🔒

LGPD em Parcerias Sino-Brasileiras

Gestão de dados pessoais em projetos com contrapartes chinesas: LGPD vs. PIPL e como proteger sua empresa

Conformidade⏱ 2–4 semanas (implementação inicial)📋 5 etapas

Entender as duas leis: LGPD (Brasil) e PIPL (China)

Qualquer empresa brasileira que compartilha dados pessoais com contrapartes chinesas deve observar DUAS legislações simultaneamente: a LGPD (Lei Geral de Proteção de Dados, Lei 13.709/2018) no Brasil e a PIPL (Personal Information Protection Law, 个人信息保护法) na China, em vigor desde novembro de 2021. As duas têm princípios similares mas mecanismos distintos.

💡 Dicas práticas

•LGPD: multa de até 2% do faturamento brasileiro, limitada a R$ 50 milhões por infração
•PIPL: multa de até 5% do faturamento global da empresa, com possibilidade de suspensão de operações na China
•Ambas exigem base legal para tratamento de dados, direitos dos titulares e aviso de privacidade claro
•A PIPL tem requisitos específicos para transferência internacional de dados — mais restritiva que a LGPD

Mapear os fluxos de dados pessoais na parceria

Antes de implementar qualquer proteção, é necessário mapear quais dados pessoais são compartilhados com a contraparte chinesa, de quem são esses dados (clientes, funcionários, fornecedores?), qual a finalidade do compartilhamento e onde os dados são armazenados e processados.

💡 Dicas práticas

•Crie um ROPA (Record of Processing Activities) para cada integração de dados com a China
•Dados de funcionários brasileiros transferidos para sistemas chineses exigem consentimento ou base legal específica
•Dados de saúde e dados de menores são categorias sensíveis — exigem tratamento reforçado em ambas as leis
•Use um questionário de due diligence de privacidade para avaliar o nível de maturidade da contraparte chinesa

Estabelecer cláusulas contratuais de proteção de dados

Todo contrato com parceiro chinês que envolva dados pessoais deve incluir cláusulas de proteção de dados (DPAs — Data Processing Agreements). Essas cláusulas definem responsabilidades, finalidades de uso, medidas de segurança, prazos de retenção e obrigações em caso de incidente (data breach). Na China, a PIPL exige que contratos de transferência internacional sejam registrados com o CAC (Cyberspace Administration of China) para grandes volumes.

💡 Dicas práticas

•A ANPD (Autoridade Nacional de Proteção de Dados) publicou guias de cláusulas contratuais — use como base
•Inclua obrigação de notificação de incidente em 72 horas (padrão LGPD) e 24 horas (algumas exigências chinesas)
•Defina claramente quem é o controlador e quem é o operador dos dados
•Para JVs ou parcerias de longo prazo, considere um Data Transfer Agreement formal entre as entidades

Implementar medidas técnicas de segurança

Além das medidas contratuais, é necessário implementar controles técnicos para proteger os dados compartilhados com parceiros chineses. Isso inclui criptografia em trânsito e em repouso, controle de acesso baseado em função (RBAC), logs de auditoria e políticas de retenção e exclusão de dados.

💡 Dicas práticas

•Use VPN ou canais criptografados (TLS 1.3) para transferências de dados entre Brasil e China
•Implemente autenticação de dois fatores para acesso a sistemas compartilhados
•Realize assessment de segurança antes de integrar sistemas com parceiros chineses
•Tenha um plano de resposta a incidentes (Incident Response Plan) que cubra cenários de acesso não autorizado por parceiros

Nomear o DPO e criar a política de privacidade em português

A LGPD exige que controladores e operadores nomeiem um DPO (Encarregado de Proteção de Dados), que pode ser uma pessoa física ou jurídica, interna ou externa. A política de privacidade deve ser em português, de fácil entendimento, e mencionar explicitamente a transferência de dados para a China.

💡 Dicas práticas

•O DPO pode ser um advogado externo especializado em privacidade — não precisa ser colaborador CLT
•Registre o DPO na ANPD (processo online, gratuito)
•A política de privacidade deve citar explicitamente os países receptores dos dados, incluindo a China
•Revise a política ao menos uma vez por ano ou quando houver mudança significativa nos fluxos de dados

CBI 代理协调服务