A gente já perdeu a conta de quantas empresas em Blumenau e no Vale do Itajaí têm contrato de prestação de serviço assinado há 8, 10 anos, sem nenhuma cláusula de dados pessoais. O fornecedor processa folha de pagamento, dado de saúde ocupacional, cadastro de cliente. E o contrato trata só de prazo, preço e multa por atraso.
Na prática: quando esse fornecedor vaza um banco de dados ou usa a informação pra fim que não foi combinado, a LGPD não pergunta de quem foi a culpa técnica. Ela pergunta se você, como controlador, deu instruções por escrito e fiscalizou o operador. Se a resposta é não, a exposição é sua, não só dele.
Controlador e operador não dividem a culpa como você imagina
O art. 42 da LGPD prevê responsabilidade solidária em vários casos. Isso significa que o titular do dado, ou a própria ANPD, pode cobrar de quem tiver patrimônio pra pagar, mesmo que o erro técnico tenha sido do operador.
Nossa leitura: contrato mal redigido não elimina essa solidariedade, mas define quem reembolsa quem depois. Sem cláusula de indenização regressiva, sua empresa paga a multa e não tem base contratual clara pra cobrar de volta do fornecedor que causou o problema.
Instruções por escrito: o operador só faz o que está no papel
O art. 39 é direto: o operador realiza o tratamento seguindo as instruções do controlador. Não é o que ele "acha razoável fazer com o dado". É o que está escrito.
- Finalidade específica do tratamento (ex: "processar folha de pagamento dos colaboradores da empresa X")
- Tipos de dado autorizados (não pode incluir dado sensível se o contrato não previu)
- Prazo de retenção durante a vigência do contrato
- Proibição expressa de uso pra finalidade própria do operador, incluindo treinamento de IA e cruzamento com outras bases
Falando sério: contrato que diz só "o operador tratará os dados necessários à execução dos serviços" não cumpre o art. 39. É instrução genérica demais pra funcionar como defesa numa fiscalização.
Sub-operador sem autorização é o furo mais comum
Aqui mora o erro que mais aparece nos contratos que revisamos. O operador subcontrata um serviço de nuvem, um call center, uma empresa de cobrança, e repassa os dados sem seu conhecimento formal.
Toda subcontratação de tratamento precisa de autorização prévia e por escrito do controlador, com o sub-operador assumindo as mesmas obrigações do contrato original. Sem essa cláusula em cascata, se o sub-operador vazar o dado, sua empresa fica sem qualquer instrumento contratual pra responsabilizar quem realmente errou.
Peça a lista de sub-operadores atualizada a cada 90 dias, ou pelo menos no aniversário do contrato. Fornecedor que não sabe listar quem mais tem acesso aos dados que ele processa já é sinal de alerta.
Sigilo e segurança precisam de números, não de adjetivo
Cláusula que diz "o operador adotará medidas de segurança adequadas" não vale nada numa auditoria. Adequadas segundo quem, medidas quais?
- Criptografia em repouso e em trânsito, especificando o padrão (ex: AES-256, TLS 1.2 ou superior)
- Controle de acesso por perfil, com log de quem acessou o quê e quando
- Prazo de notificação de incidente: recomendamos 24h a 48h do operador pro controlador, bem mais curto que o prazo que a ANPD dá pra você notificar o titular
- Obrigação de sigilo estendida aos funcionários e terceiros do operador, com vigência pós-contrato de pelo menos 5 anos
O prazo curto de notificação interna é o que permite sua empresa cumprir o prazo maior que a ANPD exige de você depois. Se o operador só avisa em 10 dias, você já perdeu a janela de resposta.
Quem responde o titular em 15 dias, você ou o operador?
O art. 19 dá 15 dias pro controlador responder pedido de titular sobre confirmação de tratamento e acesso aos dados. Esse prazo corre pra você, mas frequentemente o dado está fisicamente na infraestrutura do operador.
O contrato precisa definir um prazo interno menor, algo como 5 a 7 dias úteis, pro operador te devolver a informação solicitada pelo titular. Sem isso, você fica refém do tempo de resposta que o fornecedor achar conveniente, correndo o risco de estourar o prazo legal por atraso de terceiro.
Fim do contrato: devolver ou eliminar, sem meio-termo
Contrato de operador que termina sem cláusula de destinação final dos dados deixa uma cópia órfã rodando em algum servidor que ninguém mais monitora. Isso é passivo que aparece anos depois, numa fiscalização ou numa ação de titular.
A cláusula precisa prever, de forma explícita, que ao fim da relação contratual o operador vai devolver ou eliminar todos os dados pessoais, apagando também backups e cópias em sub-operadores, com certificado de eliminação assinado. Estabeleça prazo curto pra isso, 30 dias corridos é razoável, e retenha parte do pagamento final até receber a comprovação.
Auditoria e indenização: como provar que o operador furou o combinado
Sem cláusula de auditoria, sua empresa não tem direito contratual de pedir evidência de que as medidas de segurança prometidas realmente existem. Auditoria pode ser documental (relatórios, certificações ISO 27001, SOC 2) ou, em contratos de maior risco, inspeção presencial anual.
A cláusula de indenização precisa amarrar o operador a reembolsar sua empresa por multas, custos de notificação de titulares e danos reputacionais decorrentes de descumprimento do contrato pelo operador. Sem esse texto, a solidariedade do art. 42 vira só um problema seu, mesmo quando o erro foi do fornecedor.
O que fazer nas próximas duas semanas
Liste todo fornecedor que toca dado pessoal de cliente, colaborador ou fornecedor: folha de pagamento, CRM, gráfica, cobrança, TI terceirizada, plano de saúde. Pra cada um, confira se existe contrato ou aditivo específico de operador de dados, com as cláusulas acima.
- Priorize os fornecedores que tratam dado sensível (saúde, biometria) primeiro
- Peça ao fornecedor a lista atual de sub-operadores
- Se sua empresa é ME, EPP ou startup, o regime simplificado da Resolução CD/ANPD 02/2022 reduz obrigações documentais, mas não dispensa contrato de operador
- Se ainda não tem encarregado nomeado (art. 41), esse é o momento de formalizar, porque é ele quem vai negociar essas cláusulas com o jurídico do fornecedor
Contrato revisado hoje custa uma reunião. Contrato revisado depois de um incidente custa multa de até 2% do faturamento, limitada a R$ 50 milhões por infração, mais o tempo negociando quem paga o quê com um fornecedor que já não quer mais falar com você.
Fale com um advogado da RSA.
Diagnóstico objetivo em até 24h úteis.
