Dados B2B: contrato, consentimento e quem paga quando vazar

Uma distribuidora fecha parceria com uma empresa de seguros. A ideia: repassar a base de clientes pra equipe do parceiro oferecer produtos complementares. Sem adendo de dados. Sem análise de base legal. Sem cláusula de indenização. Semanas depois, um cliente reclama que está recebendo ligação de empresa que nunca contratou. A distribuidora está exposta. O parceiro nega responsabilidade. Não tem contrato que defina quem paga.

Isso acontece toda semana. A empresa compartilha dados achando que basta uma NDA ou um parágrafo genérico no contrato comercial. A LGPD não vê assim. A multa pode chegar a 2% do faturamento no Brasil, limitada a R$ 50 milhões por infração. Quando envolve dois CNPJs, a pergunta que fica sem resposta é: quem responde?

Repassar base de dados não é "só uma ajuda entre parceiros"

Compartilhar uma lista de leads, base de clientes ou dados de fornecedores com outra empresa é uma operação de tratamento de dados. A Lei 13.709/2018 é explícita: toda vez que um dado pessoal circula, precisa de base legal. Não existe exceção pra relação B2B, pra parceria antiga ou pra "sempre fizemos assim".

O ponto que a maioria ignora: quando você manda sua base pra um parceiro, você continua sendo o controlador original. Você coletou, você é responsável pela origem. Se o parceiro tratar mal, a reclamação do titular bate primeiro na sua porta. E se você não provar que tomou as cautelas devidas antes do repasse, a ANPD pode entender que você foi negligente.

Quando precisa de consentimento e quando não precisa

A maioria das empresas vai direto ao consentimento como se fosse a única saída. Não é. O consentimento é uma das dez bases legais do art. 7º e, na maior parte dos cenários B2B, não é a mais adequada. Consentimento exige que o titular possa revogar a qualquer momento, o que torna bases de dados comerciais inteiras instáveis.

Nossa leitura: o legítimo interesse (art. 7º, IX) aguenta boa parte dos compartilhamentos B2B quando os dados são de contatos profissionais, o parceiro está na mesma cadeia de valor e a expectativa razoável do titular não é violada. Quando os dados são de consumidores finais sendo repassados pra empresa que oferece produto próprio sem relação direta com o serviço contratado, o legítimo interesse começa a ceder. A saída mais segura é o consentimento na coleta original, com cláusula explícita de compartilhamento com parceiros da categoria X. Avisar depois que o repasse já aconteceu não resolve.

• Precisa de consentimento explícito: consumidor final repassado a empresa sem relação direta com o serviço contratado; venda ou locação de listas; dados sensíveis em qualquer hipótese (saúde, biometria, origem racial).
• Legítimo interesse pode suportar: repasse de contatos profissionais dentro da mesma cadeia de suprimento; indicação entre empresas do mesmo grupo econômico.
• Execução de contrato (art. 7º, V): quando o dado precisa circular pra o serviço funcionar. Exemplo: integrador que repassa dados do cliente ao fabricante pra emitir garantia.

Operador ou segundo controlador? Definir isso antes de redigir qualquer cláusula

Se o parceiro vai usar os dados só pra executar o que você determinou, como a agência que dispara e-mail pra sua base ou o call center que liga com seu roteiro, ele é operador. O art. 37 exige que essa relação seja documentada em contrato, com finalidade, prazo, obrigações de segurança e proibição de uso pra finalidade própria.

Se o parceiro vai usar os dados pra finalidade própria, oferecendo produto ou serviço dele aos seus clientes, ele é um segundo controlador. Aqui você não comanda mais o tratamento que ele faz. Precisa garantir que tinha base legal pra fazer o repasse e que o parceiro tem condições mínimas de conformidade. A responsabilidade pode ser solidária quando as duas empresas determinam conjuntamente a finalidade.

O que o contrato de compartilhamento precisa ter de verdade

NDA não substitui DPA. A maioria das empresas assina um termo de confidencialidade e acha que está coberta. Não está. O termo de confidencialidade protege segredo de negócio. O Adendo de Proteção de Dados protege os titulares, e é isso que a LGPD exige.

Falando sério: se sua empresa compartilha dados com mais de dois parceiros e nenhum contrato tem adendo específico de proteção de dados, você está operando sem rede. Um único incidente pode gerar processo na ANPD e ação civil do titular contra a sua empresa, não a do parceiro.

• Identificação clara de quem é controlador e quem é operador, ou se são dois controladores independentes
• Finalidade específica e limitada, não "fins comerciais" genéricos
• Prazo máximo de retenção e obrigação de eliminação certificada após o fim da parceria
• Medidas de segurança mínimas exigidas: criptografia em trânsito e em repouso, controle de acesso por perfil, log de auditoria
• Obrigação do parceiro de notificar incidente em até 48 horas da descoberta, para preservar seu prazo de comunicação à ANPD
• Proibição de subcontratação sem autorização prévia por escrito

Due diligence no parceiro: o mínimo antes de assinar

Transferir dados pra empresa sem controles de segurança é problema seu também. A LGPD não limpa a responsabilidade do controlador original só porque o dano veio do lado do parceiro. Por isso a due diligence de dados virou parte obrigatória da due diligence comercial.

Nossa leitura: você não precisa de auditor externo pra cada parceiro. Mas precisa de um checklist documentado e assinado pelo parceiro. Guardar a evidência de que você verificou e avaliou já é uma defesa considerável num processo administrativo. A ANPD leva em conta medidas adotadas antes do incidente ao calcular a sanção.

• A empresa tem política de privacidade publicada e atualizada nos últimos 12 meses?
• Tem encarregado (DPO) designado com contato disponível, conforme art. 41?
• Os sistemas usam autenticação por múltiplos fatores e log de acesso?
• Já sofreram incidente de vazamento nos últimos 3 anos? Como comunicaram?
• Seguem o regime simplificado da Resolução CD/ANPD 02/2022 ou têm programa formal de conformidade?

Indenização cruzada: a cláusula que separa parceria de armadilha

Quando o vazamento parte do servidor do parceiro e o titular processa a sua empresa, você vai querer o direito de acionar o parceiro pelo que pagou. Sem cláusula de indenização cruzada no contrato, você entra na briga depois de já ter sido condenado, com o bolso esvaziado e a prova de culpa fragmentada.

A cláusula precisa ser bilateral e proporcional. Cada parte indeniza a outra pelos danos causados por sua própria negligência ou dolo. O contrato precisa definir esse perímetro com clareza: obrigação de comunicar incidente em até 48 horas, limitação de responsabilidade por evento com valor máximo definido, e exceção explícita para dolo e infração regulatória deliberada, que não têm teto. Definir foro e lei aplicável também importa, especialmente se o parceiro tiver sede em outro estado.

O que fazer nas próximas duas semanas

Se sua empresa compartilha dados com parceiros e não tem adendo de proteção de dados em nenhum contrato, o primeiro passo é mapear: quem recebe dados seus? Com que frequência? Qual a finalidade? Esse levantamento leva de dois a cinco dias. Não terceirize pra área jurídica sem antes passar pela operação: quem sabe quais dados saem é o time comercial, de TI e de logística.

Com o mapeamento em mãos, priorize os parceiros que recebem dados de consumidores finais ou dados em volume alto. São os de maior exposição. Adicione um adendo ao contrato existente sem precisar reescrever o contrato inteiro. Documente a base legal usada pra cada compartilhamento e guarde isso no dossiê de conformidade.

Lembre: o prazo de resposta a solicitação de titular é 15 dias (art. 19). Se um cliente seu perguntar pra quem você mandou os dados dele, você precisa responder dentro desse prazo. Com o mapeamento feito, a resposta demora minutos. Sem ele, você corre o risco de violar o prazo legal antes mesmo de entender o tamanho do problema.