Privacidade e Proteção de Dados: práticas contratuais essenciais ao seu negócio

Com a consolidação da Lei Geral de Proteção de Dados (Lei n. 13.709/18) no cenário jurídico e empresarial, o cuidado com a privacidade e proteção de dados passou a ser um fator estratégico para as empresas de todos os setores, ao mesmo tempo em que há maior demanda por boas práticas no tratamento de dados pessoais.

Nesse contexto, garantir que os negócios estejam em conformidade com a LGPD, especialmente por meio de uma redação contratual cuidadosa, é uma das frentes mais importantes para garantir segurança jurídica e evitar penalidades e responsabilidades.

A ausência de cláusulas específicas sobre proteção de dados pessoais em contratos pode representar um risco significativo. No entanto, muitos contratos com fornecedores, parceiros, consultores ou operadores de dados pessoais ainda ignoram aspectos essenciais exigidos por lei. Essa omissão pode gerar sanções administrativas, ações indenizatórias e, não menos grave, danos reputacionais difíceis de apuração e reparação.

Um dos pontos mais críticos observados na prática contratual é a ausência de cláusulas claras que definam quais dados pessoais serão tratados e para quais finalidades, o que pode levar a questionamentos sobre eventual uso inadequado ou desnecessário dessas informações. Outro risco frequente é a falta de previsão de obrigações específicas relacionadas à segurança da informação, deixando a outra parte livre para adotar — ou não — as medidas técnicas necessárias para cumprimento dos princípios gerais previstos na legislação própria.

É igualmente arriscado deixar se se estabelecer os procedimentos a serem adotados em caso de vazamento ou incidente de segurança. Em 2024, a Autoridade Nacional de Proteção de Dados (“ANPD”) publicou a Resolução CD/ANPD n.15, que aprovou o Regulamento de Comunicação de Incidente de Segurança. Pelo Regulamento, foi determinado que a comunicação de incidente de segurança à ANPD deve ser realizada pelo controlador no prazo de três dias úteis, contados do conhecimento pelo controlador de que o incidente afetou dados pessoais. Desse modo, sem prazos claros para comunicação pelo operador sobre o incidente e medidas de contenção, o controlador pode não agir a tempo de evitar danos maiores – e responderá, inclusive, perante a ANPD.

Outra preocupação recai sobre a subcontratação de serviços pelo operador sem a prévia anuência do controlador. Nesses casos, o controlador perde o controle sobre a cadeia de tratamento, ampliando os riscos de exposição de dados e dificultando a fiscalização.

Por fim, contratos que deixam de prever a eliminação ou devolução segura dos dados pessoais tratados ao término da relação contratual ou que não tratam da transferência internacional de dados pessoais estão incompletos e podem violar diretamente dispositivos da LGPD. Isso se torna ainda mais relevante após a publicação, em agosto de 2024, da Resolução CD/ANPD nº 19, que estabelece os procedimentos e regras que controlador e operador devem seguir quando realizarem operações envolvendo transferência internacional de dados pessoais.

Formalizar contratualmente a governança do tratamento de dados não é mera formalidade. É uma estratégia jurídica preventiva essencial para mitigar riscos regulatórios e evitar litígios desnecessários, assim como demonstra o compromisso institucional com a privacidade dos dados pessoais dos seus clientes, colaboradores e parceiros.

Caso os contratos da sua empresa ainda não tenham sido adequados com as diretrizes atualizadas da LGPD, especialmente quanto às exigências da Agenda Regulatória 2025–2026 da ANPD, é fundamental promover sua adequação imediata para mitigar riscos legais e garantir conformidade com os princípios de governança e segurança no tratamento de dados pessoais.

Em caso de dúvidas, nossa equipe de especialistas está à disposição para quaisquer esclarecimentos que se fizerem necessários.

Autores: Beatriz Leão de Almeida bla@lrilaw.com.br 

Departamento de Contratos 

Leonardo Bianco lob@lrilaw.com.br
Natalie Carvalho nac@lrilaw.com.br 

    Este Boletim foi preparado com propósito meramente informativo; não pode ser tratado como aconselhamento legal e as informações nele contidas não devem ser seguidas sem orientação profissional.