Cláusulas de proteção de dados: o risco muda conforme o contrato
Cláusulas de proteção de dados distribuem deveres entre as partes quando um contrato envolve coleta, acesso, compartilhamento ou armazenamento de dados pessoais. O conteúdo depende do papel de cada parte, do risco e do fluxo. Relações entre controladores exigem disciplina diferente de uma relação controlador-operador.
O mesmo anexo LGPD usado para fornecedor, parceiro comercial e plataforma pode contradizer a realidade em três contratos ao mesmo tempo. A cláusula precisa nascer do fluxo de dados.
Por Giovanny Maciel, Sócio-fundador
Cláusula de proteção de dados útil descreve a operação entre as partes; não é um parágrafo genérico dizendo que todos “cumprirão a LGPD”. O contrato deve traduzir papéis, instruções, segurança, incidentes, subcontratação, atendimento de direitos e destino dos dados quando a relação termina.
Comece pela realidade do serviço
Antes de escrever, identifique quais dados o fornecedor recebe, que sistemas usa, quem decide finalidades e se existem suboperadores. O Guia da ANPD sobre agentes de tratamento reforça que controlador e operador são definidos pelas atividades concretas.
Uma cláusula que chama o fornecedor de operador não resolve a situação em que ele reutiliza dados para finalidade própria.
Incidente precisa de fluxo, não de frase “imediatamente”
O contrato deve prever canal de comunicação, informações mínimas, preservação de evidências e cooperação para investigação. Prazos internos precisam ser compatíveis com a capacidade do controlador de cumprir deveres regulatórios.
Também é relevante disciplinar auditoria ou evidências de segurança de forma proporcional. Exigir “certificação máxima” de todo fornecedor pode ser inviável; aceitar apenas declaração genérica pode ser insuficiente para operação crítica.
O fim do contrato é parte do tratamento
Devolução, migração, exclusão, retenções legalmente justificadas e backups devem ser tratados antes do encerramento. Essa etapa conecta o contrato à política de retenção e descarte.
Para fornecedores que efetivamente tratam dados por instrução do controlador, veja também contrato com operador, que aprofunda governança, subcontratação e fluxo internacional.
Responsabilidade genérica não substitui obrigação operacional
Cláusulas que apenas repetem indenização ampla podem discutir quem paga depois do problema, mas não ajudam a evitá-lo. É mais útil definir quem recebe pedido de titular, quem preserva logs, quem aprova suboperador e quem confirma exclusão ao término.
Anexo de tratamento pode manter o contrato legível
Quando o serviço envolve várias categorias de dados e sistemas, um anexo técnico permite atualizar detalhes sem esconder a operação em dezenas de páginas comerciais. Esse documento pode concentrar finalidade, categorias, duração, subcontratados relevantes e medidas de segurança, mantendo coerência com o contrato principal.
Mudanças materiais devem ter procedimento de notificação e avaliação. Aceitar automaticamente novos usos pelo simples fato de o fornecedor atualizar termos online pode alterar o tratamento sem decisão consciente do controlador.
Cláusula útil também prevê o fim da relação. Devolução ou eliminação de dados, retenções juridicamente necessárias, revogação de acessos e tratamento de cópias de segurança precisam ter destino claro. Sem essa saída, o contrato regula bem a entrada e mal o encerramento do tratamento.
Perguntas frequentes
Cláusula LGPD elimina responsabilidade?
Não. Ela organiza deveres, regresso e cooperação, mas não afasta obrigações legais perante titulares e autoridade.
É preciso prever multa específica?
Pode ser útil, mas valor e gatilho devem ser proporcionais e não substituir obrigação de corrigir, cooperar e indenizar quando cabível.