A cláusula de proteção de dados LGPD é o mecanismo que transfere ao fornecedor obrigações concretas sobre os dados pessoais que ele acessa durante a prestação de serviços: tratar só conforme instruções, manter segurança, notificar incidentes e ressarcir multas. Sem ela, o contratante responde perante clientes e autoridades por falhas de um terceiro que ele mesmo contratou, e depois briga sem base contratual para ser ressarcido.
Este artigo traz o modelo de cláusula LGPD para contratos que o escritório utiliza na posição de contratante, pronto para inserir em contratos de prestação de serviços, e explica o que a Lei 13.709/2018 exige nessa relação. O download em Word está no final da seção do modelo.
Por que o contrato com fornecedor precisa de cláusula de proteção de dados
Na estrutura da LGPD, quem contrata o serviço costuma ser o controlador dos dados, e o fornecedor que os manuseia, o operador. O controlador decide finalidade e forma do tratamento. O operador executa. Só que, perante o titular do dado, é o nome do controlador que aparece primeiro quando algo dá errado.
Um exemplo comum: uma loja virtual contrata agência de marketing que recebe acesso à base de 40.000 clientes para campanhas de e-mail. Um funcionário da agência exporta a base para um ambiente sem controle e os dados vazam. Quem recebe a reclamação dos clientes, o questionamento da ANPD e o pedido de indenização é a loja. Se o contrato com a agência não previu obrigações de segurança, notificação e ressarcimento, o regresso contra ela vira discussão aberta.
A cláusula resolve isso antes do problema. Ela define o que o fornecedor pode fazer com os dados, em que limite, e quem paga a conta se ele descumprir.
O que a cláusula precisa cobrir
O modelo de cláusula LGPD deste artigo foi redigido do ponto de vista do contratante e cobre os pontos que mais aparecem em disputa:
| Obrigação | O que garante ao contratante |
|---|---|
| Tratamento conforme instruções | O fornecedor não usa os dados para fim próprio |
| Medidas de segurança | Base técnica para exigir controles administrativos, técnicos e físicos |
| Limite de acesso | Dados não podem ser copiados ou removidos sem autorização escrita |
| Confidencialidade da equipe | Colaboradores do fornecedor vinculados por acordo próprio |
| Vedação de repasse a terceiros | Compartilhamento só com autorização prévia por escrito |
| Notificação em 24 horas | O contratante sabe do incidente a tempo de cumprir seus próprios prazos |
| Responsabilidade integral | Multas e indenizações causadas pelo fornecedor voltam para ele |
Repare que a cláusula soma-se à confidencialidade, não a substitui. Uma protege segredo de negócio; a outra, dados pessoais de terceiros.
Modelo de cláusula LGPD para contratos com fornecedor
O modelo abaixo deve ser inserido no contrato de prestação de serviços, com as adaptações da sua operação. Substitua as designações das partes conforme o instrumento principal.
DA PROTEÇÃO DE DADOS
- A CONTRATADA, por si e por seus colaboradores, obriga-se a atuar no presente Contrato em conformidade com a legislação vigente sobre Proteção de Dados Pessoais e as determinações de órgãos reguladores e fiscalizadores sobre a matéria, em especial a Lei 13.709/2018, além das demais normas e políticas de proteção de dados de cada país onde houver qualquer tipo de tratamento dos dados dos clientes, o que inclui os dados dos clientes desta. No manuseio dos dados, a CONTRATADA deverá:
(i) Tratar os dados pessoais a que tiver acesso apenas de acordo com as instruções da CONTRATANTE e em conformidade com estas cláusulas, e, na eventualidade de não mais poder cumprir estas obrigações, por qualquer razão, concorda em informar de modo formal este fato imediatamente à CONTRATANTE, que terá o direito de rescindir o contrato sem qualquer ônus, multa ou encargo.
(ii) Manter e utilizar medidas de segurança administrativas, técnicas e físicas apropriadas e suficientes para proteger a confidencialidade e integridade de todos os dados pessoais mantidos ou consultados e transmitidos eletronicamente, para garantir a proteção desses dados contra acesso não autorizado, destruição, uso, modificação, divulgação ou perda acidental ou indevida.
(iii) Acessar os dados dentro de seu escopo e na medida abrangida por sua permissão de acesso (autorização), sendo certo que os dados pessoais não podem ser lidos, copiados, modificados ou removidos sem autorização expressa e por escrito da CONTRATANTE.
(iv) Garantir, por si própria ou por quaisquer de seus empregados, prepostos, sócios, diretores, representantes ou terceiros contratados, a confidencialidade dos dados processados, assegurando que todos os seus colaboradores, prepostos, sócios, diretores, representantes ou terceiros contratados que lidam com os dados pessoais sob responsabilidade da CONTRATANTE assinaram Acordo de Confidencialidade com a CONTRATADA, bem como a manter quaisquer Dados Pessoais estritamente confidenciais e a não os utilizar para outros fins, com exceção da prestação de serviços à CONTRATANTE. Ainda, treinará e orientará a sua equipe sobre as disposições legais aplicáveis em relação à proteção de dados.
- Os dados pessoais não poderão ser revelados a terceiros, com exceção da prévia autorização por escrito da CONTRATANTE, quer direta ou indiretamente, seja mediante a distribuição de cópias, resumos, compilações, extratos, análises, estudos ou outros meios que contenham ou de outra forma reflitam referidas Informações.
2.1 Caso a CONTRATADA seja obrigada por determinação legal a fornecer dados pessoais a uma autoridade pública, deverá informar previamente a CONTRATANTE para que esta tome as medidas que julgar cabíveis.
2.2 A CONTRATADA deverá notificar a CONTRATANTE em até 24 (vinte e quatro) horas a respeito de:
(i) Qualquer não cumprimento (ainda que suspeito) das disposições legais relativas à proteção de Dados Pessoais pela CONTRATADA, seus funcionários ou terceiros autorizados;
(ii) Qualquer outra violação de segurança no âmbito das atividades e responsabilidades da CONTRATADA.
2.3 A CONTRATADA será integralmente responsável pelo pagamento de perdas e danos de ordem moral e material, bem como pelo ressarcimento do pagamento de qualquer multa ou penalidade imposta à CONTRATANTE e/ou a terceiros diretamente resultantes do descumprimento pela CONTRATADA de qualquer das cláusulas previstas neste capítulo quanto à proteção e uso dos dados pessoais.
Download do modelo em Word (.docx)
Como adaptar o modelo ao seu contrato
Este modelo de cláusula LGPD foi escrito para proteger o contratante. Se você está do outro lado, como fornecedor, os pontos de negociação são o prazo de notificação, o alcance da responsabilidade do item 2.3 (um teto vinculado ao valor do contrato é pedido frequente) e a rescisão sem ônus do item 1(i).
Três ajustes merecem atenção em qualquer posição. Primeiro, subcontratação: se o fornecedor usa suboperadores (hospedagem em nuvem, ferramentas de disparo), preveja que as mesmas obrigações se estendem a eles. Segundo, transferência internacional: servidores fora do Brasil exigem previsão específica. Terceiro, devolução ou eliminação dos dados ao fim do contrato, com comprovação.
O contrato que recebe a cláusula também precisa de formalização adequada. Sobre isso, veja o artigo com cláusulas para contratos com assinatura digital.
O que diz a lei
A base está na Lei 13.709/2018, a LGPD. O art. 46 obriga controladores e operadores a adotar medidas de segurança aptas a proteger os dados de acessos não autorizados e de situações acidentais ou ilícitas. O art. 48 impõe ao controlador o dever de comunicar à ANPD e ao titular o incidente de segurança que possa acarretar risco ou dano relevante.
O art. 42 fecha o circuito da responsabilidade: quem causa dano no tratamento de dados é obrigado a repará-lo, e o operador responde solidariamente quando descumpre a lei ou as instruções lícitas do controlador. A cláusula contratual não cria essas obrigações, que já existem por lei. Ela as torna operacionais e garante o regresso.
Quando vale procurar advogado
Para inserir a cláusula em um contrato simples de fornecimento, o modelo adaptado resolve. A análise jurídica passa a valer a pena quando o fornecedor trata dados sensíveis (saúde, biometria), quando há suboperadores em cadeia ou servidores no exterior, quando o volume de dados é grande o suficiente para um incidente virar passivo relevante, ou quando o fornecedor devolve o contrato com limitações de responsabilidade que esvaziam a cláusula.
Também vale revisão quando o incidente já aconteceu: os prazos de comunicação à ANPD correm rápido e a forma da notificação influencia a dosimetria de eventual sanção. O escritório atende empresas nessa situação na área de Empresas de Tecnologia.
A cláusula de proteção de dados custa meia página no contrato e define quem paga a conta do vazamento. Insira o modelo adaptado, exija a notificação em prazo curto e guarde a via assinada com o mesmo cuidado que você guarda a base de dados.