Contratos entre Controlador e Operador: Uma Salvaguarda Jurídica para a Governança de Dados Pessoais

A Lei Geral de Proteção de Dados Pessoais (LGPD – Lei nº 13.709/2018) trouxe profundas transformações à maneira como empresas e instituições públicas lidam com informações pessoais. Entre os principais desafios está o correto enquadramento jurídico dos agentes de tratamento Controlador, Operador, assim como seu Encarregado (DPO) e, sobretudo, a definição contratual das responsabilidades e obrigações no tratamento de dados pessoais e sensíveis, especialmente quando envolvem tecnologia inovadora, integrações sistêmicas, transferência internacional de dados e grande volumetria.

Por que o contrato entre controlador e operador é indispensável?

A LGPD exige, nos termos de seus artigos 37 a 42, que o tratamento de dados seja documentado, proporcional e seguro. Para tanto, quando o Controlador (quem toma as decisões sobre o tratamento) contrata um Operador (quem realiza o tratamento em seu nome), é obrigatória a formalização de um contrato que estabeleça:

O escopo do tratamento de dados;
As medidas de segurança da informação adotadas;
O dever de confidencialidade;
A responsabilidade solidária ou subsidiária em caso de incidentes;
O procedimento de resposta a requisições dos titulares;
O direito de auditoria e de prestação de contas.

Tal contrato não é mera formalidade. Ele representa uma salvaguarda legal, protegendo ambas as partes de responsabilidades civis e administrativas, além de compor o rol de evidências exigidas em caso de fiscalização pela ANPD.

Responsabilidade objetiva: risco jurídico para o controlador

O Controlador assume responsabilidade objetiva pelos danos causados em razão de falhas no tratamento de dados, ainda que a execução tenha sido feita por um Operador terceirizado. Ou seja, mesmo sem culpa direta, o Controlador poderá ser demandado a reparar o dano.

Essa realidade impõe aos controladores a necessidade de atuar de forma diligente e preventiva selecionando operadores idôneos, exigindo garantias técnicas e jurídicas, e fiscalizando a execução do contrato.

Auditoria, gestão documental e governança como práticas obrigatórias

A gestão documental dos contratos e dos fluxos de tratamento de dados deve ser contínua, auditável e baseada em políticas internas. O Guia da ANPD sobre agentes de tratamento e as páginas institucionais de tribunais como o TJDFT e o TRE-SE reforçam que a ausência de controle sobre os operadores configura omissão por parte do controlador.

Alguns cuidados essenciais incluem:

Formalização contratual de todas as relações com operadores;

Realização de auditorias periódicas, com verificação do cumprimento das obrigações legais e contratuais;

Definição clara de regras de acesso, armazenamento, guarda e descarte de dados;

Registro das atividades de tratamento (ROPA);

Estabelecimento de procedimentos para resposta a incidentes de segurança.

Além disso, diante do uso crescente de soluções tecnológicas com integrações automatizadas, cloud computing e inteligência artificial, é indispensável que os contratos contemplem cláusulas específicas sobre segurança cibernética, continuidade de negócios e resposta a vulnerabilidades.

Pessoas também são parte do contrato: segurança começa na cultura

Outro ponto negligenciado por muitos é o comportamento humano como vetor de risco. O operador de dados deve treinar e capacitar seus profissionais para compreenderem o que são dados pessoais, quais são as bases legais de tratamento e como agir diante de requisições de titulares ou incidentes.

Contratos bem redigidos, com cláusulas de confidencialidade, compliance, sigilo e responsabilidade individual, são um instrumento adicional para fomentar a cultura de proteção de dados e, principalmente, delimitar o risco jurídico do controlador em caso de falhas humanas ou operacionais.

Como a HDPO pode apoiar sua empresa ou instituição?

A HDPO, com ampla atuação no setor da saúde, tecnologia, educação e mercado corporativo, oferece suporte jurídico e técnico para:

Elaboração e revisão de contratos entre controladores e operadores;

Realização de due diligence contratual e análise de riscos;

Auditorias de conformidade LGPD, incluindo revisão de cláusulas de transferência internacional e subcontratação;

Apoio ao DPO interno na formalização dos processos com terceiros;

Capacitação das equipes envolvidas e orientação sobre boas práticas.

Com metodologia própria e equipe multidisciplinar, a HDPO auxilia seus clientes a garantir a adequação legal, a transparência nas relações contratuais e a proteção da reputação institucional, reduzindo riscos e promovendo um verdadeiro programa de governança em privacidade.

Referências:

https://www.conjur.com.br/2023-mai-11/alexandre-pimentel-responsabilidade-objetivo-controlador-dados

https://www.tjdft.jus.br/transparencia/protecao-de-dados-pessoais/agentes-de-tratamento-e-encarregado

https://www.tre-se.jus.br/institucional/governanca-e-gestao/governanca-institucional/protecao-de-dados-pessoais/o-controlador-e-suas-obrigações