Como a LGPD afeta contratos empresariais?

Papéis: controlador e operador

Controlador é quem decide sobre o tratamento; operador é quem trata em nome do controlador. A distinção importa porque o operador deve seguir as instruções do controlador, e o controlador deve verificar se elas foram seguidas. Um fornecedor de software de folha, uma transportadora que recebe endereços de clientes e uma agência de marketing que dispara e-mails são operadores da empresa contratante, e o contrato é o instrumento que fixa as instruções.

Quando as duas empresas decidem juntas sobre os dados, como em parceria comercial, ambas são controladoras e o contrato precisa dividir responsabilidades de outro modo.

Cláusulas que o contrato precisa ter

A obrigação de comunicar incidente de segurança relevante à autoridade e aos titulares é do controlador; se o operador demora a avisar, é o contratante que descumpre a lei. Daí a lista:

• Finalidade e limites do tratamento, com proibição de uso para fins próprios do operador
• Medidas de segurança técnicas e administrativas exigidas e o direito de auditar
• Comunicação de incidente ao contratante em prazo definido, para que ele avise a ANPD e os titulares
• Subcontratação de outros operadores só com autorização e com as mesmas obrigações
• Transferência internacional, quando o fornecedor armazena dados fora do país
• Devolução ou eliminação dos dados ao fim do contrato, com comprovação

Responsabilidade e sanções

Controlador ou operador que causa dano ao titular é obrigado a repará-lo, e o operador responde solidariamente quando descumpre a lei ou as instruções lícitas do controlador. A ANPD pode aplicar advertência, multa simples de até dois por cento do faturamento no Brasil, limitada a cinquenta milhões de reais por infração, bloqueio e eliminação dos dados, entre outras sanções. O contrato não elimina essa exposição, mas define quem arca com ela entre as partes e dá ao contratante o direito de regresso.

Cláusula genérica não é conformidade

Uma frase dizendo que as partes cumprirão a LGPD não prova nada perante a ANPD nem perante o titular. O que demonstra diligência é o registro das operações de tratamento, a base legal identificada para cada finalidade, o encarregado nomeado e o contrato específico com cada operador. Revisar contratos antigos para inserir essas cláusulas costuma ser a primeira tarefa de um projeto de adequação, antes mesmo da política de privacidade.