Preciso adicionar uma cláusula sobre a LGPD em contratos de prestação de serviços?

A Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018) estabeleceu regras para o tratamento de dados pessoais, inclusive nos meios digitais, seja por pessoa natural (quando possuir finalidade econômica) ou por pessoa jurídica de direito público ou privado, tendo como objetivo a proteção dos direitos fundamentais de liberdade e de privacidade. 

A lei trouxe uma série de princípios, regras e procedimentos a serem adotados por todos que coletam dados e realizam o tratamento de dados pessoais que, se não observadas, podem implicar em responsabilização por dano patrimonial, moral, individual ou coletivo e sanções administrativas aplicadas pela Autoridade Nacional de Proteção de Dados. 

Com a LGPD, surgiu a necessidade de adequação dos contratos de prestação de serviços às diretrizes estabelecidas pela lei, sobretudo pelo fato de que nas relações contratuais ocorrem compartilhamentos de dados pessoais entre os agentes de tratamento. Portanto, a resposta para a nossa pergunta do título é sim. 

Compõem o contrato de prestação de serviços dois diferentes tipos de agentes de tratamento: o controlador e o operador. De acordo com a LGPD, o controlador é a pessoa natural ou jurídica, de direito público ou privado, a quem competem as decisões referentes ao tratamento de dados pessoais, ou seja, a pessoa responsável pelo tratamento desses dados; por outro lado, o operador é a pessoa natural ou jurídica, de direito público ou privado, que realiza o tratamento de dados pessoais em nome do controlador. 

Compete, portanto, ao controlador o dever de orientar sobre as regras para o tratamento e determinar que o operador siga medidas técnicas e administrativas com o objetivo de garantir a proteção de dados, de garantir que qualquer incidente com dados pessoais seja comunicado, e de determinar que o controlador atenda às solicitações dos titulares e que realize a atualização dos dados pessoais quando requerido. 

Diante das responsabilidades atribuídas pela Lei Geral de Proteção de Dados, sobretudo no âmbito dos contratos de prestação de serviços, é de suma importância que se fixe tanto em contratos iniciais, como através de aditivos contratuais, as diretrizes que devem ser seguidas para garantir o integral cumprimento da LGPD. 

Assim como nos termos de confidencialidade e de sigilo, principalmente aqueles referentes a segredos industriais, a adoção de adendos e cláusulas contratuais de proteção de dados pessoais mostra-se necessária à adequação dos contratos de prestação de serviços à LGPD, especialmente porque a referida lei prevê que a responsabilidade por qualquer dano ou violação é de responsabilidade solidária entre o controlador e o operador. Ou seja, ambas as partes podem responder solidariamente por qualquer violação à LGPD em qualquer contrato que envolva o compartilhamento de dados pessoais. 

Portanto, é essencial que tanto em contratos já vigentes como em novos contratos sejam incluídas cláusulas contratuais e disposições delimitando responsabilidades de cada um dos contraentes relativas ao tratamento de dados pessoais que envolvam o fluxo de informações para a execução dos serviços. 

Por Jonas Fanton e Juliana Dias Belizário.