Compartilhar dados de clientes com parceiro: quando precisa de contrato e quando não precisa

Você manda a planilha de clientes pro parceiro comercial fazer uma campanha conjunta. Ou recebe a base de leads de um fornecedor pra qualificar antes de fechar negócio. Isso acontece toda semana em empresa de Blumenau, do Vale do Itajaí, de qualquer canto do Brasil. E na cabeça de quase todo empresário isso é só troca de informação entre parceiros.

Não é. Pra LGPD, isso é uso compartilhado de dados pessoais, definido no art. 5º, XVI da Lei 13.709/2018, e a definição cobre expressamente o compartilhamento entre entes privados, não só entre empresa e órgão público. Na prática: se o CPF, e-mail, telefone ou histórico de compra de alguém sai do seu banco de dados e entra no de outra empresa, você é controlador respondendo por isso, mesmo que o vazamento aconteça na casa do parceiro.

Passar a base pro parceiro é tratamento de dado, não é favor

O erro mais comum que vemos em due diligence de M&A e em auditoria de contrato é a empresa achar que, como o parceiro é "de confiança" ou já é cliente há anos, não precisa formalizar nada. Falando sério: confiança não é base legal. A Lei não pergunta se vocês têm boa relação comercial, pergunta se existe fundamento jurídico pra aquele repasse específico de dado pessoal.

Nossa leitura: todo compartilhamento de base, mesmo pontual, mesmo "só dessa vez", deveria gerar um registro. Se sua empresa não sabe listar hoje pra quem já mandou dado de cliente nos últimos 12 meses, esse é o primeiro problema a resolver, antes de qualquer cláusula contratual.

Quando precisa de consentimento e quando outra base legal resolve

Nem todo compartilhamento B2B exige consentimento do titular. Se a base de clientes vai pro parceiro pra cumprir uma etapa do contrato que o próprio cliente já assinou com você (art. 7º, V), ou se existe legítimo interesse legítimo interesse claro e documentado, com finalidade compatível com a que o cliente esperava (art. 7º, IX), pode dispensar consentimento específico.

Onde a coisa aperta: repassar a base pra um parceiro usar em campanha de marketing direto, sem relação prévia com aquele titular. Aí legítimo interesse não segura sozinho, geralmente precisa de consentimento específico (art. 7º, I) ou, no mínimo, aviso claro na política de privacidade dizendo que aquele dado pode ser compartilhado com terceiros pra aquela finalidade.

• Dado comum de cliente ativo, pra cumprir contrato já assinado: base legal contratual costuma bastar.
• Lista de leads repassada pra parceiro prospectar por conta própria: geralmente exige consentimento ou informação prévia clara.
• Dado sensível (saúde, biometria, dado de sindicalizado, art. 5º, II): nunca compartilhar via legítimo interesse simples. Exige base legal mais forte, quase sempre consentimento específico.

O contrato de compartilhamento: cláusulas que evitam multa de até 2% do faturamento

A LGPD não obriga um modelo padrão de contrato entre duas empresas que compartilham dado, mas a ausência de contrato formal é praticamente um convite pra responsabilidade solidária virar dor de cabeça na hora de dividir prejuízo. As cláusulas que não podem faltar:

• Finalidade específica do compartilhamento, sem margem pra uso genérico "pra o que for necessário".
• Prazo de retenção do dado pelo parceiro e obrigação de eliminação ao final do uso combinado.
• Proibição de repasse a um terceiro sem autorização expressa e por escrito.
• Prazo pra notificação em caso de incidente de segurança envolvendo aquele dado, ideal fixar em 24h a 48h, prazo menor que o exigido pela ANPD pra dar tempo de reação.
• Cláusula de indenização cruzada, prevendo o direito de regresso caso um dos dois responda perante titular ou ANPD por falha do outro.

Due diligence no parceiro: o que checar antes de mandar qualquer base

Empresa de médio porte que está prestes a compartilhar base de milhares de clientes com fornecedor ou distribuidor deveria fazer uma checagem mínima antes de apertar "enviar". Não é burocracia por burocracia, é proteção direta contra ficar respondendo por falha de terceiro.

• O parceiro tem encarregado nomeado, conforme exige o art. 41 pra todo controlador?
• Tem política de privacidade pública e atualizada?
• Já teve incidente de segurança comunicado à ANPD nos últimos anos?
• Se enquadra como micro, pequena empresa ou startup no regime simplificado da Resolução CD/ANPD 02/2022? Isso reduz formalidade exigida, mas não elimina a obrigação de proteger o dado.
• Usa controle de acesso e algum tipo de criptografia na base que vai receber?

Indenização cruzada: quem paga quando o parceiro vaza o dado que você mandou

O art. 42 estabelece que o agente de tratamento que causa dano ao titular responde por reparação, e quando há mais de um agente envolvido no mesmo tratamento, a responsabilidade tende a ser solidária. Na prática: o titular ou a ANPD não precisam provar qual das duas empresas errou primeiro, podem cobrar de qualquer uma das duas, e depois vocês resolvem entre si quem paga o quê.

Sem cláusula de indenização cruzada no contrato, quem levou a multa maior fica sem instrumento fácil pra cobrar do parceiro que efetivamente causou o vazamento. Já vimos negociação travar meses por causa disso, quando bastava uma cláusula de três linhas prevendo o regresso.

O que fazer nas próximas duas semanas

• Listar todos os compartilhamentos de base ativos hoje: com quem, que dado, com que finalidade.
• Checar, pra cada um, se existe contrato assinado cobrindo esse fluxo específico.
• Incluir cláusula de indenização cruzada e prazo de notificação de incidente nos contratos que ainda não têm.
• Perguntar formalmente ao parceiro quem é o encarregado dele e pedir a política de privacidade por escrito.
• Revisar a própria política de privacidade da empresa pra deixar explícito quando e com quem dados são compartilhados.