NDA e confidencialidade entre empresas: o que protege de fato

O acordo de confidencialidade tem três funções: delimitar o que é protegido, criar obrigações de conduta para quem recebe a informação e prever as consequências do descumprimento. Quando uma dessas funções falha, o documento continua existindo, mas deixa de ser útil justamente no momento em que seria acionado. Delimitação vaga produz discussão sobre se o dado divulgado estava ou não protegido; obrigações genéricas produzem discussão sobre qual conduta era exigida; consequência ausente produz discussão sobre o que cobrar.

A proteção jurídica do segredo empresarial não depende só do contrato. A Lei 9.279/1996 protege a informação sigilosa quando ela tem valor econômico por ser secreta e quando há esforço para mantê-la sob controle. Esse segundo elemento é o que costuma faltar: empresas que tratam a informação do mesmo modo que qualquer outro arquivo, sem marcação nem restrição de acesso, dificilmente conseguem demonstrar cuidado na guarda do segredo quando precisam cobrar alguém por vazamento.

Na prática, o NDA mais útil é modesto no texto e apoiado em procedimento. Ele diz o que está coberto, exige um cuidado concreto, com registro, limitação de cópias e identificação dos destinatários, e define prazo e consequência. Contratos longos, com definições amplas e nenhuma previsão de controle, normalmente transferem para o processo judicial uma discussão que poderia ter sido resolvida na etapa de organização da informação. O mesmo raciocínio de definição prévia aparece em outros documentos societários, como o acordo de sócios e as cláusulas que evitam briga, em que escrever antes reduz disputa depois.

Existem três formas usuais de definir o que é confidencial. A primeira marca a informação no momento da entrega, com selo, aviso escrito ou cláusula em proposta. A segunda presume que tudo o que circula na relação é sigiloso, salvo o que estiver na lista de exceções. A terceira combina as duas, exigindo marcação para determinadas categorias e presumindo sigilo para informação técnica e financeira. A escolha afeta diretamente o que a empresa conseguirá provar depois.

A marcação é mais confiável para prova, porque cria documento. A presunção ampla é mais simples na rotina, mas costuma ser interpretada de forma restritiva em disputa, já que ninguém trata tudo como secreto de verdade. Em negociação comercial, misturar preço de tabela pública, material de marketing já divulgado e informação técnica sensível no mesmo bolo enfraquece a proteção das partes que realmente importam, porque o conjunto perde credibilidade.

Um caminho intermediário funciona bem: listar as categorias protegidas, como código-fonte, especificação técnica, base de clientes, preço praticado e método de produção, exigir marcação de sigilo no material entregue e prever que a informação derivada, produzida a partir da informação recebida, também é protegida. Vale ainda exigir que o receptor comunique, em prazo curto, qualquer acesso não autorizado ou suspeita de exposição, o que cria pontos de controle durante a relação.

O receptor da informação assume tipicamente quatro obrigações: não divulgar, não usar para finalidade diferente da negociação, proteger com cuidado equivalente ao que aplica às próprias informações sigilosas e devolver ou destruir o material ao fim da relação. Cada uma delas precisa de critério verificável. Cuidado equivalente, sem definição, não diz nada; é mais efetivo indicar o mínimo esperado, como restrição de acesso por função, controle de cópias e ambiente de armazenamento definido.

O prazo merece tratamento separado para o sigilo e para os dados. O sigilo costuma durar de dois a cinco anos para informação comercial, e por prazo indeterminado para segredos de fabricação e informação cujo valor está justamente em permanecer secreta. Já o tratamento de dados pessoais trocados na negociação segue a legislação específica, com prazo relacionado à finalidade, e não à vontade das partes, o que costuma ser ignorado em NDAs copiados.

A tabela abaixo resume as obrigações que o acordo precisa detalhar e o efeito de cada omissão prática.

A Lei 9.279/1996 trata como concorrência desleal usar ou divulgar conhecimento obtido em relação contratual ou de emprego quando a informação é sigilosa, e também alcança quem obtém o segredo por meio de fraude ou acesso indevido. Isso significa que a proteção não depende apenas do que foi assinado: existe um piso legal que alcança aquele que recebeu a informação em confiança e a utilizou em benefício próprio ou de terceiro.

Mas o piso legal exige demonstração de que a informação era tratada como secreta e tem valor econômico por isso. Esse é o ponto que desmonta parte das reclamações: segredo que circula sem restrição, que aparece em apresentação pública ou que estava acessível a qualquer pessoa perde a proteção específica. Documento de controle, política interna de sigilo e restrição técnica de acesso não servem só para organizar a empresa, servem como prova.

O outro lado da moeda é a saída de pessoas. Quando alguém que teve acesso à informação sai da empresa e passa a atuar em negócio concorrente, a discussão costuma envolver três frentes: obrigação de sigilo que sobrevive ao vínculo, uso de segredo acessado durante a relação e, quando houver, restrição contratual de atuação. Cada uma dessas frentes tem requisitos próprios e limites, e tratar todas como se fossem a mesma coisa enfraquece a cobrança. Em licenciamento de software, a fronteira entre sigilo e propriedade aparece em quem é dono do código, licença e escrow, onde a posse do repositório costuma definir quem consegue provar uso indevido.

O momento em que o NDA é assinado muda o que ele consegue proteger. Em negociação comercial inicial, o acordo costuma ser firmado antes de qualquer troca de informação e cobrir apresentações, escopo e preço. Em processo de due diligence, ele precisa alcançar também terceiros contratados para avaliar o negócio, como assessores, auditores e consultores, que são justamente quem mais manuseia o material sensível. NDA que só menciona as duas partes deixa a principal via de exposição fora do seu alcance.

Por isso, vale prever que a empresa receptora responde pelos atos de seus sócios, empregados, prestadores e assessores, e que exigirá deles obrigação equivalente antes de conceder acesso. Prever também o registro de quem acessou qual documento na sala de dados, com data e finalidade, resolve a maior parte das dúvidas posteriores sobre origem da informação. Esse registro não é burocracia: é o que permite apontar com precisão por onde uma informação saiu.

Em paralelo, o sigilo com pessoas precisa de instrumento próprio. Empregados e prestadores com acesso a informação sensível devem assumir obrigação de confidencialidade que alcance o período após o fim do vínculo, com escopo compatível e sem inviabilizar o trabalho futuro da pessoa. Termo desproporcional, que restringe qualquer atividade por prazo longo e sem delimitação, tende a ser questionado, e o efeito prático costuma ser a perda de proteção sobre o que realmente importava.

Provar vazamento raramente é possível com um documento único. A prova costuma ser construída por indícios articulados: quem teve acesso, quando, em qual formato, qual era a marcação do documento, qual a semelhança entre a informação divulgada e o material entregue, quanto tempo decorreu entre o acesso e o surgimento da informação no mercado. Contratos que criam pontos de registro tornam essa construção viável, porque cada acesso deixa rastro verificável.

Do lado do pedido, o mais frequente é a cobrança da multa prevista e a busca por cessação imediata do uso ou da divulgação, com pedido de tutela quando há urgência. A multa contratual prefixa o valor e evita discutir prejuízo, mas precisa de base de cálculo e consequência escritas: multa por evento, multa por dia de descumprimento e obrigação de cessar são desenhos diferentes, com efeitos distintos na prática.

Quando existem danos que a multa não cobre, é comum buscar o que exceder o valor previsto, com demonstração concreta do prejuízo. Nessa frente, o que mais importa é o que foi organizado antes: histórico de acesso, política de sigilo aplicada, registro de entregas e comunicação de incidentes. Sem essa base, a discussão migra para a valoração genérica e o resultado se torna imprevisível, mesmo quando a origem da informação parece evidente. A lógica de prefixar consequência antes do problema é a mesma que sustenta multa por atraso em contrato de fornecimento, tema em que o valor por dia só funciona quando a base de cálculo está escrita.