LGPD e compartilhamento de dados pessoais: o que as empresas precisam saber

O que é o fornecimento de dados pessoais a terceiros na LGPD

Na prática, ele ocorre sempre que a empresa entrega dados pessoais a outra organização, seja para que ela preste um serviço, seja para que use as informações com finalidade própria.

Compartilhamento de dados x tratamento por operador

A lei distingue duas figuras. O controlador decide como e por que os dados serão tratados. Já o operador trata os dados em nome do controlador, seguindo as instruções dele. Um escritório de contabilidade que processa a folha de pagamento, por exemplo, costuma atuar como operador. Por outro lado, um parceiro comercial que recebe uma lista de contatos e a utiliza para fins próprios age como controlador. Nesse caso, há compartilhamento propriamente dito, o que exige base legal específica. Identificar o papel de cada parte é, portanto, o primeiro passo, pois dele dependem as obrigações previstas no contrato.

Situações comuns nas empresas

Entre os exemplos mais frequentes estão o envio de dados de funcionários à contabilidade, o armazenamento de bases de clientes em plataformas de CRM e de nuvem, o repasse de listas de contatos a agências de marketing e o uso de sistemas de recrutamento que guardam currículos.

Quando a empresa pode fornecer dados pessoais a terceiros

Antes de contratar, é preciso confirmar que o compartilhamento tem respaldo na lei.

Bases legais que autorizam o compartilhamento

O artigo 7º da LGPD lista as hipóteses que permitem o tratamento de dados, entre elas o cumprimento de obrigação legal, a execução de contrato e o legítimo interesse. Em muitas contratações de prestadores, a base é uma dessas três. Já quando os dados foram coletados com base no consentimento, o compartilhamento com outro controlador exige consentimento específico do titular para essa finalidade, conforme o parágrafo 5º do mesmo artigo.

Princípios da finalidade, da necessidade e da transparência

Independentemente da base legal, o artigo 6º exige que o compartilhamento respeite alguns princípios. A finalidade impõe que o dado seja usado apenas para o propósito informado ao titular. A necessidade determina que se forneça somente o mínimo indispensável. Assim, enviar a base completa de clientes a um fornecedor que precisa apenas de nome e e-mail já configura um desvio.

O dever de informar o titular dos dados

A política de privacidade deve indicar, de forma clara, com quem os dados são compartilhados e para qual finalidade. Além disso, o titular pode solicitar essa informação a qualquer momento, com base no artigo 18.

Quem responde por falhas no compartilhamento de dados

Papéis de controlador e operador

O controlador é responsável por escolher fornecedores adequados e por definir instruções claras. O operador, por sua vez, deve tratar os dados somente conforme essas instruções, como determina o artigo 39. Contudo, contratar um operador não transfere a responsabilidade: ela permanece com quem decidiu compartilhar os dados.

Responsabilidade solidária e o dever de reparação

O artigo 42 estabelece que quem causar dano em razão do tratamento de dados deve repará-lo. O operador responde solidariamente quando descumpre a lei ou as instruções lícitas do controlador. Na prática, a vítima de um vazamento pode cobrar a reparação de qualquer um dos envolvidos, e cabe a eles discutir depois o direito de regresso.

Sanções da ANPD e riscos à reputação

As sanções da ANPD podem trazer impactos além das penalidades administrativas. Falhas na proteção de dados podem ganhar repercussão no ambiente digital. Essas situações podem prejudicar a reputação da empresa. Além disso, podem reduzir a confiança dos clientes. Por isso, proteger dados também é uma forma de preservar a imagem da marca.

O que verificar antes de contratar um fornecedor que trata dados pessoais

Avaliação da maturidade do fornecedor em proteção de dados

Solicite informações sobre a política de privacidade, a existência de um encarregado (DPO), certificações de segurança e o histórico de incidentes. Um fornecedor que não consegue responder a essas perguntas dificilmente protegerá bem os dados da sua empresa.

Cláusulas essenciais no contrato

O contrato com o operador deve ir além do modelo genérico. Verifique se ele prevê:

• finalidade e escopo do tratamento, com a lista de dados envolvidos;
• medidas de segurança exigidas do fornecedor;
• regras para subcontratação, com autorização prévia da empresa;
• devolução ou exclusão dos dados ao fim do contrato;
• direito de auditoria e responsabilidades em caso de incidente.

Medidas de segurança e comunicação de incidentes

O artigo 46 exige medidas técnicas e administrativas para proteger os dados, e o artigo 48 obriga o controlador a comunicar incidentes relevantes à ANPD e aos titulares. Dessa forma, o contrato deve fixar um prazo curto para que o fornecedor avise a empresa assim que identificar qualquer problema.

Transferência internacional de dados

Muitos serviços de nuvem armazenam informações fora do país. Nesses casos, o artigo 33 exige que a transferência se enquadre em uma das hipóteses legais, como cláusulas contratuais padrão.

Erros comuns ao compartilhar dados pessoais com terceiros

• Contratos genéricos: documentos sem cláusulas de proteção de dados deixam a empresa exposta.
• Excesso de dados: compartilhar mais informações do que o necessário viola o princípio da necessidade.
• Falta de monitoramento: muitas empresas avaliam o fornecedor apenas na contratação e nunca mais revisam o acesso.

Conclusão

O fornecimento de dados pessoais a terceiros faz parte da operação de qualquer negócio, mas exige base legal, contratos bem redigidos e acompanhamento contínuo. Conhecer os papéis de controlador e operador, exigir garantias de segurança e evitar o excesso de compartilhamento protegem tanto os titulares quanto a empresa. Além disso, a adequação à LGPD deve ser preventiva: é muito mais eficiente avaliar o fornecedor antes de contratar do que administrar as consequências de um vazamento depois.

Perguntas frequentes

Toda empresa que usa fornecedores precisa de contrato específico sobre proteção de dados?

Sim, sempre que o fornecedor tiver acesso a dados pessoais. O contrato deve definir finalidade, medidas de segurança e regras de exclusão dos dados.

A empresa pode compartilhar dados de clientes sem consentimento?

Depende da base legal. Em casos como a execução de contrato ou o legítimo interesse, o consentimento não é necessário, mas é preciso respeitar os princípios da finalidade e da necessidade.

Quem responde se o fornecedor sofrer um vazamento?

Ambos podem responder. O operador responde quando descumpre a lei ou as instruções recebidas, e o controlador pode ser responsabilizado por sua escolha e fiscalização.

Com que frequência é preciso revisar os contratos com fornecedores?

A lei não fixa um prazo, mas a boa prática é revisar ao menos uma vez por ano e sempre que houver mudança no serviço ou no volume de dados.