A Lei Geral de Proteção de Dados (LGPD) trouxe consigo diversas mudanças que afetam diretamente os contratos empresariais. Com a implementação da LGPD, as empresas passaram a ter a responsabilidade de garantir a conformidade com os requisitos legais no que diz respeito ao tratamento de dados pessoais. Isso significa que os contratos relacionados a atividades que envolvem o tratamento de dados precisam estar em conformidade com as exigências da lei.

A conformidade com a LGPD não se restringe apenas às empresas em si, mas também aos contratos que refletem como os dados serão tratados. É fundamental que os contratos empresariais estejam em consonância com as disposições da lei, a fim de garantir a proteção adequada dos dados pessoais dos clientes e usuários.

Para compreender a importância da adaptação contratual à LGPD, é necessário ter um conhecimento básico dos principais conceitos abordados pela lei. É fundamental compreender o que são dados pessoais, dados pessoais sensíveis, titular dos dados e tratamento de dados. Esses conceitos servem como base para a elaboração de contratos que estejam alinhados com as exigências legais.

Além disso, é essencial compreender o papel dos agentes de tratamento de dados, que se dividem em controlador e operador. O controlador é responsável por tomar as decisões relacionadas ao tratamento de dados, determinando a finalidade e os meios desse tratamento. Já o operador recebe os dados do controlador e os trata de acordo com suas instruções.

Uma vez que esses conceitos são compreendidos, torna-se possível abordar a adequação da empresa à LGPD. Antes de adaptar os contratos, é necessário que as empresas ajustem suas práticas e diretrizes de acordo com a lei. Isso envolve mapear os dados, identificar quais informações são tratadas, quais processos e sistemas estão envolvidos, quem são os titulares dos dados e qual é a finalidade das operações realizadas.

Para compreender como adequar o contrato à LGPD, é importante ter um conhecimento dos conceitos fundamentais estabelecidos pela lei. Isso ocorre porque o contrato deve refletir a realidade da negociação e cumprir as exigências legais relacionadas à proteção de dados. A seguir, abordaremos alguns desses conceitos essenciais:

1. Informações pessoais: referem-se a dados como RG, CPF, endereço IP e perfis em redes sociais.
2. Dados pessoais sensíveis: envolvem informações de natureza racial, religiosa, biométrica e política, que requerem uma proteção especial devido à sua sensibilidade.
3. Titular dos dados: trata-se da pessoa física a quem os dados pessoais e sensíveis se referem, ou seja, o indivíduo sobre o qual essas informações estão relacionadas.
4. Tratamento de dados: engloba qualquer atividade que envolva o uso ou manipulação dos dados pessoais dos titulares, como coleta, armazenamento, análise e compartilhamento.

O agente de tratamento é aquele que lida de alguma forma com os dados e pode ser dividido em dois tipos: controlador e operador. Vamos entender a diferença entre eles:

– Controlador: é responsável pelas decisões relacionadas ao tratamento de dados. Ele determina a finalidade e os meios do tratamento dos dados.

– Operador: recebe os dados do controlador e os trata.

A principal diferença entre o controlador e o operador é que o controlador toma as decisões e determina a finalidade do tratamento dos dados. Lembre-se dessa informação, pois voltaremos a ela mais adiante!

Agora que definimos esses conceitos, podemos abordar a parte de adequação da empresa à LGPD. Antes de adequar o contrato, é necessário adequar o negócio, a empresa e as diretrizes da lei. A LGPD é baseada em princípios que visam garantir os direitos dos titulares, como o princípio da finalidade, que estabelece que o tratamento deve ser realizado para propósitos legítimos, específicos, explícitos e informados ao titular, sem possibilidade de tratamento posterior de forma incompatível com essas finalidades. Portanto, o primeiro passo para se adequar à lei é mapear os dados. O mapeamento de dados deve responder a perguntas como: quais dados são tratados, quais processos e sistemas estão envolvidos, quais partes estão envolvidas, quem são os titulares dos dados, quais operações estão sendo realizadas e qual é a finalidade dessas operações. Isso envolve uma análise dos processos, finalidades e um inventário de dados. Esse mapeamento deve ser realizado em todos os setores que lidam com o tratamento de dados antes de prosseguir para a próxima etapa. Embora não seja um processo simples, nosso foco neste artigo é a adequação contratual, então vamos para a próxima etapa.

Em seguida, é necessário realizar uma análise de riscos e um plano de ação. Isso envolve corrigir as falhas identificadas no mapeamento e criar medidas para cumprir a lei. Em seguida, passamos para a fase de implementação, que inclui a adequação contratual. Embora essa fase exija a implementação de políticas de privacidade e segurança, vamos nos concentrar na adequação contratual.

Como adequar o contrato à LGPD? Durante a fase de implementação, é necessário adequar o contrato, conforme mencionado anteriormente. Um dos pontos mais importantes dessa adequação legal ao contrato são as definições de controlador e operador. O controlador tem maior responsabilidade, pois toma as decisões relacionadas à finalidade do tratamento. No entanto, nem sempre é fácil determinar quem é o operador e quem é o controlador em negociações empresariais envolvendo duas ou mais pessoas jurídicas. Portanto, é importante entender que o operador, mesmo que tome certas decisões, não é considerado controlador, pois ele atua como um executor, não essencialmente definindo a finalidade do tratamento dos dados. Isso é especialmente importante para evitar conflitos futuros, pois estamos lidando com uma lei que impõe penalidades significativas. Além do esclarecimento dos papéis das partes envolvidas no contrato, também é necessário incluir cláusulas que abordem o tratamento realizado, os dados tratados, a finalidade do tratamento, o cumprimento dos direitos dos titulares, as situações em que é permitido o compartilhamento de dados, as medidas de gestão de riscos em caso de descumprimento e as penalidades em caso de descumprimento. Essas cláusulas podem ser inseridas como anexos ou no corpo do contrato.

Caso estejamos lidando com uma relação contratual já existente, é necessário revisar esses contratos. A lei não se aplica apenas aos negócios realizados após a promulgação da lei, mas também aos contratos existentes, mesmo que tenham sido celebrados antes da LGPD entrar em vigor. A revisão desses contratos envolve uma reformulação contratual por meio de um aditivo ou de um novo instrumento contratual.

Jorge Alexandre Fagundes