Compartilhamento de dados: enviar planilha é uma operação completa
Compartilhamento ocorre quando dados são transmitidos, disponibilizados ou acessados por outro agente. A operação precisa de finalidade, base legal, necessidade, definição de papéis, transparência e medidas de segurança. Fornecedor, parceiro, empresa do grupo e autoridade pública não recebem automaticamente o mesmo regime.
A empresa costuma mapear banco e esquecer acesso: agência com login, suporte remoto e painel compartilhado já podem criar comunicação de dados mesmo sem “envio” de arquivo.
Por Giovanny Maciel, Sócio-fundador
Compartilhar dados não é uma operação neutra só porque as duas empresas assinaram contrato. Antes da transferência, é preciso saber para qual finalidade o terceiro receberá os dados, qual papel exerce e se o titular poderia razoavelmente compreender esse fluxo. A LGPD aplica princípios de finalidade, adequação, necessidade, transparência e segurança também ao compartilhamento.
Prestador de serviço e parceiro com finalidade própria são situações diferentes
Um fornecedor que hospeda um sistema seguindo instruções pode atuar como operador. Já uma empresa que recebe a base para decidir seus próprios usos pode assumir posição de controlador em relação a essas operações. O Guia da ANPD sobre agentes de tratamento ajuda a evitar que o contrato tente esconder funções reais.
A classificação importa porque muda instruções, transparência, atendimento de direitos e resposta a incidentes.
Compartilhar “porque ajuda o negócio” é finalidade insuficiente
A organização deve identificar qual resultado concreto depende da transferência e quais dados são necessários para alcançá-lo. Se o parceiro precisa apenas confirmar elegibilidade, talvez não precise receber todo o histórico do cliente.
O contrato organiza a cadeia, mas não substitui o diagnóstico
Cláusulas devem refletir papéis, finalidades, medidas de segurança, subcontratação, incidentes, direitos do titular e encerramento. A página de cláusulas de proteção de dados trata dessa tradução documental.
Quando o destinatário está em outro país ou o fluxo configura transferência internacional, a análise precisa incluir os mecanismos previstos na LGPD e na regulamentação da ANPD; veja transferência internacional.
Transparência não exige publicar arquitetura comercial inteira
O dever é permitir que o titular compreenda os aspectos relevantes do tratamento. Isso pode envolver categorias de destinatários, finalidades e canais para informações adicionais. O importante é evitar descrições vazias como “podemos compartilhar com parceiros confiáveis” quando, na prática, o ecossistema possui funções muito diferentes.
A revisão periódica fecha o ciclo: fornecedor encerrado precisa perder acesso e tratar cópias remanescentes conforme contrato e fundamento de retenção.
Acesso remoto também pode ser compartilhamento relevante
Nem todo fluxo exige exportar um arquivo. Permitir que consultoria, suporte ou empresa do grupo acesse o sistema pode produzir tratamento por terceiro e deve aparecer no mapa. Contas temporárias e acessos administrativos merecem prazo, responsável e revogação.
Reuso pelo destinatário precisa de limite claro
Se o terceiro recebeu dados para processar pagamento, não se presume autorização para criar audiência comercial própria. Quando existe finalidade independente, papéis e transparência precisam refletir isso. A empresa que envia os dados deve conhecer esse destino antes da transferência, não depois de uma reclamação.
Uma revisão periódica da lista de terceiros também evita “fornecedores fantasmas”: contratos encerrados cujas contas ou cópias continuam ativas por ausência de processo de saída.
Perguntas frequentes
Empresas do mesmo grupo podem compartilhar livremente?
Não. A relação societária não elimina finalidade, base legal, transparência, necessidade e responsabilidade.
É possível compartilhar para cumprir ordem pública?
Pode haver fundamento legal, mas a solicitação, o escopo e a autoridade competente devem ser verificados e documentados.