Le 27 janvier 2026, la Commission européenne et l’Autorité nationale brésilienne de protection des données (ANPD) ont adopté des décisions d’adéquation mutuelles, reconnaissant que le Brésil et l’Union européenne offrent des niveaux de protection des données personnelles substantiellement équivalents. Cette décision, très attendue par les entreprises entretenant des flux de données avec le Brésil, simplifie sensiblement le cadre applicable aux transferts transatlantiques de données.
Rappel : qu’est-ce qu’une décision d’adéquation ?
Aux termes de l’article 45 du Règlement général sur la protection des données (RGPD), la Commission européenne peut constater qu’un pays tiers ou une organisation internationale assure un niveau de protection des données personnelles adéquat au regard des exigences européennes. Cette constatation tient compte de la législation interne du pays concerné, de l’existence d’une autorité de contrôle indépendante et effective, ainsi que des engagements internationaux souscrits.
Une fois adoptée, la décision d’adéquation autorise le transfert de données personnelles depuis l’Union européenne vers le pays ou l’organisation concernée sans qu’il soit nécessaire de mettre en œuvre un mécanisme d’encadrement supplémentaire, tel que des clauses contractuelles types (CCT), des règles d’entreprise contraignantes (BCR) ou une dérogation prévue à l’article 49 du RGPD.
À ce jour, la Commission européenne reconnaît une vingtaine de pays et organisations comme assurant une protection adéquate, parmi lesquels le Canada, le Japon, la Corée du Sud et le Royaume-Uni.
Une reconnaissance mutuelle et inédite
La décision du 27 janvier 2026 présente une particularité notable : elle est mutuelle. D’un côté, la Commission européenne constate que les données transférées vers le Brésil bénéficient d’un niveau de protection substantiellement équivalent à celui garanti par le droit de l’Union. De l’autre, l’ANPD a, par une résolution propre, reconnu que l’Union européenne offre un niveau de protection compatible avec la loi brésilienne de protection des données, la Lei Geral de Proteção de Dados (LGPD).
Cette reconnaissance croisée fait suite à un processus d’évaluation engagé le 5 septembre 2025, lorsque la Commission a saisi le Comité européen de la protection des données (CEPD) afin qu’il apprécie si le cadre juridique brésilien — notamment les règles encadrant l’accès des autorités publiques aux données transférées depuis l’Europe — offrait des garanties essentiellement équivalentes à celles du droit de l’Union.
L’avis du CEPD : une convergence saluée, sous réserve de points de vigilance
Le 4 novembre 2025, le CEPD a adopté à l’unanimité son avis sur le projet de décision d’adéquation. Le Comité y relève une étroite convergence entre la LGPD et le RGPD, ainsi qu’une cohérence avec la jurisprudence de la Cour de justice de l’Union européenne. Il constate également que les garanties prévues par le droit brésilien sont, dans l’ensemble, effectives et opérationnelles.
Le CEPD a néanmoins invité la Commission à assurer un suivi particulier sur plusieurs points :
- l’obligation de réaliser des analyses d’impact relatives à la protection des données (AIPD) ;
- les limitations potentielles à la transparence liées au secret des affaires et au secret industriel ;
- les règles encadrant les transferts ultérieurs de données depuis le Brésil vers des pays tiers.
Le Comité a par ailleurs noté que la LGPD ne s’applique pas, en principe, aux traitements réalisés par les autorités publiques à des fins exclusives de sécurité publique, de défense nationale, de sûreté de l’État ou d’enquêtes et de poursuites pénales — tout en saluant son applicabilité partielle aux traitements liés aux enquêtes criminelles et au maintien de l’ordre, conformément à la jurisprudence du Tribunal suprême fédéral brésilien.
Quelles conséquences pratiques pour les entreprises ?
Pour les entreprises françaises et européennes entretenant des relations avec des responsables de traitement ou sous-traitants établis au Brésil — filiales, prestataires, partenaires commerciaux —, cette décision présente un intérêt opérationnel direct : les transferts de données personnelles vers ces destinataires peuvent désormais s’appuyer sur le fondement de l’article 45 du RGPD, sans qu’il soit nécessaire de conclure des clauses contractuelles types pour ce seul motif.
Il convient toutefois de conserver à l’esprit qu’une décision d’adéquation ne dispense pas du respect des autres obligations du RGPD. Les responsables de traitement demeurent tenus de :
- cartographier leurs flux de données à caractère personnel à destination du Brésil ;
- identifier précisément les destinataires et la nature des données transférées ;
- vérifier que les traitements concernés relèvent effectivement du champ d’application de la LGPD, et non des exceptions relatives à la sécurité publique ou aux enquêtes pénales évoquées ci-dessus ;
- suivre les évolutions du cadre brésilien, la Commission européenne procédant à un réexamen périodique de ses décisions d’adéquation.
Conclusion
La décision d’adéquation Brésil-UE du 27 janvier 2026 constitue une avancée significative pour les entreprises entretenant des flux de données avec ce pays, en simplifiant le cadre juridique applicable aux transferts. Elle ne se substitue cependant pas à un audit préalable des flux existants ni à une vérification de la nature exacte des traitements concernés.
Le cabinet accompagne les entreprises françaises et internationales dans la cartographie de leurs transferts de données hors Union européenne et la mise en conformité de leurs traitements avec le RGPD. N’hésitez pas à nous contacter pour tout accompagnement en la matière.
Source officielle : CNIL — Après l’Office européen des brevets, le Brésil bénéficie d’une décision d’adéquation de la Commission européenne
Pour approfondir ce sujet : RGPD : quels documents pour la conformité interne et externe de l’entreprise ?.
Découvrez également les domaines d’intervention du cabinet en droit des affaires.