Contratos de Tratamento de Dados e Aditivos DPA (LGPD)

Segurança Jurídica na Cadeia de Operadores e Suboperadores sob a LGPD

Na contratação de serviços em nuvem, plataformas de gestão, meios de pagamento, recursos humanos terceirizados e soluções médicas ou financeiras, a assinatura de um Contrato ou Aditivo de Tratamento de Dados (DPA — Data Processing Agreement) deixou de ser formalidade acessória para tornar-se requisito indispensável de aprovação jurídica e auditoria corporativa. Sem cláusulas alinhadas à Lei Geral de Proteção de Dados (LGPD — Lei nº 13.709/2018) e às resoluções vigentes da Autoridade Nacional de Proteção de Dados (ANPD), controlador e operador ficam expostos à responsabilidade civil solidária prevista no art. 42, § 1º, da LGPD e a sanções administrativas severas.

O MFP Advogados redige, adapta e negocia aditivos DPA tanto para companhias contratantes (controladoras que precisam cobrar segurança real de seus provedores) quanto para fornecedores de tecnologia e serviços corporativos (operadores que necessitam de termos ágeis, objetivos e juridicamente equilibrados).

Cláusulas Essenciais em um DPA Alinhado à ANPD

• Delimitação Precisa entre Controlador e Operador (arts. 5º, VI e VII, e 39 da LGPD): definição documental rigorosa das instruções lícitas que regem o tratamento, vedando o uso secundário das bases de dados do cliente pelo fornecedor para fins comerciais próprios ou enriquecimento de bases externas não autorizadas.
• Notificação de Incidentes de Segurança dentro do Prazo Regulatório (Resolução CD/ANPD nº 15/2024): alinhamento do prazo operacional para que o operador informe ao controlador qualquer suspeita ou confirmação de incidente com dados pessoais em tempo hábil para que o controlador cumpra o prazo legal máximo de 3 dias úteis para comunicação à ANPD e aos titulares afetados quando houver risco ou dano relevante.
• Transferência Internacional de Dados e Cláusulas-Padrão (Resolução CD/ANPD nº 19/2024): sempre que o tratamento utilizar data centers, serviços de backup ou suporte técnico localizados fora do Brasil, incorporação rigorosa das Cláusulas-Padrão Contratuais aprovadas pela ANPD ou validação de mecanismo legal equivalente aplicável ao país de destino.
• Subcontratação (Suboperadores), Auditoria e Descarte Pós-Término (art. 16 da LGPD): governança para aprovação prévia ou lista transparente de suboperadores, direitos proporcionais de verificação de conformidade e cronograma verificável de devolução ou eliminação segura ao encerrar o vínculo principal.

Alinhamento com Seguros Cibernéticos e Gestão de Riscos

A existência de DPAs regularmente formalizados com fornecedores críticos reforça a trilha de conformidade perante apólices de risco cibernético e serve como elemento atenuante objetivo na dosimetria de eventuais penalidades conforme previsto no art. 52, § 1º, incisos VIII e IX, da LGPD.

Perguntas Frequentes sobre Contratos DPA e LGPD

Por que empresas contratantes recusam fechar serviço em nuvem ou software sem a assinatura de um DPA?

Porque o art. 42, § 1º, da LGPD impõe responsabilidade solidária ao operador que descumprir a lei ou as instruções do controlador, e o controlador precisa comprovar diligência na escolha e contratação do operador (art. 39 e art. 50) para mitigar passivos regulatórios e atender às resoluções da ANPD.

Modelos americanos ou europeus baseados exclusivamente no GDPR substituem o DPA brasileiro na íntegra?

Não de forma automática. Embora conceitos equivalham estruturalmente, instrumentos redigidos apenas sob o GDPR europeu omitem bases legais exclusivas brasileiras (como tutela do crédito), prazos específicos de incidente da Resolução CD/ANPD nº 15/2024 e as cláusulas-padrão exigidas no Brasil pela Resolução CD/ANPD nº 19/2024 para transferências internacionais.