A importância dos contratos na definição das responsabilidades dos agentes de tratamento de dados pessoais - Agron
Vervi Assessoria 30 de abril de 2021
Mesmo sem qualquer regulamentação expressa acerca do teor das cláusulas contratuais, a análise de forma sistemática da LGPD permite a extração do conteúdo mínimo capaz de mitigar os riscos dos contratantes e proporcionar maior proteção aos dados pessoais.
Em síntese, a parte contratante será considerada controladora se couber a ela a decisão de realizar o tratamento, quando define a finalidade, os propósitos do tratamento e elementos essenciais do tratamento (ex: quais dados serão tratados, por qual período de tempo etc).
Por sua vez, será considerado operador aquele que age para atender os propósitos e finalidades de outrem (no caso, controlador), podendo, contudo, determinar as medidas técnicas e organizacionais mais adequadas para o tratamento, desde que não essenciais.
Somente a análise acurada do caso concreto é capaz de verificar qual a posição assumida por cada uma das partes contratuais. Verificada a posição do agente no tratamento, passa-se para o segundo ponto, que é a definição da responsabilidade dos agentes em todas as etapas do tratamento.
O operador também deve se preocupar com a licitude da fonte dos dados fornecidos pelo controlador, bem como informá-lo caso haja a necessidade de compartilhamento.
Portanto, deve ser previsto nos contratos os meios capazes de atestar o cumprimento da LGPD e a eficácia das medidas técnicas e administrativas adotadas para garantir o tratamento seguro dos dados pessoais. É dizer, não basta a mera previsão contratual, a proteção deve ser provada e auditada.
Por fim, é claro que todas as observações acima devem estar alinhadas com o objeto do contrato e com a atividade empresarial das partes, sob pena de aumentar de forma desnecessária a responsabilidade dos contratantes.
Portanto, já é possível concluir que cláusulas genéricas expondo a simples obrigação de tratar os dados pessoais conforme as regras da LGPD nem de longe são suficientes para definir responsabilidades, mitigar penalizações e contribuir para o sistema de proteção dos dados pessoais.