A entrada em vigor da Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018), a LGPD, representou uma mudança significativa na forma como o poder público e seus contratados devem lidar com dados pessoais.
No âmbito dos contratos administrativos, essa responsabilidade alcança todos os entes da Administração Pública e seus parceiros privados, exigindo atenção redobrada na gestão contratual.
O dever de conformidade da Administração Pública
Ao contrário de empresas privadas, a Administração Pública está vinculada de maneira ainda mais intensa ao cumprimento da LGPD, considerando princípios constitucionais como legalidade, moralidade, publicidade e eficiência. O tratamento de dados pessoais pelo Estado deve ocorrer, preferencialmente, para atender ao interesse público, com estrita observância dos direitos fundamentais dos titulares dos dados.
É importante ressaltar que a LGPD não afasta as obrigações previstas em outras normas setoriais.
Ao contrário, amplia o compromisso com a transparência e a responsabilidade, exigindo que os contratos administrativos contenham cláusulas específicas que disciplinem como os dados serão tratados e protegidos durante toda a vigência contratual.
Por que incluir cláusulas de proteção de dados nos contratos?
A celebração de contratos administrativos frequentemente envolve a circulação de dados pessoais, seja de cidadãos que utilizam serviços públicos, seja de servidores e colaboradores.
Dados cadastrais, informações sensíveis (como saúde ou dados biométricos) e registros financeiros podem transitar entre o ente público e o contratado, criando uma cadeia de corresponsabilidade.
A ausência de cláusulas contratuais claras pode gerar uma série de riscos:
- Responsabilização solidária: A LGPD prevê que tanto o controlador quanto o operador podem responder por danos causados aos titulares dos dados.
- Sanções administrativas: Embora as multas aplicadas pela Autoridade Nacional de Proteção de Dados (ANPD) se limitem a pessoas jurídicas de direito privado, órgãos públicos podem sofrer advertências e publicização de infrações.
- Invalidação do contrato: A inobservância da LGPD pode configurar violação aos princípios constitucionais e legais que regem os contratos administrativos, ensejando questionamentos pelos órgãos de controle.
- Danos à imagem institucional: Vazamentos de dados geram desconfiança e afetam diretamente a reputação da Administração.
Por isso, é essencial que a conformidade à LGPD seja prevista de maneira expressa e detalhada no instrumento contratual.
O que deve constar nas cláusulas de proteção de dados?
Ainda que não exista um modelo único, há elementos mínimos que devem integrar a cláusula de proteção de dados pessoais em contratos administrativos. São eles:
- Finalidade do tratamento: Indicação clara dos objetivos pelos quais os dados serão coletados e utilizados.
- Hipóteses legais de tratamento: Identificação da base legal prevista na LGPD que justifica a operação (por exemplo, execução de políticas públicas ou cumprimento de obrigação legal).
- Obrigações do contratado: Determinação de deveres como sigilo, uso limitado aos propósitos contratuais e proibição de compartilhamento sem autorização.
- Medidas de segurança: Previsão de mecanismos técnicos e administrativos de proteção, tais como controle de acesso, criptografia e políticas internas de segurança.
- Notificação de incidentes: Compromisso de comunicação imediata ao contratante sobre qualquer incidente de segurança que possa acarretar risco ou dano relevante.
- Devolução ou eliminação de dados: Definição sobre o destino dos dados ao final do contrato.
- Responsabilidade: Estabelecimento das consequências pelo descumprimento da cláusula, incluindo eventuais indenizações.
Essas previsões não só demonstram diligência da Administração, mas também servem como instrumento de gestão de riscos e compliance contratual.
A responsabilidade compartilhada no tratamento de dados
A LGPD institui o conceito de corresponsabilidade entre controladores e operadores. No contexto dos contratos administrativos, em regra, o órgão público figura como controlador dos dados, enquanto a empresa contratada atua como operadora.
Contudo, dependendo da estrutura da execução contratual, o contratado pode assumir o papel de controlador, ou até mesmo de controlador conjunto, caso detenha autonomia sobre as decisões relacionadas ao tratamento dos dados pessoais.
Essa definição impacta diretamente o grau de responsabilidade e o detalhamento das obrigações contratuais, sendo recomendável que o contrato esclareça expressamente essa relação.
O papel da ANPD e dos órgãos de controle
A atuação da Autoridade Nacional de Proteção de Dados (ANPD) também se estende à Administração Pública, com a competência para orientar, fiscalizar e determinar medidas de adequação. Ao mesmo tempo, Tribunais de Contas e Ministérios Públicos passaram a exigir que contratos administrativos contemplem salvaguardas adequadas à proteção dos dados pessoais.
A ausência de cláusulas específicas pode ser interpretada como falha de gestão contratual, ensejando recomendações, responsabilizações de gestores e, em situações graves, aplicação de sanções legais.
Boas práticas de adequação
Para garantir maior segurança jurídica e demonstrar compromisso com a proteção de dados, recomenda-se que a Administração adote algumas boas práticas:
- Elaborar modelos padronizados de cláusulas contratuais e termos aditivos.
- Exigir dos contratados políticas internas de proteção de dados.
- Avaliar a capacidade técnica dos fornecedores quanto ao cumprimento da LGPD.
- Prever auditorias e fiscalizações periódicas sobre o tratamento de dados.
- Sensibilizar equipes internas sobre suas responsabilidades.
Essas medidas não eliminam os riscos, mas fortalecem a governança institucional e colaboram para prevenir incidentes.
Considerações finais
A observância da LGPD em contratos administrativos vai muito além de uma formalidade documental. Trata-se de obrigação legal, reflexo de princípios constitucionais e de um compromisso ético com o respeito aos direitos fundamentais dos titulares de dados pessoais.
Mais do que nunca, é fundamental que gestores públicos e empresas contratadas atentem para a inserção de cláusulas claras e eficazes de proteção de dados, garantindo a segurança jurídica e a integridade das relações contratuais.
