O Contrato como Ferramenta de Responsabilidade e Prestação de Contas
O contrato é, por definição, o instrumento jurídico destinado a criar, modificar ou extinguir direitos e deveres de conteúdo patrimonial. Como bem conceitua Tartuce (2021, p. 553), trata-se de um negócio jurídico bilateral ou plurilateral, fundado na vontade das partes. Sua função principal vai além da formalização de uma relação: é um verdadeiro mecanismo de atribuição de responsabilidades e, secundariamente, de prestação de contas.
O Código Civil brasileiro, ao tratar da formação contratual, reforça princípios como a boa-fé, a função social e a proteção da parte vulnerável (BRASIL, 2002). Como ressalta Roppo (1988, p. 318), “na relação entre o forte e o fraco, a liberdade escraviza e a lei liberta”, o que demonstra a importância de cláusulas que garantam equilíbrio e proteção, especialmente nas relações assimétricas.
No contexto da proteção de dados, a construção contratual é uma ferramenta de governança que permite, não apenas documentar a relação, mas viabilizar a futura demonstração de boas práticas, e, se necessário a apuração de eventuais responsabilidades e direitos de regresso entre as partes envolvidas em caso de incidentes de segurança ou falhas no cumprimento das obrigações estabelecidas pela LGPD.
Antes de Redigir: Entenda a Operação e Defina os Agentes de Tratamento
Antes de se iniciar a redação ou análise de uma cláusula de proteção de dados, o primeiro passo estratégico é compreender profundamente a operação envolvida. Não basta analisar o contrato isoladamente. É necessário analisar e entender o real fluxo de dados. Perguntas como “De onde vêm os dados?”, “Como é feita essa coleta?”, “Por que são coletados (finalidade)?”, “Quem compartilha com quem?”, “Com qual finalidade?”, “Quem possui relação direta com o titular?” devem nortear essa investigação.
O segundo passo é identificar corretamente os agentes de tratamento: controlador, co-controlador, operador e sub-operador. Perguntas como “Somente você determina as finalidades e elementos essenciais do tratamento?”, “Vocês determinam conjuntamente as finalidades e elementos essenciais do tratamento?”, “Algumas finalidades e elementos essenciais são determinadas em conjunto e outras são determinadas separadamente?”, “Vocês determinam separadamente as finalidades e os elementos essenciais do tratamento?” devem nortear essa identificação. Essa definição é fundamental, afinal, é ela quem define o grau de responsabilidade de cada um, sua obrigação de prestação de contas e a extensão de sua participação no ciclo de vida dos dados. Uma análise rasa pode resultar em cláusulas que não refletem a realidade da operação, criando riscos jurídicos.
Vale ressaltar: o objetivo de cláusulas bem elaboradas não é exigir a responsabilidade das partes de forma indiscriminada, mas garantir que seja possível identificar com clareza as responsabilidades contratuais, facilitando o exercício de direito de regresso e assegurando a proteção de toda a cadeia envolvida. O contrato deve demonstrar a boa-fé na relação e ser um instrumento que materialize as instruções e limites previamente acordados entre as partes.
Escalando a Complexidade: A Régua de Risco Contratual
Uma armadilha comum nas empresas é a tentativa de usar um único modelo de cláusula de proteção de dados para todos os contratos. Essa abordagem, além de tecnicamente inadequada, pode gerar riscos regulatórios e jurídicos. O nível de complexidade das cláusulas precisa ser dimensionado conforme a realidade da operação.
Uma boa prática é avaliar a seguinte equação: Complexidade da Operação + Volume de Dados + Natureza dos Dados = Nível de Complexidade das Cláusulas.
Cláusulas mais simples podem ser suficientes quando o tratamento de dados é acessório ao objeto contratual, o volume de dados é baixo e não há dados sensíveis envolvidos. Entretanto, cláusulas robustas e complexas são indispensáveis quando o próprio objeto do contrato envolve o tratamento de dados, quando o volume de dados tratados é expressivo e/ou quando há tratamento de dados sensíveis.
Ainda assim, defina uma régua de risco que deve orientar toda a negociação. A régua de risco pode ser dividida em quatro níveis (sem risco, baixo, médio e alto), conforme o impacto regulatório. Por exemplo, cláusulas que trazem definições gerais ou cláusulas meramente conceituais, como definições de termos e expressões previstos em lei, não tem impacto direto sobre o risco jurídico-regulatório. Outras cláusulas, possuem alto impacto e são inegociáveis, como o dever de confidencialidade, já que o não cumprimento dessa obrigação pode causar incidentes de segurança, podendo ser ambas as partes responsabilizadas (art. 44, LGPD).
Não Existe Milagre, Existe Análise de Risco e Personalização
No universo da proteção de dados, é comum encontrar “modelos prontos” que prometem resolver todas as situações contratuais. Essa abordagem, além de tecnicamente inadequada, pode gerar sérios riscos regulatórios e jurídicos.
No fim das contas, contrato bom é aquele que reflete a realidade da operação e prepara a organização para o melhor… e para o pior. Um contrato bem elaborado é um pilar de governança, responsabilidade e mitigação de riscos, e não um mero documento protocolar.
Quer ler mais textos dessa autora? Saiba mais sobre como a proteção de dados impacta o agronegócio clicando aqui.
Referências
BRASIL. Lei nº 10.406, de 10 de janeiro de 2002. Institui o Código Civil. Brasília, DF: 2002. Disponível em: <https://www.planalto.gov.br/ccivil_03/leis/2002/l10406compilada.htm>. Acesso em: 10 jun. 2025.
___. Lei nº 13.709, de 14 de agosto de 2018. Lei Geral de Proteção de Dados Pessoais (LGPD). Brasília, DF: 2018. Disponível em: <https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm>. Acesso em: 10 jun. 2025.
ROPPO, Enzo. O contrato. Coimbra: Almedina, 1988. TARTUCE, Flávio. Manual de direito civil: volume único. 11. ed.Rio de Janeiro, Forense; Método, 2021
