El European Data Protection Board (EDPB) ha adoptado la Opinión 28/2025 en relación con el borrador de decisión de adecuación propuesto por la European Commission respecto a la protección de los datos personales en la Federative Republic of Brazil (Brasil).
Este acontecimiento marca un paso relevante dentro del marco jurídico de las transferencias internacionales de datos personales, y conviene analizar sus implicaciones para empresas y entidades que operan tanto en la UE como en Brasil.
Bajo el artículo 45 del Regulation (EU) 2016/679 (GDPR), la Comisión puede declarar que un país tercero ofrece un nivel de protección de datos “adecuado” — lo cual permite que las transferencias de datos personales desde el Espacio Económico Europeo (EEE) se realicen sin necesidad de garantías adicionales.
En este caso, el borrador de la decisión de adecuación para Brasil fue presentado el 5 de septiembre de 2025, y la EDPB emitió su opinión el 4 de noviembre de 2025
El EDPB valora positivamente el alineamiento de la legislación brasileña — principalmente la Lei Geral de Proteção de Dados (LGPD) — con el ordenamiento de la UE, en términos de principios de protección de datos, derechos de los interesados, gobernanza, transferencias internacionales y supervisión institucional.
No obstante, la Opinión incluye una serie de reservas y recomendaciones que conviene tener presentes:
- En materia de Evaluación de Impacto en la Protección de Datos (DPIA): la LGPD no impone de forma expresamente equivalente al GDPR la obligación de realizar DPIA cuando hay alto riesgo, lo que exige un seguimiento práctico.
- Respecto al alcance de las excepciones de la LGPD para las autoridades públicas — por ejemplo, procesamiento para fines de seguridad pública, defensa o investigación penal — se considera necesario que se clarifique su marco de aplicación y los poderes de supervisión del organismo regulador brasileño, la Agência Nacional de Proteção de Dados (ANPD).
- En cuanto a las transferencias posteriores (onward transfers) de los datos ya exportados a Brasil: se solicita que el borrador de decisión clarifique las condiciones de esas posibles re‐transferencias y las salvaguardas correspondientes.
- Por último, se subraya la necesidad de vigilancia por parte de la Comisión de la evolución legal y práctica en Brasil, dado que la adecuación debe mantenerse con el tiempo.
Implicaciones prácticas para el asesoramiento jurídico en España y la UE
Para los operadores jurídicos (y para tu despacho) que asesoran a empresas que realizan transferencias de datos entre la UE y Brasil, estas conclusiones tienen varias consecuencias de relevancia:
- Si finalmente la decisión de adecuación se adopta formalmente, las entidades de la UE podrán transferir datos personales a Brasil como si se tratara de un país del EEE, sin necesidad de cláusulas contractuales adicionales ni de aplicar otras garantías de carácter especial. Esto reduce significativamente la carga operativa de compliance.
- No obstante, la existencia de reservas por parte de la EDPB obliga a que los prestadores de servicios, responsables y encargados del tratamiento incorporen en sus políticas de protección de datos cláusulas que contemplen: (i) la supervisión continua de Brasil como “país tercero”, (ii) el análisis de riesgo en cada operación de transferencia, (iii) protocolos específicos para la re‐transferencia de datos, (iv) mecanismos internos que aseguren que el tratamiento en Brasil respeta los derechos de los interesados de forma equivalente.
- En los contratos internacionales y acuerdos de tratamiento, será aconsejable prever un «plan B» en caso de que la decisión de adecuación no se adopte o sea modificada posteriormente, incluyendo la posibilidad de aplicar cláusulas tipo de la Comisión, normas corporativas vinculantes (BCR) o garantías adicionales.
- Para el asesoramiento a consumidor‐empresa, debe informarse a los responsables de tratamiento del impacto que tiene este tipo de decisión de adecuación: mejor previsibilidad regulatoria, reducción de costes de comunicaciones internacionales, pero también la necesidad de asegurar la vigilancia regulatoria del país tercero.
- Por último, desde la perspectiva de la supervisión, las autoridades en la UE deberán estar atentas a que, aún con decisión de adecuación, los derechos de los interesados se respeten en Brasil, implicando en la práctica un seguimiento del funcionamiento real del marco brasileño.
La Opinión adoptada por el EDPB respecto al borrador de decisión de adecuación para Brasil representa un avance significativo en la cooperación internacional en materia de protección de datos personales. Para el sector jurídico y de cumplimiento normativo es una señal clara de que Brasil ha hecho progresos notables para alinearse con los estándares europeos.
No obstante, las reservas de la EDPB muestran que no estamos ante un cheque en blanco: será necesario seguir de cerca la ejecución práctica del marco brasileño, adaptar los contratos y cláusulas de transferencia, y garantizar que los datos de los ciudadanos europeos siguen estando protegidos de forma equivalente a como lo están en la UE.
En nuestro despacho, estamos preparados para acompañar a las empresas en esta nueva fase: desde la revisión de contratos de transferencia internacionales, hasta la elaboración de informes de impacto y adaptación de políticas de protección de datos en operaciones hacia o desde Brasil.
