LGPD em contratos com fornecedores

Quais fornecedores do back-office acessam dados pessoais

Uma parte significativa dos fornecedores típicos do back-office acessa dados pessoais da empresa sem que isso seja percebido como tal no momento da contratação. O primeiro passo para o gestor é mapear essa lista antes de revisar contratos.

A tabela abaixo organiza as categorias de fornecedores mais comuns e o tipo de dado pessoal a que cada uma tem acesso:

O gestor que não percebe esses fornecedores como operadores de dados tende a omitir a cláusula de proteção no contrato — e a exposição existe independentemente da omissão.

O que verificar antes de contratar um fornecedor que acessa dados

Antes de assinar um contrato com fornecedor que terá acesso a dados pessoais, o gestor deve verificar quatro pontos que indicam o nível de maturidade do fornecedor em proteção de dados — sem precisar ser um especialista em privacidade para fazer essa avaliação.

1. O fornecedor tem política de privacidade publicada? Um fornecedor que trata dados pessoais profissionalmente deve ter uma política de privacidade pública e atualizada. Ausência dessa política é sinal de alerta.
2. O contrato proposto menciona proteção de dados? Contratos padrão de fornecedores mais maduros já incluem cláusulas de proteção. Se o contrato não menciona dados pessoais, a inclusão de cláusula precisa ser negociada antes da assinatura.
3. O fornecedor informa onde armazena os dados? Para serviços em nuvem especialmente, é relevante saber se o servidor está no Brasil ou no exterior — transferências internacionais de dados têm exigências específicas que o DPO ou assessor jurídico deve avaliar.
4. O fornecedor se compromete a comunicar incidentes? Se ocorrer um vazamento ou acesso indevido envolvendo dados da sua empresa, o fornecedor tem obrigação de comunicar? Esse compromisso precisa estar no contrato.

O que deve constar no contrato: a cláusula de proteção de dados

A cláusula de proteção de dados em contratos com fornecedores — também chamada de DPA (Data Processing Agreement) em contextos internacionais — define as obrigações do fornecedor na qualidade de operador de dados. A redação dessas cláusulas é responsabilidade do assessor jurídico ou do DPO; o papel do gestor é garantir que elas estejam presentes e que o fornecedor as assine antes de receber acesso aos dados.

Os elementos que toda cláusula de proteção de dados deve conter:

1. Finalidade limitada ao serviço contratado: o fornecedor só pode usar os dados para executar o serviço contratado — e não para outros fins próprios, como análises internas ou cessão a terceiros.
2. Obrigação de confidencialidade: os dados acessados pelo fornecedor são confidenciais e não podem ser compartilhados internamente além do necessário para a execução do serviço.
3. Proibição de compartilhamento com terceiros: o fornecedor não pode subcontratar o processamento dos dados sem autorização expressa da empresa contratante.
4. Obrigação de comunicar incidentes: se ocorrer qualquer evento que possa comprometer os dados (acesso indevido, vazamento, perda), o fornecedor deve comunicar a empresa em prazo definido no contrato, para que a empresa possa acionar o DPO, o assessor jurídico e avaliar a comunicação à ANPD, quando aplicável.
5. Descarte dos dados ao fim do contrato: quando o vínculo com o fornecedor se encerrar, os dados devem ser devolvidos à empresa ou destruídos de forma segura — com comprovação.
6. Cooperação em caso de solicitação de titular ou da ANPD: o fornecedor deve colaborar com a empresa na resposta a solicitações de titulares de dados e em eventuais processos de fiscalização da ANPD.

Fornecedores que acessam dados sensíveis — dados de saúde, dados financeiros detalhados, biometria — exigem nível adicional de exigência na verificação e, em alguns casos, controles de acesso específicos além da cláusula contratual. Nesses casos, o assessor jurídico ou DPO deve ser envolvido antes da contratação.

Renovação de contratos: o momento de incluir o que falta

A renovação de contratos existentes é o momento prático para incluir cláusulas de proteção de dados que ainda estão faltando, sem precisar renegociar o contrato inteiro. Fornecedores de longa data, contratados antes da vigência da legislação de proteção de dados, frequentemente não têm essa cláusula — e a renovação abre a janela para a atualização.

O gestor deve manter um calendário de vencimento de contratos com fornecedores que acessam dados, com alerta antecipado para que o assessor jurídico possa revisar e incluir a cláusula antes da renovação. Uma revisão feita na hora da assinatura é mais fácil e menos custosa do que uma renegociação após o contrato renovado.

Para contratos ainda vigentes e sem previsão de renovação próxima, a opção é incluir um aditivo contratual com a cláusula de proteção de dados — também com apoio do assessor jurídico para a redação.