Não compartilhe informações de usuários com o exterior sem cuidado; o envio para fora exige requisitos legais e limites de quantidade

Passar informação de usuário do território para uma máquina no exterior se chama saída de dados, e servidor no exterior conta do mesmo jeito. Em geral é preciso passar pela avaliação de segurança do órgão de ciberespaço, ou fazer a certificação, ou assinar o contrato padrão. Se no ano o acumulado ficar abaixo de 100000 pessoas e não incluir informação sensível, as 3 ficam dispensadas. Também é preciso dizer ao usuário quem recebe no exterior e para que vai usar, e pedir o consentimento dele só para isso.

Custo

Não há custos. A forma mais simples e econômica é manter os dados dos usuários dentro do país. Caso seja realmente necessário enviá-los para o exterior, basta seguir os contratos padrão ou obter as certificações exigidas.

Benefício

Legalmente, repassar informações de usuários do país para empresas ou servidores no exterior é considerado “fornecimento de dados pessoais para o exterior”, e para isso é preciso atender a pelo menos um dos quatro requisitos: aprovação na avaliação de segurança do órgão regulador, certificação de proteção de dados por instituições especializadas, assinatura de contrato padrão definido por esse órgão ou cumprimento de outras exigências legais. É também obrigatório informar ao usuário: nome e contato do destinatário, finalidade e modo de tratamento dos dados, tipos de informações compartilhadas e como ele pode exercer seus direitos. Além disso, é necessário obter o “consentimento específico e individual” do usuário para esse envio. Os limites de quantidade variam conforme o total acumulado no ano. Empresas que não são operadoras de infraestrutura crítica de informação devem seguir a regra: “se o total acumulado de dados enviados para o exterior desde 1º de janeiro (1) do ano vigente for inferior a 100 mil pessoas (sem contar dados sensíveis), não há necessidade de seguir nenhum dos procedimentos acima”. Abaixo desse limite, não há obrigatoriedade de avaliação, contrato ou certificação. Entre 100 mil e 1 milhão de pessoas, é obrigatório assinar o contrato padrão ou obter certificação. Acima de 1 milhão de pessoas ou com mais de 10 mil dados sensíveis, é obrigatório solicitar a avaliação de segurança (vigente em todo o país desde março de 2024).

Notas

Ter um servidor no exterior não significa que os dados não foram enviados para fora. Se um usuário se cadastra no país e suas informações são transferidas para um servidor no exterior, isso já configura envio para o exterior. Existem exceções que dispensam a avaliação, certificação e contrato padrão: compras internacionais, envio de encomendas ao exterior e reservas de passagens ou hotéis, desde que sejam feitas para “celebrar ou cumprir um contrato do qual o usuário é parte”. Vale lembrar que a contagem de pessoas segue o critério “total acumulado desde 1º de janeiro (1) do ano vigente”, e não os últimos 12 meses.

Fontes · 3

1. 全国人大常委会 (2021). 个人信息保护法（第三十八、三十九、四十条）. spp.gov.cn/spp/fl/202108/t20210820_527244.shtml
2. 国家互联网信息办公室 (2024). 促进和规范数据跨境流动规定（网信办令第 16 号，第三、四、五、七、八条）. gov.cn/gongbao/2024/issue_11366/202405/conten…
3. 国家互联网信息办公室 (2022). 数据出境安全评估办法（网信办令第 11 号，第四条）. cac.gov.cn/2022-07/07/c_1658811536396503.htm