Opinião e Análise

Marcela Mattiuzzo

Paula Pedigoni Ponce

Iasmine Lima Favaro

Como se sabe, a <a href="http://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm" target="_blank" rel="noopener noreferrer">Lei Geral de Proteção de Dados Pessoais (LGPD)</a> afeta muitos aspectos das atividades empresariais. Nos últimos três anos, observou-se verdadeira corrida para adequação à legislação, com diversas “frentes de ataque”. Uma destas, de especial preocupação por envolver terceiros, é a de revisão de contratos com fornecedores para garantir que estes contem com cláusulas aptas a endereçar preocupações relacionadas à lei.
Este artigo tem como objetivo fazer um exercício de reflexão sobre quais foram algumas das lições aprendidas na negociação de cláusulas de proteção de dados pessoais para contratos diversos de prestação de serviços. Em resumo, busca-se compilar (de forma certamente não exaustiva) riscos e observações que podem auxiliar os agentes na contratação de novos fornecedores e na revisão de contratos antigos, para inclusão e revisão de cláusulas de proteção de dados pessoais.
<a href="https://www.jota.info/produtos/poder?utm_source=Banner%20site&amp;utm_medium=Artigos&amp;utm_campaign=CTA_Poder_materias"><img class="size-medium wp-image-292717 aligncenter" src="https://www.jota.info/wp-content/uploads/2021/01/jota-pro-poder.jpg" alt="" width="688" height="688" /></a>Antes de adentrar com mais profundidade no tema, vale apenas mencionar que a ANPD iniciou em 1º de setembro <a href="https://www.gov.br/anpd/pt-br/assuntos/noticias/anpd-abre-consulta-publica-e-inscricoes-para-audiencia-publica-sobre-norma-de-aplicacao-da-lgpd-para-microempresas-e-empresas-de-pequeno-porte" target="_blank" rel="noopener noreferrer">consulta pública</a> sobre as regras para agentes de tratamento de pequeno porte.
Uma dúvida que se colocou com relação à norma proposta foi sobre como se daria a cadeia de responsabilidade entre agentes de tratamento não submetidos a essa resolução mais flexível e fornecedores considerados agentes de pequeno porte.
Ainda que este desafio deva ser endereçado ao longo da regulamentação do tema, ele reforça a ideia de que a revisão e preparação de cláusulas pode ser constantemente aperfeiçoada conforme os programas de conformidade ganham maturidade e a ANPD avança na regulamentação da LGPD.
<h3>Os agentes de tratamento – operador ou controlador</h3>
Um primeiro ponto de atenção na celebração de contratos com fornecedores é a necessidade de uma boa compreensão sobre quais os papéis dos agentes de tratamento ocupados pelos contratantes.
Essencialmente, a LGPD criou dois tipos de agentes de tratamento: controladores (responsáveis pela realização de decisões sobre o tratamento de dados pessoais) e operadores (aqueles agentes que realizam o tratamento de dados pessoais conforme as instruções do controlador e em seu nome).
A definição de qual agente ocupa cada posto é contextual, isto é, irá depender de quais atividades cada um dos agentes efetivamente realiza. Para auxiliar os agentes de tratamento neste ponto, uma das primeiras atividades da ANPD foi a disponibilização de um <a href="https://www.gov.br/anpd/pt-br/assuntos/noticias/2021-05-27-guia-agentes-de-tratamento_final.pdf" target="_blank" rel="noopener noreferrer">guia</a> sobre o assunto.
Nesse sentido, o primeiro passo nessa definição é reconhecer que fornecedores não serão sempre operadores de dados pessoais e que os definir como tal não necessariamente cria menos riscos, sendo que em certas ocasiões reconhecê-los como controlador pode ser benéfico.
Na verdade, esse processo passa por um entendimento mais amplo de que a realidade sempre se impõe quando falamos do posicionamento dos agentes de tratamento, tanto porquê de nada adiantará um contrato que elenca definições de controlador e operador que não são compatíveis com a realidade e com as disposições legais, quanto porquê é sempre melhor, para todos os envolvidos, que a definição de responsabilidades guarde relação efetiva com as capacidades de cada agente.
Em uma relação entre operador e controlador de dados pessoais, cabe ao controlador realizar decisões sobre o tratamento – como quais os dados coletados, as finalidades e duração do tratamento – e repassar instruções para o operador.
Isso faz com que o controlador possua uma série de responsabilidades perante o titular de dados pessoais – como a adoção de base legal para legitimar o tratamento e atendimento de requisição de exercício de direitos. Por outro lado, o controlador também tem maior liberdade, na medida em que pode fazer definições sobre o efetivo direcionamento dos tratamentos.
É possível pensar num número de cenários relevante no qual o contratante não possui capacidade técnica e conhecimento sobre o serviço a ser prestado, em que ele dificilmente conseguirá dar instruções sobre o tratamento – sequer sobre quais dados serão necessários para que aquela finalidade que se pretende atingir seja cumprida.
Nessas ocasiões, definir o prestador do serviço como operador pode, na realidade, acabar por aumentar o nível de risco, na medida em que a parte contratante terá dificuldades em fornecer orientações concretas e específicas.
Por outro lado, também é possível elencar um número igualmente amplo de situações em que o fornecedor não terá qualquer capacidade decisória relevante e executará suas tarefas em estrito cumprimento àquilo quanto determinado pelo contratante.
É por essa razão, inclusive, que o recurso a co-controle/controladoria conjunta pode se mostrar relevante em muitas ocasiões. Pensemos em um cenário em que o cliente contrata o fornecedor para determinado serviço de marketing e ao fornecedor é permitido, contratualmente, utilizar os dados pessoais compartilhados para análises de mercado.
Partindo do pressuposto de que essa atividade ocorre em conformidade com a Lei, pode-se dizer que o cliente é controlador no tratamento de dados para atividade de marketing voltada para sua organização e o fornecedor é o controlador no tratamento de dados para análises de mercado.
<blockquote class="jota-article__eye">Válido destacar que, nessas hipóteses, a LGPD meramente prevê que os controladores serão responsáveis solidariamente por atividades em que estiverem diretamente envolvidos no tratamento.</blockquote>
Assim, para evitar hipóteses de responsabilização indevida, contratos e acordos de processamento de dados entre controladores conjuntos devem estabelecer minuciosamente quais as atribuições de cada um e quais os limites das tomadas de decisões de tratamento de cada um.<a href="#_ftn1" name="_ftnref1">[1]</a>
<h3>Finalidades secundárias e padronização de contratações</h3>
Uma prática que se observa com preocupação é a adoção de minutas com previsão ampla de utilização de dados pessoais para finalidades secundárias – isto é, finalidades além do objeto estrito do contrato.
Essa realidade acabou se consolidando, provavelmente, como resultado de uma tentativa de proteção de certas empresas – afinal, na medida em que o contrato autorize hipóteses amplas de uso de dados pessoais, elas estariam mais bem resguardadas.
Por exemplo, uma cláusula que autoriza a inclusão de dados pessoais em banco de dados pessoais do fornecedor de forma definitiva, para disparo de campanhas de marketing, ainda que o objeto do contrato seja muito mais limitado e restrinja-se ao fornecimento de sistema de CRM.
Ainda que isso não seja determinante para dizer que esse tratamento é irregular conforme a legislação, uma vez que pode ser baseado em hipóteses válidas, este seria um caso de controladoria conjunta a ser debatido entre os agentes, para que as responsabilidades sejam devidamente atribuídas – em especial, para que o agente contratante não acabe sendo responsabilizado por eventuais ações do contratado, nas quais ele de nenhuma forma participa, já que, conforme indicado acima, a mera contratação de fornecedor não implica relação de operação.
Por isso, para evitar esse cenário, é recomendado que só conste no contrato aquilo que é essencial para o seu cumprimento, e que o contratante questione disposições que expandem os tratamentos de dados pessoais para além do seu objeto.
Mesmo que o fornecedor contratado afirme que na prática não realiza esses tratamentos, é recomendado retirar previsões amplas das minutas – até porque, se a empresa não faz o tratamento, a previsão não é necessária. Mesmo que existam cláusulas de limitação de responsabilidade, fato é que o risco não deixa de existir, especialmente se o dado pessoal foi coletado originalmente pelo contratante.
Esse tema torna-se ainda mais relevante se estamos falando em cláusulas padronizadas de dados pessoais – com indisponibilidade de negociação de seus termos. É evidente que minutas de contrato existirão, pois trata-se de uma forma legítima (e necessária) de adequação de agentes, a qual não merece críticas em si.
Entretanto, a existência de padrões não pode ser utilizada como subterfúgio para impor ao contratante disposições que não correspondam à realidade do tratamento de dados pessoais, seja com a finalidade de atribuir papéis inadequados na cadeia de tratamento de dados, seja para alocar ao fornecedor uma série de riscos que ele não precisa de forma alguma arcar.
Nesse mesmo contexto, dada a proposta de um contrato padronizado entre cliente e fornecedor, é de extrema importância que se análise de forma minuciosa as suas cláusulas, em busca de evitar que se recaia em assunção de grau de responsabilidade desproporcional ou até mesmo que os dados pessoais utilizados para o cumprimento da obrigação decorrente do contrato sejam utilizados para finalidade diversa, em detrimento da expectativa dos titulares dos dados pessoais.
Também é de maneira geral contraproducente pensar numa relação de prestação de serviço que envolva o tratamento de dados pessoais em que o contrato é, a priori, não-editável, ao menos quando o serviço ofertado não é, de fato, exatamente o mesmo em todos os casos e para todos os contratantes.
É relevante que exista um espaço para negociações e para se conduzir análise contextual sobre os papéis exercidos pelos agentes, e se adequar as previsões padronizadas à realidade daquela relação em particular.
O que se pode concluir de maneira breve do que já foi até agora observado nos processos de adequação às normas de proteção de dados no que diz respeito à relação com fornecedores é que as empresas devem se esforçar para adotar modelos de negócio e esquemas jurídicos de sustentação a esses modelos que se preocupem com o tema, na medida em que será cada vez mais cobrado que elas se preocupem com o assunto e adotem mecanismos efetivos de proteção a elas mesmas e a seus clientes, havendo um risco real e objetivo de que sejam preteridos em processos de contratação por conta de inadequações ou falta de cautela.
<div id="sdr-inbound-form-artigos-impacto-nas-instituicoes-8c5227dd4ede3347a6c6" role="main"></div>
<script type="text/javascript" src="https://d335luupugsy2.cloudfront.net/js/rdstation-forms/stable/rdstation-forms.min.js"></script> 
<script type="text/javascript"> new RDStationForms('sdr-inbound-form-artigos-impacto-nas-instituicoes-8c5227dd4ede3347a6c6', 'UA-53687336-1').createForm();</script>
<hr />
<a href="#_ftnref1" name="_ftn1">[1]</a> Essa recomendação está inclusive indicada no Guia da ANPD sobre agentes de tratamento.

computador relógio tecnologia advogado advogada

https://images.jota.info/wp-content/uploads/2021/09/copy-of-jota-logo-high-cmyk.jpeg

JOTA

Riscos e observações para auxiliar agentes na contratação de novos fornecedores e na revisão de contratos antigos

Lições aprendidas na implementação da LGPD: contratações de fornecedores

Riscos e observações para auxiliar agentes na contratação de novos fornecedores e na revisão de contratos antigos