La Unión Europea y Brasil acuerdan facilitar mutuamente las transferencias internacionales de datos personales

Como es sabido, una de las características del modelo europeo de protección de datos personales es la necesidad de garantizar su tratamiento no sólo en la Unión Europea, sino más allá de sus fronteras cuando los datos son transferidos internacionalmente. Con tal fin, el Reglamento (UE) 2016/679, General de Protección de Datos, establece en sus artículos 44 y siguientes el régimen de las transferencias internacionales de datos a terceros países u organizaciones internacionales. Dichas transferencias deberán hacerse con garantía de que los datos serán protegidos en el lugar de destino de acuerdo a los estándares que fija la normativa europea. Para ello el RGPD establece varias vías, tales como la aprobación de decisiones de adecuación por parte de la Unión Europea o la exigencia de que las transferencias se lleven a cabo mediante garantías apropiadas.

Las decisiones de adecuación adoptadas hasta ahora no son muchas¹. Por orden cronológico desde 2000 hasta la fecha: Suiza, Canadá, Argentina, Guernsey, Isla de Man, Jersey, Islas Feroe, Andorra, Israel, Uruguay, Nueva Zelanda, Estados Unidos (en los términos del Data Privacy Framework), Japón, Reino Unido, República de Corea, la Organización Europea de Patentes y finalmente Brasil. La adopción de la decisión de adecuación de Brasil supone por tanto que, junto a Argentina y Uruguay, el grueso de los países de Mercosur² tienen la consideración de países adecuados, lo que supone que se ha generado la que quizá sea la mayor zona de intercambio seguro de datos personales del mundo. Según la Comisión Europea, sólo el acuerdo con Brasil beneficiará a un total combinado de 670 millones de consumidores en toda la UE y Brasil.

La situación con Brasil es, además, peculiar, pues no sólo se ha aprobado por parte de la Comisión Europea la decisión de adecuación respecto de dicho país, sino que éste, a su vez, a través de su Autoridad de Protección de Datos³, ha adoptado, en base a su Ley de Protección de Datos de 2018⁴, el acuerdo relativo a las transferencias internacionales desde allá a los Estados miembros de la Unión Europea⁵. Se ha facilitado por tanto el flujo bidireccional de datos, lo que sin duda supone un paso de enorme interés económico y geopolítico para ambas partes. Este hecho es de una importancia capital para los inversores europeos en Brasil y para los brasileños en la Unión Europea. A partir de ahora el intercambio de datos personales podrá llevarse a cabo sin las trabas que antes existían, con un régimen muy semejante al de las comunicaciones de datos entre los Estados miembros de la UE. Los costes de todo tipo, por tanto, van a reducirse notablemente, pero sin afectar a las garantías exigibles para el pleno respeto a la protección de datos personales.

La decisión de adecuación de Brasil adoptada por la Comisión[6] analiza el marco constitucional y legal de dicho país, con especial atención a la Ley de 2018 y a la reforma que llevó a cabo la Ley n°13.853 de 2019 por la que se creó la Agência Nacional de Proteção de Dados, ‘ANPD’. Tras un exhaustivo análisis, superar el rígido procedimiento previsto en el RGPD y contar con el informe favorable del Comité Europeo de Protección de Datos[7], la Comisión llega a la conclusión de que Brasil, a través de su Ley de Protección de Datos, garantiza un nivel de protección de los datos personales transferidos desde la Unión Europea que es esencialmente equivalente al garantizado por el RGPD. Además, la Comisión “considera que, en su conjunto, los mecanismos de supervisión y las vías de recurso previstos en la legislación brasileña permiten identificar y abordar en la práctica las posibles infracciones de las normas de protección de datos por parte de los responsables y encargados del tratamiento en Brasil, y ofrecen recursos legales a los interesados para obtener acceso a sus datos personales y, en su caso, la rectificación o supresión de dichos datos”. Por último, la Comisión “considera que cualquier injerencia en el interés público, en particular con fines de aplicación de la legislación penal y de seguridad nacional, por parte de las autoridades públicas brasileñas en los derechos fundamentales de las personas cuyos datos personales se transfieren de la Unión Europea a Brasil se limitará a lo estrictamente necesario para alcanzar el objetivo legítimo en cuestión, y que existe una protección jurídica eficaz contra dicha injerencia”.

En conclusión, las decisiones de la UE y de Brasil abren una posibilidad de enorme interés para los flujos de datos, y facilita los intercambios comerciales y económicos entre ambos con plenas garantías para la protección de la privacidad. Permiten, además, impulsar notablemente el acuerdo entre la UE y Mercosur dado que, junto con Brasil, también Argentina y Uruguay son países que cuentan con decisión de adecuación.

[1] Pueden consultarse en https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/adequacy-decisions_en y en la página web de la AEPD: https://www.aepd.es/preguntas-frecuentes/6-transferencias-internacionales-bcr-codigos-de-conducta/1-transferencias-internacionales/FAQ-0605-que-paises-se-consideran-con-un-nivel-adecuado-a-efectos-del-articulo-45-del-rgpd

[2] Además de los citados, son parte de Mercosur Paraguay, Bolivia y Venezuela, si bien esta última se encuentra en estos momentos suspendida en todos sus derechos y obligaciones. Puede consultarse https://www.mercosur.int/  

[3] https://www.gov.br/anpd/pt-br/assuntos/noticias/brasil-e-uniao-europeia-reconhecem-adequacao-mutua-em-protecao-de-dados-pessoais

[4] Ley nº 13.709, de 14 de agosto de 2018: https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm

[5] Resolución de la Agencia brasileña de nº 32, de 26 de enero de 2026. Puede consultarse en https://in.gov.br/web/dou/-/resolucao-n-32-de-26-de-janeiro-de-2026-683334547

[6] https://commission.europa.eu/document/5e457271-4292-4b47-bb10-b6b6cb6700e1_en

[7] Opinion 28/2025 regarding the European Commission Draft Implementing Decision pursuant to Regulation (EU) 2016/679 on the adequate protection of personal data by Brazil. Puede consultarse en  https://www.edpb.europa.eu/our-work-tools/our-documents/opinion-art-70/opinion-282025-regarding-european-commission-draft_es