado da UE por um padrão comparativo baseado em risco, tanto para as decisões de adequação do governo britânico quanto para empresas que dependem de SCCs. O efeito prático para transferências UE-Reino Unido é atualmente irrelevante, mas o próprio parecer do EDPB recomenda explicitamente "monitoramento contínuo e revisão periódica", em vez de tratar a relação como definitiva.
Nível 2: Adequação Pendente ou Funcionalmente de Baixo Risco, Risco Moderado-Baixo
Estes destinos não possuem decisão de adequação vigente, mas não apresentam nenhuma ação adversa documentada de DPAs e têm regimes de proteção de dados amplamente alinhados com os princípios do GDPR, o que torna as transferências baseadas em SCCs comparativamente pouco atritosas na prática.
| Posição | Destino | Status | Observações de Risco |
|---|---|---|---|
| 18 | Indonésia | Sem adequação; compromissos bilaterais | O acordo comercial de 2025 com os EUA incluiu compromissos de livre fluxo de dados para os EUA, compatíveis com a Lei de Proteção de Dados Pessoais de 2022 da Indonésia; transferências para a UE ainda exigem SCCs |
| 19 | Malásia | Sem adequação | Compromissos bilaterais semelhantes ligados ao comércio com os EUA em 2025; sem registro adverso de fiscalização da UE |
| 20 | Tailândia | Sem adequação | Mesmo padrão; a Lei de Proteção de Dados Pessoais oferece um marco doméstico amplamente compatível com estruturas de transferência baseadas em SCC |
| 21 | Cingapura | Sem adequação | Regime doméstico de proteção de dados maduro e bem avaliado (PDPA); usada com frequência como hub regional de dados, sem histórico adverso de fiscalização da UE |
Nível 3: Discussões de Adequação Ativas ou Paralisadas, Risco Moderado
| Posição | Destino | Status | Observações de Risco |
|---|---|---|---|
| 22 | Quênia | Discussões relatadas como paralisadas ou em andamento | Sem registro de fiscalização da UE; marco regulatório ainda em maturação |
| 23 | Colômbia | Discussões relatadas como paralisadas ou em andamento | Mesmo perfil |
| 24 | Emirados Árabes Unidos / estados do CCG (agrupados) | Discussões ativas ou paralisadas relatadas | Negociações que se arrastam por anos, sem garantia de resultado; tratar como dependente de SCCs indefinidamente |
Nível 4: Risco Estrutural de Acesso Legal, Risco Elevado
Estes destinos não têm decisão de adequação e carregam risco estrutural documentado decorrente de leis domésticas de vigilância, acesso a dados ou localização, que tornam as medidas suplementares genuinamente difíceis de desenhar e defender.
| Posição | Destino | Principal Fator de Risco | Observações de Risco |
|---|---|---|---|
| 25 | Vietnã | Controles de transferência de dados por segurança nacional | O Vietnã implementou controles específicos sobre transferências de dados que envolvem segurança nacional e interesses de Estado, somados às exigências padrão de SCC |
| 26 | Índia | Bloqueio de fiscalização do EDPS | A decisão da Autoridade Europeia para a Proteção de Dados de bloquear totalmente as transferências para a Índia, em vez de apenas exigir correções, é um dos poucos casos em que uma instituição da UE interrompeu uma transferência em vez de aplicar multa. A Índia também não tem decisão de adequação da UE, exigindo SCCs somados a uma Avaliação de Impacto de Transferência completa para qualquer transferência a processadores indianos; orientações atuais apontam especificamente que o marco de conformidade em desenvolvimento da Índia deve fazer com que as avaliações revelem áreas que exigem medidas suplementares |
| 27 | Coreia do Sul (como risco de transferência subsequente, distinto do #5 acima) | Agressividade da fiscalização transfronteiriça da PIPC | Embora a Coreia do Sul tenha adequação da UE (Nível 1, #5), sua própria reguladora é simultaneamente uma das mais agressivas do mundo contra transferências que saem do país: as penalidades contra KakaoPay (KRW 5,9 bilhões) e Apple Distribution International (KRW 2,4 bilhões) em janeiro de 2025, ambas por falhas de aviso em transferências transfronteiriças, e a ordem de exclusão do algoritmo da Alipay em janeiro de 2025, são diretamente relevantes para qualquer grupo da UE com subsidiária coreana na sua cadeia de transferência subsequente |
Nível 5: Alvo de Fiscalização Ativa, Risco Mais Alto
Estes dois destinos carregam as ações de fiscalização mais severas e diretamente documentadas na história atual de transferências sob o GDPR.
| Posição | Destino | Ação de Fiscalização Definidora | Observações de Risco |
|---|---|---|---|
| 28 | China | TikTok — €530 milhões (DPC irlandesa, maio de 2025) | A maior multa específica de transferência já aplicada sob o GDPR. A DPC concluiu que a Lei Antiterrorismo, a Lei de Cibersegurança, a Lei de Contraespionagem e a Lei de Inteligência Nacional da China não permitem concluir que os dados recebem proteção essencialmente equivalente à do EEE, ou seja, a barreira legal estrutural existe independentemente de quão bem estruturado seja o programa de conformidade de uma organização. A DPC também concluiu que medidas gerais de segurança isoladas (criptografia, controles de acesso) são insuficientes se não tratarem do risco específico de acesso governamental sob uma legislação problemática. A iniciativa Project Clover, de €12 bilhões, do TikTok, não foi considerada suficiente para sanar o problema. O caso também estabeleceu que o acesso remoto a partir de um país terceiro conta como transferência mesmo quando os dados nunca saem fisicamente dos servidores do EEE, o que significa que qualquer organização com pessoal na China acessando remotamente dados armazenados no EEE está no escopo, independentemente da residência dos dados |
| 29 | Rússia | Decisão conjunta holandesa/finlandesa/norueguesa contra a Yango — €100 milhões (2026) | A autoridade holandesa (AP) multou a operadora europeia da Yango em €100 milhões por transferir digitalizações de carteiras de motorista, dados bancários e de localização de usuários finlandeses e noruegueses para a Rússia sem salvaguardas adequadas, citando explicitamente os poderes de acesso do governo russo como o risco central, em uma investigação conjunta de três reguladores. A multa foi calculada sobre o faturamento global do grupo controlador russo (mais de €12 bilhões), não apenas da subsidiária na UE: um método de cálculo que eleva materialmente o risco para qualquer estrutura societária com controladora ligada à Rússia |
| 30 | Países designados pela Ordem Executiva 14117 dos EUA / PADFA ("países preocupantes") | Restrição extraterritorial dos EUA, não fiscalização da UE | Distinto da fiscalização de DPAs, mas diretamente relevante para qualquer organização da UE com operações nos EUA: a Ordem Executiva 14117 restringe transferências em massa de dados pessoais sensíveis e dados relacionados ao governo dos EUA para "países preocupantes" designados, incluindo China e Rússia, e o PADFA proíbe separadamente que corretores de dados transfiram dados pessoais sensíveis para adversários estrangeiros designados. Um grupo da UE com subsidiárias americanas que lidam com dados de cidadãos dos EUA enfrenta uma segunda camada, independente, de restrição de transferência, além do Capítulo V do GDPR — os dois regimes nem sempre coincidem sobre quais destinos estão restritos |
O Que os Dois Piores Destinos Têm em Comum
China e Rússia ocupam o fundo do Índice por razões estruturalmente semelhantes, e o padrão é instrutivo para qualquer organização avaliando um destino que não esteja explicitamente listado aqui.
Tanto na decisão do TikTok quanto na da Yango, a DPA fiscalizadora rejeitou explicitamente a ideia de que medidas técnicas de segurança robustas (criptografia, controles de acesso, até programas de investimento em segurança de bilhões de euros) possam substituir o enfrentamento do risco legal específico criado pela lei doméstica do país de destino. Nas próprias palavras da autoridade holandesa (AP), a decisão sobre a Yango se baseou no fato de que os dados pessoais "não estão tão bem protegidos" na Rússia, porque o governo pode obrigar o acesso independentemente das salvaguardas contratuais ou técnicas. A decisão do TikTok chegou funcionalmente à mesma conclusão sobre as quatro leis de vigilância nomeadas da China.
A lição prática para qualquer organização que avalie o risco de transferência para um país fora deste Índice: uma Avaliação de Impacto de Transferência que analisa a força da criptografia e os termos contratuais, mas não trata das leis reais de vigilância e acesso governamental do destino, é exatamente a lacuna analítica que produziu as duas maiores multas deste ranking.
Exemplo Real: Como o Risco de Transferência de Uma Organização Muda ao Longo do Índice
Uma empresa de SaaS de médio porte com clientes na UE opera uma função de suporte nas Filipinas (equivalente ao Nível 2, sem registro adverso), usa um provedor de nuvem americano certificado no DPF (Nível 1, #16) e recentemente abriu um pequeno escritório de engenharia na China para acessar talento local (Nível 5, #28).
Equipe de suporte nas Filipinas: baixo atrito. SCCs em vigor, nenhum histórico adverso de fiscalização para este destino, Avaliação de Impacto de Transferência direta.
Provedor de nuvem americano: risco latente moderado apesar do posicionamento no Nível 1. A empresa deve verificar se a certificação DPF do provedor está atualizada e ativa, sem assumir que uma certificação concedida uma vez seja permanente, e deve manter SCCs como plano de contingência documentado diante da exposição jurídica contínua do DPF.
Escritório de engenharia na China: o elo de maior risco na cadeia, e o mais propenso a passar despercebido pelas equipes de conformidade. Se engenheiros chineses puderem acessar remotamente dados de clientes do EEE para suporte ou depuração, mesmo sem que esses dados jamais sejam armazenados em servidores chineses, o precedente do TikTok estabelece que isso constitui uma transferência que exige conformidade plena com o Capítulo V. Uma revisão geral de segurança focada em criptografia e registro de acessos deixaria passar o problema real: se a legislação chinesa de segurança nacional poderia obrigar a divulgação independentemente desses controles técnicos.
Esta é exatamente a estrutura visada pela decisão da DPC sobre o TikTok, e é um padrão arquitetural comum, não um problema isolado de uma única empresa, razão pela qual a China ocupa o fundo deste Índice em vez de ser tratada como um caso pontual.
Como Usar Este Índice na Sua Própria Avaliação de Risco de Transferência
Mapeie todos os destinos presentes nos seus fluxos de dados reais, não apenas onde os dados são armazenados, mas também onde podem ser acessados remotamente, incluindo por equipes offshore de suporte, engenharia ou processamento terceirizado. O precedente do TikTok torna o próprio acesso remoto um gatilho de transferência.
Localize o nível de cada destino neste Índice e trate os destinos de Nível 4 e Nível 5 como exigindo aprovação de risco no nível do conselho, não um modelo padrão de SCC.
Para destinos de Nível 1, confirme se a base específica de adequação continua válida, especialmente para os EUA (verifique se a certificação DPF está atual e ativa, não apenas se o marco existe) e para o Canadá (verifique se o escopo comercial da decisão de adequação realmente cobre o fluxo de dados específico).
Para qualquer destino de Nível 3 a 5, construa uma Avaliação de Impacto de Transferência que nomeie as leis domésticas específicas que poderiam obrigar o acesso governamental. A decisão da DPC sobre o TikTok criticou explicitamente a Avaliação de Risco de Transferência da empresa por se apoiar em descrições genéricas da legislação chinesa, em vez de uma análise detalhada frente às Garantias Essenciais Europeias.
Trate a gestão de consentimento e a minimização de dados como controles de risco de transferência, não apenas como controles da etapa de coleta. Quanto menos dados pessoais precisarem fluir para um destino de alto risco, menor a superfície de fiscalização. E verificar se a retirada de consentimento realmente interrompe um fluxo de dados transfronteiriço ativo, e não apenas uma atualização de banco de dados de marketing, é exatamente o tipo de controle que os reguladores estão passando a checar.
A plataforma de gestão de consentimento e governança de privacidade da Secure Privacy ajuda organizações a mapear para onde os dados pessoais realmente fluem internacionalmente através do módulo de Mapeamento de Dados e ROPA, conectar registros de consentimento aos mecanismos de transferência internacional dos quais dependem e manter documentação pronta para auditoria à medida que a fiscalização das DPAs contra destinos específicos continua evoluindo. O módulo de Análise de Transferências de Dados, dentro da Maturidade de Governança da plataforma, consolida avaliações de transferência internacional, decisões de adequação, mecanismos de transferência e mapeamento de destinos em um único painel — útil justamente para localizar rapidamente onde um Nível 4 ou 5 deste Índice já se esconde na sua própria cadeia de fornecedores. Conheça as ferramentas de conformidade com o GDPR da Secure Privacy →
Perguntas Frequentes Sobre Risco de Transferência Internacional de Dados
Qual é o país de maior risco para transferências de dados sob o GDPR em 2026?
China e Rússia são os dois destinos de maior risco com base em fiscalização documentada, responsáveis pela maior multa específica de transferência já aplicada sob o GDPR (TikTok, €530 milhões) e pela ação de fiscalização multi-DPA coordenada mais recente (a decisão da Yango, €100 milhões), respectivamente. Ambas as decisões concluíram explicitamente que as leis domésticas de vigilância e acesso governamental do destino criam uma barreira estrutural que medidas técnicas de segurança, isoladamente, não conseguem superar.
Ter Cláusulas Contratuais Padrão em vigor garante transferências de dados em conformidade?
Não. A decisão do TikTok é a evidência mais clara contra essa suposição: o TikTok tinha SCCs e medidas suplementares em vigor, incluindo uma iniciativa de segurança de €12 bilhões, e ainda assim foi multado em €530 milhões porque a DPC irlandesa concluiu que essas medidas não tratavam do risco específico de acesso do governo chinês aos dados. SCCs são necessárias, mas não suficientes: precisam ser sustentadas por uma Avaliação de Impacto de Transferência genuína, que trate das leis reais do país de destino, e não por uma avaliação de risco padronizada.
Quais países possuem atualmente uma decisão de adequação da UE?
Em 2026, 17 jurisdições possuem decisões de adequação: Andorra, Argentina, Brasil, Canadá (apenas organizações comerciais), a Organização Europeia de Patentes, as Ilhas Faroé, Guernsey, Israel, Ilha de Man, Japão, Jersey, Nova Zelândia, Coreia do Sul, Suíça, Reino Unido, Estados Unidos (apenas organizações certificadas no DPF) e Uruguai. A decisão do Brasil, de janeiro de 2026, é a mais recente e o primeiro arranjo de adequação mútua, no qual ambos os lados reconheceram simultaneamente o regime um do outro.
O acesso remoto a dados a partir de um país de alto risco é considerado uma "transferência" sob o GDPR mesmo que os dados nunca saiam da Europa?
Sim. A decisão da DPC sobre o TikTok estabeleceu isso explicitamente: quando pessoal em um país terceiro (no caso, a China) acessa remotamente dados pessoais armazenados no EEE, esse próprio acesso constitui uma transferência sob o Capítulo V do GDPR, independentemente de onde os dados estejam fisicamente armazenados. Isso significa que uma organização pode ter todos os seus servidores na UE e ainda assim estar em violação se funcionários em uma jurisdição de alto risco puderem visualizar ou processar remotamente esses dados.
Com que frequência as decisões de adequação da UE mudam?
As decisões de adequação são revisadas em um ciclo de quatro anos sob o Artigo 97 do GDPR e podem ser alteradas, suspensas ou revogadas se a Comissão Europeia concluir que as proteções do país de destino se deterioraram, como ocorreu com o marco Privacy Shield dos EUA após a decisão Schrems II de 2020. A decisão de adequação do Reino Unido foi estendida até 2031 após o parecer do EDPB de outubro de 2025, mas o Conselho sinalizou explicitamente a evolução das leis de vigilância britânicas e uma possível divergência futura como motivos para "monitoramento contínuo", o que significa que mesmo decisões renovadas não têm garantia de permanecer estáveis por todo o seu prazo.
O que uma organização deve fazer se seus fluxos de dados incluem um destino de Nível 4 ou Nível 5 deste Índice?
Tratar o caso como exigindo aprovação de risco no nível do conselho, e não como um item padrão de checklist de conformidade. Construir uma Avaliação de Impacto de Transferência que nomeie e analise especificamente as leis de vigilância, segurança nacional e acesso a dados do destino, não apenas sua legislação geral de proteção de dados, e documentar por que as salvaguardas escolhidas resistiriam a uma constatação de que uma revisão genérica de segurança não substitui essa análise jurídica, exatamente como ocorreu na decisão do TikTok.
Resumo Final
O padrão mais claro entre os níveis de maior risco deste Índice é que a fiscalização das DPAs avançou decisivamente além da papelada contratual. As decisões do TikTok e da Yango constataram que uma organização pode ter SCCs, criptografia, controles de acesso e até programas de segurança de bilhões de euros em vigor e ainda assim enfrentar as maiores multas da história de transferências sob o GDPR, porque nenhuma das duas decisões dependeu de saber se a empresa se esforçou o suficiente. Ambas dependeram de saber se as próprias leis do país de destino poderiam obrigar o acesso aos dados, independentemente do que a empresa tivesse construído ao redor deles.
Para qualquer organização que esteja mapeando seus próprios fluxos internacionais de dados em 2026, a conclusão prática é estrutural, não apenas procedimental: saiba exatamente de onde seus dados podem ser acessados, não apenas onde estão armazenados, e trate todo destino nos Níveis 4 ou 5 deste Índice como exigindo uma avaliação de risco de transferência que enfrente as leis reais de acesso governamental do destino, não apenas uma assinatura padrão de SCC.
Organizações que precisam operacionalizar essa lição, e não apenas documentá-la, podem contar com o Mapeamento de Dados e ROPA e a Gestão de Fornecedores da Secure Privacy para registrar cada processador, seu país de hospedagem e o mecanismo de transferência que ele usa, sinalizando automaticamente lacunas de risco antes que virem multa. Veja como a Secure Privacy mapeia transferências internacionais de dados e as conecta à sua infraestrutura de consentimento e conformidade →
Sobre a Secure Privacy
A Secure Privacy é uma plataforma de gestão de consentimento e governança de privacidade para organizações que operam sob o GDPR, o EU AI Act, a CCPA e a legislação global de privacidade. A plataforma ajuda organizações a documentar fluxos de dados, gerenciar Avaliações de Impacto de Transferência e conectar registros de consentimento aos mecanismos de transferência internacional (SCCs, BCRs e dependência de adequação) que precisam deles.
Recursos relacionados:
- Mapa de Calor de Fiscalização do GDPR: 2º Trimestre de 2026
- O Que São Controles de Governança de IA?
- Como as Empresas Auditam o Uso de Dados por Sistemas de IA?
- Como as Empresas Gerenciam o Consentimento em Sites e Aplicativos?
- Multas e Penalidades do GDPR Explicadas
Publicado em 23 de junho de 2026. Localização para português brasileiro publicada em 6 de agosto de 2026.
