Ana Carolina Paes de Mello

A nova Lei Geral de Proteção de Dados (LGPD – Lei 13.709/2018), sancionada em 14 de agosto de 2018 e atualmente em vacatio legis, deverá entrar em vigor em agosto de 2020 e se aplicará a todos os negócios, sejam eles digitais ou não.
Segundo seu art. 1º, ela dispõe sobre o tratamento e proteção de dados pessoais, “inclusive nos meios digitais, por pessoa natural ou por pessoa jurídica de direito público ou privado, com o objetivo de proteger os direitos fundamentais de liberdade e de privacidade e o livre desenvolvimento da personalidade da pessoa natural”¹.
Não há dúvida que, uma vez implementada, a LGPD impactará a forma de tratar dados pessoais daqui em diante. E uma maneira de entender e se adaptar a essas mudanças é olhar o que tem sido feito na Comunidade Europeia com relação à GDPR.
<ul class="jota-article__internal-links">
<li>+JOTA: <a href="https://www.jota.info/assine">Assine o JOTA e não deixe de ler nenhum destaque!</a></li>
</ul>
Isso porque a LGPD se inspira em muitos aspectos na europeia GDPR (ou Regulamento Geral de Proteção de Dados²), que completou um ano em vigor em 25 de maio de 2019. A GDPR se aplica não só à Comunidade Europeia em si, como a todas as empresas que operam no espaço econômico europeu.
Dentre os muitos aspectos em comum das duas leis, este artigo foca na relação entre as pessoas do Controlador, a pessoa natural ou jurídica, de direito público ou privado, a quem competem as decisões referentes ao tratamento de dados pessoais, e o Operador, pessoa natural ou jurídica, de direito público ou privado, que realiza o tratamento de dados pessoais em nome do Controlador.
Tanto Controlador quanto Operador são considerados Agentes de Tratamento, ou seja, são eles que recebem e processam os dados que devem ser protegidos, sendo o Controlador o receptor original e o Operador seu agente terceirizado.
Por isso, além de exigir o aprimoramento da gestão de dados na condução de negócios, a lei requer que as empresas se protejam quando o tratamento de dados é feito por terceiros.
Conforme os artigos 42 a 45 da LGPD, que tratam da responsabilidade e ressarcimento de danos pelos Agentes de Tratamento, os Controladores respondem solidariamente quando estiverem diretamente envolvidos no processamento dos dados que causaram danos ao titular. Por outro lado, o Operador será solidariamente responsável pelos danos causados ​​pelo processamento quando não cumprir as obrigações da LGPD ou quando não seguir as instruções do Controlador.
Tanto Controlador quanto Operador não serão considerados responsáveis quando não realizaram o tratamento que lhes é atribuído, quando no tratamento não houve violação de dados ou que o dano é decorrente de culpa do titular ou de terceiros.
<h3 align="justify">O DPA</h3>
Na GDPR, o artigo 28 (3) demanda que esta relação esteja acordada por escrito, estabelecendo os detalhes definidos entre as partes.
Para tanto, no ambiente de aplicação da GDPR, instituiu-se o Data Processing Agreement ou Addendum (DPA)³, que seria um Contrato de Processamento de Dados, ou aditivo a um contrato pré-existente. Ele deve regular as particularidades da coleta e processamento de dados, garantindo que todas as partes envolvidas estejam tratando os dados da maneira adequada – incluindo escopo e propósito da coleta e processamento - e atendendo aos requerimentos da lei.
Apesar da LGPD não exigir um contrato escrito entre as partes, como é o caso da GDPR, o DPA ajuda a documentar e garantir que todas as partes estão cumprindo com o combinado no resguardo dos dados que devem ser protegidos.
Assim, é importante garantir que há compliance das partes com relação ao tratamento de dados. Caso haja um vazamento de dados devido à quebra de procedimento, o DPA entre Controlador e Operador garantirá que houve diligência das partes com relação aos procedimentos a observar, resguardando-os juridicamente.
<h3 align="justify">Quem deve assinar o DPA?</h3>
Todos os Controladores que confiam dados pessoais recebidos a terceiros devem assinar um DPA com seus Operadores e os Operadores com seus Sub-Operadores, caso esta informação seja passada para frente.
Seja esta informação dados pessoais de funcionários com relação à folha de pagamento processada por terceiros, ou dados coletados de clientes em seu website e processados por um subcontratado, o DPA é o documento ideal para resguardar as partes.
Ainda que não seja capaz de evitar o vazamento de dados, o DPA impinge responsabilidade às partes que o assinam.
Neste ponto, o DPA é tão importante para pequenos negócios, que se utilizam muito mais dos serviços de terceiros, quanto para grandes empresas.
<h3 align="justify">O que devem constar do DPA?</h3>
Além dos itens genéricos que devem constar de qualquer contrato – partes, objeto, escopo, termo, rescisão, confidencialidade, entre outros - os artigos 28 a 36 da GDPR estabelecem algumas diretrizes com relação ao conteúdo destes contratos ou aditivos, que podem servir de base para futuros acordos dentro da LGPD, devido à semelhança.
Devem constar do DPA:
<ul>
<li>
Quais as informações que serão processadas;
</li>
<li>
Por quanto tempo as informações serão processadas;
</li>
<li>
Por que a informação será processada?
</li>
<li>
Direitos e responsabilidades do controlador e operador;
</li>
<li>Que o operador só deve agir de acordo com instruções escritas do controlador;</li>
<li>Que o processamento de dados é feito de maneira confidencial;</li>
<li>Que há medidas de segurança adequadas em vigor durante cada etapa do tratamento de dados;</li>
<li>Que sub-operadores só podem ser usados ​​com o conhecimento e o consentimento do controlador de dados;</li>
<li>Que controladores de dados e operadores devem trabalhar juntos para resolver solicitações de acesso;</li>
<li>Que os dados deverão ser apagados ou devolvidos ao final do contrato, de acordo com a decisão do controlador;</li>
<li>Controladores de dados e operadores devem trabalhar juntos para proteger os direitos e a privacidade dos titulares de dados e cooperar com a autoridade nacional quando requerido um relatório de impacto;</li>
<li>Operadores devem informar os controladores sobre violações de dados assim que cientes;</li>
<li>Os operadores devem auxiliar os controladores nas avaliações de impacto da proteção de dados, quando aplicável;</li>
<li>Os operadores devem apagar ou devolver as informações pessoais do controlador após a conclusão do contrato;</li>
<li>Tanto os controladores quanto os operadores devem estar preparados para auditorias ou inspeções e ajudar uns aos outros conforme necessário para demonstrar conformidade;</li>
<li>Operadores e controladores devem estar atentos a quaisquer práticas que quebrem a conformidade com a lei e notifiquem o outro para que as correções possam ser feitas;</li>
<li>Deverá ser indicado o encarregado pela proteção de dados (DPO), nomeado conforme requerido por lei;</li>
<li>O controlador e o operador deve manter registros da atividade de processamento, principalmente quando baseado em legítimo interesse;</li>
<li>Quais serão as medidas tomadas por todas as partes no caso de um vazamento de dados;</li>
</ul>
Estes são pontos essenciais, mas que não têm intenção de esgotar completamente todas as possibilidades do que pode ser acordado entre as partes.
Alguns exemplos que podem ser deixados para exame e exemplificação são os DPAs da Eventbrite ou da Unify⁴, ambos usados no contexto da Comunidade Europeia.
Cada vertente de negócio deverá ter uma versão de contrato que melhor se adapte à sua realidade.
Haverá situações onde múltiplos Controladores e Operadores podem atuar ao mesmo tempo, ou mesmo invertendo papéis em momentos diferentes do ir e vir de dados. Neste caso, é melhor que o contrato seja estruturado como um contrato mútuo de confidencialidade onde o cedente e receptor dos dados se alternam.
Saber de onde partir para que esta relação seja bem estruturada já garante uma facilidade no trato com as novas responsabilidades que a LGPD deverá implementar.
<ol>
<li>LGPD, art 1º. <a href="http://www.planalto.gov.br/ccivil_03/_Ato2015-2018/2018/Lei/L13709.htm">http://www.planalto.gov.br/ccivil_03/_Ato2015-2018/2018/Lei/L13709.htm</a></li>
<li>GDPR. <a href="https://gdpr-info.eu/">https://gdpr-info.eu/</a></li>
<li>Para os fins deste artigo DPA é o contrato entre Controlador e Operador no processamento de dados pessoais. DPA também pode significar em outro contexto o Data Protection Act (lei britânica de proteção de dados) ou o Data Protection Agent (Agente de Proteção de Dados).</li>
<li>DPA Eventbrite: <a href="https://www.eventbrite.com.br/support/articles/pt_BR/Troubleshooting/adendo-de-processamento-de-dados-para-organizadores?lg=pt_BR">https://www.eventbrite.com.br/support/articles/pt_BR/Troubleshooting/adendo-de-processamento-de-dados-para-organizadores?lg=pt_BR</a></li>
</ol>
DPA Unify: <a href="https://unify.com/br/informacoes-legais/contrato-de-processamento-de-dados">https://unify.com/br/informacoes-legais/contrato-de-processamento-de-dados</a>

casual-cellphone-chat-1798852

https://images.jota.info/wp-content/uploads/2021/09/copy-of-jota-logo-high-cmyk.jpeg

JOTA

Contratos e aditivos de processamento de dados serão parte da rotina dos escritórios com a implementação da LGPD

A importância do data processing agreement na vigência da LGPD

Contratos e aditivos de processamento de dados serão parte da rotina dos escritórios com a implementação da LGPD