Contratos e LGPD: cláusulas essenciais para fornecedores e prestadores de serviços

Introdução

A adequação à Lei Geral de Proteção de Dados não está apenas em políticas internas, avisos de privacidade ou termos publicados no site da empresa. Uma parte importante da conformidade está nos contratos firmados com fornecedores e prestadores de serviços.

Na rotina empresarial, é comum que terceiros tenham acesso a dados de clientes, colaboradores, usuários, pacientes, leads, consumidores ou parceiros comerciais. Isso acontece em contratos com empresas de tecnologia, softwares de gestão, contabilidades, agências de marketing, plataformas digitais, operadores logísticos, empresas de cobrança, call centers, consultorias, clínicas, escritórios terceirizados e muitos outros prestadores.

O problema é que, muitas vezes, esses contratos tratam apenas de preço, prazo, entrega e responsabilidade comercial, mas deixam de regular de forma clara o uso dos dados pessoais. Em caso de vazamento, acesso indevido, uso irregular, falha de segurança ou subcontratação não autorizada, a ausência de cláusulas específicas pode gerar riscos jurídicos, financeiros e reputacionais relevantes.

A LGPD, Lei nº 13.709/2018, exige que o tratamento de dados observe princípios como finalidade, necessidade, segurança, prevenção, transparência, responsabilização e prestação de contas, previstos no art. 6º. Por isso, contratos empresariais que envolvem dados pessoais precisam prever obrigações claras sobre proteção de dados, especialmente quando houver relação entre controlador, operador e eventuais suboperadores.

A cláusula de LGPD não deve ser tratada como um texto genérico inserido ao final do contrato. Ela precisa funcionar como instrumento de organização da relação, distribuição de responsabilidades e prevenção de riscos.

Controlador e operador: por que essa diferença importa

Antes de redigir qualquer cláusula, é necessário entender o papel de cada parte.

O art. 5º, VI, da LGPD define controlador como a pessoa natural ou jurídica a quem competem as decisões sobre o tratamento de dados pessoais. Já o operador, conforme art. 5º, VII, é quem realiza o tratamento em nome do controlador.

Na prática, o controlador decide por que os dados serão tratados, para qual finalidade e de que forma essencial isso ocorrerá. O operador executa o tratamento conforme as instruções recebidas.

Essa distinção é importante porque nem todo fornecedor será automaticamente operador. Um prestador pode ser operador em determinado contrato e controlador em outro, dependendo do grau de autonomia que possui sobre os dados. Por isso, a análise deve considerar a realidade da operação, e não apenas o nome atribuído no contrato.

Um software contratado para processar a folha de pagamento, por exemplo, tende a atuar como operador dos dados dos empregados da contratante. Já uma empresa que utiliza os dados recebidos para finalidades próprias, combinando bases ou definindo novos usos, pode assumir posição de controladora independente ou até de controladora conjunta, conforme o caso.

O contrato deve deixar isso claro. A omissão cria insegurança e dificulta a responsabilização em caso de incidente ou uso irregular dos dados.

Finalidade e limites do tratamento

Uma cláusula bem construída deve explicar quais dados serão tratados, para qual finalidade, por quanto tempo e dentro de quais limites.

A LGPD exige que o tratamento tenha finalidade legítima, específica e informada. Também exige que sejam tratados apenas os dados necessários para atingir essa finalidade. Isso decorre dos princípios da finalidade e da necessidade, previstos no art. 6º, I e III, da LGPD.

Por isso, o fornecedor não deve receber autorização ampla para usar os dados livremente. O contrato deve estabelecer que os dados pessoais somente poderão ser utilizados para execução do serviço contratado, sendo vedado o uso para finalidades próprias, comerciais, publicitárias, estatísticas, treinamento de sistemas, compartilhamento com terceiros ou enriquecimento de base, salvo autorização expressa e base legal adequada.

Essa previsão é especialmente relevante em contratos com empresas de marketing, tecnologia, atendimento, cobrança, recursos humanos, saúde, educação e plataformas digitais, nos quais o volume de dados pode ser elevado e o risco de uso secundário é maior.

Instruções documentadas e dever de cooperação

O art. 39 da LGPD estabelece que o operador deve realizar o tratamento de dados conforme as instruções fornecidas pelo controlador. Esse dispositivo é um dos pontos centrais dos contratos com fornecedores que atuam como operadores.

Na prática, isso significa que o prestador não pode alterar a finalidade do tratamento, ampliar o uso dos dados ou compartilhar informações sem orientação ou autorização da contratante. O tratamento deve seguir instruções documentadas.

Essa cláusula também tem importância probatória. Em eventual fiscalização, incidente ou discussão judicial, a empresa poderá demonstrar que havia regras formais, limites definidos e controle sobre a atuação do operador.

Além disso, o contrato deve prever dever de cooperação. Se houver solicitação de titular, questionamento da ANPD, necessidade de relatório, auditoria ou investigação de incidente, o fornecedor deve colaborar com a contratante e fornecer as informações necessárias.

Confidencialidade e segurança da informação

A confidencialidade é uma das cláusulas mais importantes em contratos que envolvem dados pessoais.

O fornecedor deve assumir obrigação de sigilo sobre todos os dados acessados em razão do contrato. Esse dever deve alcançar seus sócios, empregados, colaboradores, prepostos e eventuais terceiros autorizados. Também deve permanecer mesmo após o encerramento da relação contratual.

Além da confidencialidade, o contrato precisa prever medidas de segurança. O art. 46 da LGPD determina que os agentes de tratamento adotem medidas técnicas e administrativas aptas a proteger os dados pessoais contra acessos não autorizados, perda, destruição, alteração, comunicação indevida ou qualquer forma de tratamento inadequado ou ilícito.

Por isso, cláusulas genéricas como “as partes cumprirão a LGPD” são insuficientes. O ideal é prever obrigações mínimas, como controle de acesso, gestão de senhas, restrição de permissões, backup, proteção contra acessos indevidos, registro de operações, treinamento de equipe, segurança de sistemas e comunicação imediata de falhas.

A intensidade dessas medidas deve acompanhar o risco do contrato. Um fornecedor que acessa dados sensíveis ou grandes bases de clientes exige um nível de controle maior do que um prestador com acesso eventual e limitado.

Incidente de segurança: o contrato precisa prever o que fazer

Nenhuma empresa está imune a incidentes de segurança. Vazamentos, acessos indevidos, ataques cibernéticos, envio equivocado de documentos, perda de dispositivos, falhas de sistema e uso irregular de credenciais são situações possíveis em qualquer cadeia empresarial.

O art. 48 da LGPD prevê que o controlador deve comunicar à Autoridade Nacional de Proteção de Dados e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante. Por isso, quando o incidente ocorre dentro do ambiente do fornecedor, a contratante precisa ser avisada rapidamente.

O contrato deve prever que o fornecedor comunique qualquer suspeita ou confirmação de incidente em prazo curto, preferencialmente com informações mínimas sobre o ocorrido, dados afetados, titulares envolvidos, sistemas atingidos, medidas de contenção e providências adotadas.

Também é recomendável estabelecer dever de preservação de evidências, cooperação técnica, apoio na investigação e auxílio na elaboração de respostas à ANPD ou aos titulares, quando necessário.

Sem essa cláusula, a empresa pode descobrir o incidente tarde demais, quando o dano já se agravou e a resposta regulatória se tornou mais difícil.

Suboperadores e subcontratação

Outro ponto sensível é a subcontratação.

Muitos fornecedores utilizam terceiros para executar parte do serviço: provedores de nuvem, sistemas de atendimento, plataformas de disparo de mensagens, ferramentas de analytics, suporte técnico, gateways de pagamento ou equipes terceirizadas.

Quando esses terceiros também acessam dados pessoais, surge uma cadeia de tratamento que precisa ser controlada. Embora a LGPD não utilize expressamente o termo “suboperador”, ele é amplamente utilizado na prática contratual para designar o terceiro contratado pelo operador para realizar parte do tratamento.

O contrato deve prever se a subcontratação é permitida, se depende de autorização prévia, quais informações devem ser fornecidas e se o fornecedor continuará responsável pelos atos de seus subcontratados.

Também é importante exigir que os suboperadores assumam obrigações equivalentes às previstas no contrato principal, especialmente quanto à confidencialidade, segurança, finalidade, incidente e eliminação de dados.

Essa cautela evita que dados da empresa circulem por terceiros desconhecidos, sem controle contratual mínimo.

Auditoria e prestação de contas

A LGPD adota o princípio da responsabilização e prestação de contas, previsto no art. 6º, X. Em termos simples, isso significa que a empresa não deve apenas cumprir a lei, mas ser capaz de demonstrar que cumpre.

Nos contratos, esse princípio pode ser aplicado por meio de cláusulas de auditoria e fornecimento de evidências. A contratante pode prever o direito de solicitar informações, relatórios, documentos, questionários, certificações, registros e comprovações de medidas de segurança.

A auditoria deve ser proporcional ao risco. Nem todo fornecedor precisa ser submetido a auditoria complexa. Em muitos casos, a apresentação de documentos e respostas técnicas pode ser suficiente. Em contratos mais sensíveis, porém, pode ser necessário prever controles mais rigorosos.

O objetivo não é criar burocracia excessiva, mas garantir que a empresa tenha meios de verificar se os dados estão sendo tratados com segurança e dentro dos limites contratados.

Responsabilidade e encerramento do contrato

O contrato também deve disciplinar responsabilidade por danos, custos e prejuízos decorrentes de descumprimento da LGPD.

O art. 42 da LGPD prevê que controlador ou operador que causar dano patrimonial, moral, individual ou coletivo em violação à legislação de proteção de dados é obrigado a repará-lo. No contrato, é possível estabelecer obrigações de indenização, ressarcimento de despesas, multas contratuais, rescisão por justa causa e dever de cooperação em defesas administrativas ou judiciais.

Outro ponto importante é o destino dos dados após o fim do contrato. O fornecedor deve devolver ou eliminar os dados pessoais, conforme orientação da contratante, salvo quando houver obrigação legal ou regulatória de retenção.

Essa previsão evita que bases de dados permaneçam armazenadas indefinidamente com antigos prestadores, sem necessidade, controle ou finalidade legítima.

Conclusão

Contratos com fornecedores e prestadores de serviços precisam acompanhar a realidade da economia digital. Hoje, contratar uma empresa não significa apenas transferir uma obrigação comercial. Muitas vezes, significa permitir acesso a dados pessoais de clientes, empregados, consumidores, usuários ou parceiros.

Por isso, cláusulas de LGPD deixaram de ser detalhe formal. Elas são instrumentos de proteção jurídica, organização empresarial e redução de riscos.

Um contrato bem estruturado deve definir o papel das partes, delimitar finalidades, restringir o uso dos dados, prever confidencialidade, segurança da informação, comunicação de incidentes, regras para subcontratação, auditoria, responsabilidade e eliminação dos dados ao final da relação.

Empresas que tratam a LGPD apenas como política interna deixam descoberta uma parte essencial da sua operação: a cadeia de fornecedores. A conformidade real passa pelos contratos, pela governança e pela capacidade de demonstrar que os dados pessoais estão sendo tratados com segurança, finalidade e responsabilidade.

A revisão contratual com foco em proteção de dados é, portanto, uma medida preventiva relevante para empresas que contratam softwares, plataformas digitais, contabilidades, agências, consultorias, operadores logísticos, empresas de atendimento, prestadores de tecnologia ou qualquer terceiro que tenha acesso a dados pessoais.

Mais do que evitar sanções, a adequação contratual protege o negócio, preserva a confiança dos clientes e reduz riscos em relações comerciais cada vez mais dependentes de dados.

O Escritório Dartagnan & Stein Sociedade de Advogados atua de forma estratégica em demandas cíveis, empresariais, patrimoniais, imobiliárias, bancárias, tributárias, trabalhistas patronais, sucessórias, familiares e de proteção de dados, com atendimento técnico e possibilidade de atuação em nível nacional nos casos compatíveis com tramitação digital e análise documental.

Dra. Carolina Thaís Christmann

Dartagnan & Stein Sociedade de Advogados

WhatsApp: (51) 99727-1715

Site: www.dartagnanestein.com.br

Referências

BRASIL. Lei nº 13.709, de 14 de agosto de 2018. Lei Geral de Proteção de Dados Pessoais. Diário Oficial da União: Brasília, DF, 15 ago. 2018.

BRASIL. Autoridade Nacional de Proteção de Dados. Guia orientativo para definições dos agentes de tratamento de dados pessoais e do encarregado. Brasília, DF: ANPD, 2025.

BRASIL. Autoridade Nacional de Proteção de Dados. Resolução CD/ANPD nº 15, de 24 de abril de 2024. Aprova o Regulamento de Comunicação de Incidente de Segurança. Brasília, DF: ANPD, 2024.

BRASIL. Autoridade Nacional de Proteção de Dados. Resolução CD/ANPD nº 18, de 16 de julho de 2024. Aprova o Regulamento sobre a atuação do encarregado pelo tratamento de dados pessoais. Brasília, DF: ANPD, 2024.

BRASIL. Autoridade Nacional de Proteção de Dados. Resolução CD/ANPD nº 19, de 23 de agosto de 2024. Aprova o Regulamento de Transferência Internacional de Dados e o conteúdo das cláusulas-padrão contratuais. Brasília, DF: ANPD, 2024.