Contrato controlador-operador: cláusulas que não podem faltar

Quando uma empresa contrata um fornecedor de verificação de identidade, ela não está só comprando tecnologia: está entregando dados pessoais dos próprios clientes, inclusive dados sensíveis como biometria, para outra organização tratar. A LGPD tem nomes para os dois lados dessa mesa e consequências para os dois, e o contrato entre eles é o documento que decide, com anos de antecedência, como as perguntas difíceis serão respondidas: quem avisa quem no incidente, quem atende o titular, o que acontece com os dados no fim.

Este artigo mapeia os papéis, a responsabilidade que a lei distribui e as cláusulas que um contrato controlador-operador de KYC precisa ter para proteger os dois lados, na ordem em que elas costumam faltar.

Quem é quem: os papéis do artigo 5º

A LGPD, Lei 13.709/2018, define no artigo 5º o controlador (inciso VI) como quem toma as decisões referentes ao tratamento, e o operador (inciso VII) como quem realiza o tratamento em nome do controlador. No arranjo típico de verificação de identidade, a empresa contratante é controladora: ela decide verificar seus usuários, com qual profundidade e para qual finalidade. O fornecedor é operador: verifica porque foi instruído, nos limites da instrução.

O artigo 39 dá a regra de ouro do arranjo: o operador realiza o tratamento segundo as instruções fornecidas pelo controlador, e cabe ao controlador verificar a observância dessas instruções. Duas obrigações numa frase: o operador não inventa finalidade, e o controlador não terceiriza a consciência. E o artigo 37 obriga ambos a manter registro das operações de tratamento que realizarem, o que o contrato deve refletir como obrigação recíproca, não como cortesia.

Por que o contrato importa: a responsabilidade é pegajosa

O artigo 42, parágrafo 1º, inciso I, estabelece que o operador responde solidariamente pelos danos quando descumprir as obrigações da legislação ou quando não seguir as instruções lícitas do controlador. A leitura de negócio: o operador que trata fora da instrução compra o passivo junto; o controlador que instrui mal, ou não instrui, não se esconde atrás do fornecedor. Nenhum contrato revoga a lei, mas é o contrato que prova qual era a instrução, e sem essa prova a discussão de responsabilidade vira arqueologia de e-mails.

As cláusulas, na ordem em que fazem falta

• Objeto e instruções documentadas. O que exatamente o operador faz com os dados, por escrito e versionado: módulos de verificação executados, categorias de dados tratadas, fontes consultadas. Instrução vaga ("prestar serviços de verificação") não orienta operação nem defende ninguém.
• Finalidade e vedação de uso próprio. Os dados servem à verificação instruída e a nada mais. A cláusula que veda ao operador usar os dados para fins próprios, inclusive treinar modelos ou enriquecer bases comerciais, é a que separa operador de sócio oculto do dado.
• Suboperadores. Quem o operador subcontrata (nuvem, comunicação, fontes de dados), com dever de transparência sobre a lista, obrigação de impor por escrito o mesmo regime de proteção e regras para mudanças. Sem essa cláusula, o controlador não sabe por quantas mãos o dado passa.
• Segurança e sigilo. As medidas do artigo 46 traduzidas em compromissos verificáveis, criptografia em repouso e em trânsito, controle de acesso, segregação por cliente, e o compromisso de confidencialidade do pessoal com acesso.
• Incidente de segurança. A lei põe o dever de comunicar à ANPD e ao titular na cabeça do controlador (artigo 48), mas quem detecta o incidente na infraestrutura é o operador. O contrato precisa criar o dever espelho, o operador avisa o controlador em prazo definido e curto, com informação suficiente para a avaliação de risco, porque o relógio regulatório de três dias úteis corre para o controlador, como detalha o artigo sobre incidente com dado biométrico.
• Atendimento aos titulares. Pedidos de acesso, correção e eliminação chegam ao controlador, mas parte das respostas mora nos sistemas do operador. Prazos e formato dessa colaboração entram no contrato, com a régua do que pode e do que não pode ser apagado descrita no artigo sobre direitos do titular em KYC.
• Término: devolução ou eliminação, com exceção nomeada. No fim da relação, os dados são devolvidos ou eliminados, ressalvada a guarda que a lei impõe, como os prazos regulatórios de retenção do setor financeiro. A exceção precisa estar escrita com fonte, senão o "guardamos por obrigação legal" vira licença genérica para reter tudo.
• Verificação da observância. Se o artigo 39 manda o controlador verificar as instruções, o contrato precisa dizer como: relatórios periódicos do operador, direito de solicitar evidências das medidas de segurança e prazo de resposta. Cláusula de verificação que não define mecanismo é promessa sem motor.
• Encarregado e canais. Os pontos de contato de proteção de dados dos dois lados, com a figura do encarregado descrita no artigo sobre o papel do DPO.

Antes de assinar: a diligência que o contrato não substitui

Cláusula boa não conserta fornecedor ruim. A avaliação técnica do operador, como ele armazena mídia, como segrega clientes, como trata subprocessadores, vem antes da assinatura e tem roteiro no artigo sobre como avaliar um fornecedor de KYC. E a decisão anterior a todas, se faz sentido operar verificação em casa assumindo o papel integral de controlador de biometria, tem a conta completa no artigo sobre construir ou comprar verificação.

O contrato controlador-operador é o documento menos glamouroso da contratação e o mais consultado da crise. Escrevê-lo bem custa uma tarde de trabalho conjunto entre jurídico e engenharia; escrevê-lo mal custa exatamente uma crise.

Fontes citadas

• Lei 13.709/2018 (LGPD), artigos 5º, 37, 39, 41, 42, 46 e 48, disponível no portal do Planalto: planalto.gov.br
• ANPD, Autoridade Nacional de Proteção de Dados, portal oficial, orientações a agentes de tratamento: gov.br/anpd