Contrato com operador de dados: as cláusulas de LGPD que precisam estar escritas

A LGPD define o operador como a pessoa que realiza o tratamento de dados em nome do controlador, e o controlador como quem decide sobre o tratamento. Na prática da terceirização, a empresa cliente define a finalidade e o escopo, e o fornecedor executa sob instrução. Essa divisão não é protocolo retórico: ela define quem responde por cada erro.

O art. 39 estabelece a regra central: o operador deve realizar o tratamento segundo as instruções fornecidas pelo controlador, que verifica a observância das próprias instruções e das normas sobre a matéria. Um contrato que só descreve preço e prazo deixa o fornecedor sem instrução escrita e deixa a empresa sem como demonstrar que as deu.

A consequência aparece na responsabilidade: o operador responde solidariamente pelos danos quando descumpre a legislação ou deixa de seguir as instruções lícitas do controlador, caso em que se equipara ao controlador. Instruções vagas dificultam até a atribuição de culpa, porque ninguém consegue apontar qual instrução foi violada.

O bloco de objeto é onde a maioria dos contratos falha. Ele precisa listar as categorias de dados pessoais tratadas, as categorias de titulares envolvidos, as finalidades do tratamento, a duração e as operações autorizadas: coleta, armazenamento, uso, compartilhamento e eliminação. Vago nesse bloco significa que qualquer uso pode ser discutido como permitido.

Vale escrever o que o fornecedor não pode fazer: usar os dados para desenvolvimento de produto próprio, para treinamento de sistemas, para publicidade ou para atender outros clientes. Restrições desse tipo parecem evidentes e, sem cláusula, não estão escritas em lugar nenhum. O objetivo é que a instrução do art. 39 seja verificável por lista, e não por bom senso.

A cláusula de acesso também cabe aqui: quem, do lado do fornecedor, acessa os dados, com qual autorização e sob qual compromisso de confidencialidade. Acesso irrestrito de equipe técnica a bases completas é um dos pontos que mais fragilizam a segurança na prática.

O art. 46 exige dos agentes de tratamento medidas de segurança técnicas e administrativas aptas a proteger os dados de acessos não autorizados e de situações acidentais ou ilícitas. No contrato, essa exigência vira cláusula com conteúdo: padrões mínimos esperados, política de senhas e acesso, criptografia quando couber, cópias de segurança e dever de manter o ambiente atualizado.

A subcontratação precisa de regra: o contrato deve exigir autorização prévia e escrita do controlador para qualquer novo operador envolvido no tratamento, com repasse das mesmas obrigações. Sem essa trava, a empresa descobre depois que seus dados passam por mais mãos do que imaginava, e a instrução original perde força na ponta.

Quando o fornecedor transfere dados para fora do Brasil, a operação precisa se encaixar nas hipóteses do art. 33, entre elas cláusulas contratuais específicas e cláusulas-padrão contratuais. O contrato deve obrigar o fornecedor a informar a transferência, indicar país e mecanismo adotado e arcar com a documentação que sustenta a operação.

O dever de comunicar incidente à autoridade e aos titulares é do controlador, mas o fornecedor é quem costuma detectar primeiro. O contrato precisa fixar esse dever com prazo: comunicação sem demora à empresa cliente, com descrição do que aconteceu, dos dados afetados e das medidas já adotadas. Cada hora de atraso do operador consome o prazo razoável do controlador.

A cláusula de auditoria complementa: direito de verificar, por relatório periódico ou por auditoria eventual, se as instruções e as medidas de segurança são cumpridas. O art. 39 coloca essa verificação no lado do controlador, e um dever sem instrumento de checagem não passa de intenção.

Vale definir também quem arca com o custo da resposta: notificações, comunicação aos titulares, medidas de contenção e eventual correção de sistemas. Alinhar isso quando a relação está boa evita que a divisão de custos seja decidida durante a crise.

A LGPD obriga os agentes de tratamento a garantir a segurança da informação em relação aos dados pessoais mesmo após o término do tratamento. Na saída do fornecedor, isso significa cláusula de destino dos dados: devolução em formato utilizável, eliminação certificada das cópias e prazo para concluir ambas.

Vale prever certificado ou declaração de eliminação, com descrição dos ambientes, backups incluídos, e o tratamento dos dados que por obrigação legal o fornecedor precise manter, com uso restrito. Contrato encerrado sem essa cláusula deixa a empresa sem como verificar se as cópias sumiram ou seguem circulando.

As obrigações de confidencialidade e de segurança sobrevivem ao contrato, e o texto deve dizer isso expressamente. A responsabilidade civil prevista na lei não depende de cláusula, mas a prova de que as instruções foram dadas e seguidas depende do documento que as registrou.

Ler o contrato de operador como um bloco único esconde o ponto onde a negociação costuma falhar: cada cláusula cumpre uma função e tem um modo próprio de descumprimento. O objeto sem lista permite uso discutível; a segurança sem mínimo aceitável permite promessa vazia; a subcontratação sem autorização prévia permite cadeia invisível. A leitura por cláusula é o que transforma o art. 39 em documento verificável.

O checklist também serve na renegociação anual: cláusulas que mudaram de lado, prazos que perderam sentido e suboperadores novos entram na pauta com o contrato na mão. Empresas que concentram essa revisão na renovação descobrem tarde que o fornecedor mudou a infraestrutura no meio do contrato, e a mudança de infraestrutura é mudança de instrução.

O bloco de LGPD não vive isolado: cláusula penal, limitação de responsabilidade e previsão de seguro de ciberincidentes só funcionamm em conjunto com ele quando o texto diz que a violação das instruções de tratamento configura descumprimento contratual. Sem essa ponte, o vazamento de dados vira debate sobre se a falha se encaixa em garantia genérica, e a discussão de responsabilidade começa sem referência no contrato.

A limitação de responsabilidade merece atenção especial quando o fornecedor usa modelo padrão: tetos calculados sobre o valor mensal do serviço são desproporcionais para eventos de dados, em que o dano cresce com o volume de titulares afetados e não com o preço da mensalidade. A negociação típica separa o teto de falhas de dados do teto de falhas comuns de serviço, e documenta a diferenciação.

Vale alinhar a linguagem com o que o restante da relação já prevê: em contratos de plataforma, a multa por indisponibilidade e o SLA seguem lógica própria, e o regime de dados não deve herdar prazos pensados para uptime. A relação com fornecedores de dados é um recorte de contratos B2B, e as regras gerais de rescisão e prova continuam valendo dentro dela.