Precauções em contratos - PROPRIVACIDADE

Adequação de contratos e convênios à LGPD

As precauções adotadas pela Universidade, em instrumentos congêneres a contratos, constam nos seguintes anexos:

Essas precauções são necessárias devido aos seguintes motivos e auditorias:

Em situações de infração às determinações da Lei 13.709/2018 (LGPD), ocorridas em entidades e órgãos públicos, os decisores sobre tratamentos de dados pessoais poderão ser responsabilizados, conforme determina a Autoridade Nacional de Proteção de Dados (ANPD) e o §3º do Art. 52 dessa Lei. Para delimitar e mitigar essa responsabilização, sugere-se que sejam determinadas em contratos, convênios e instrumentos congêneres, no mínimo, as seguintes informações:

A identificação dos agentes de tratamento, ou seja, os papéis de cada organização em relação aos dados pessoais tratados por intermédio do respectivo instrumento, incluindo o papel de operador, controlador, controlador conjunto, se existir, e se será permitido suboperador. Em caso de dúvida na definição dos papéis, sugere-se a consulta aos exemplos do Guia Orientativo sobre Agentes de Tratamento e Encarregado da ANPD.
As bases e previsões legais para os tratamentos dos dados pessoais pelo controlador e operador(es) durante e após a vigência do instrumento. Como exemplo, as previsões legais da LGPD: consentimento (art. 7º, I), obrigação legal (art. 7º, II), execução de contrato (art. 7º, V), execução de políticas públicas (art. 7º, III) descentralizadas (art. 26, § 1, I), interesse legítimo do controlador (art. 7º, IX), entre outras.
Devido a eventuais solicitações de informações do titular de dados pessoais (arts. 9º e 18 da LGPD) é necessário:
1. definir os tratamentos, com finalidades claras e objetivas, incluindo os objetivos dos agentes de tratamento com os dados pessoais em cada tratamento; e
2. identificar os dados pessoais que serão tratados pelo(s) operador(es), quais serão obtidos do controlador e quais serão coletados ou obtidos de outras formas pelo(s) operador(es).
O processo e prazo do(s) operador(es) para o atendimento de solicitações de titulares, deferidas pelo controlador, e prazos para demais determinações do controlador (é importante a concordância com os prazos por quem executará efetivamente as determinações e solicitações, com a oficialização dessa concordância, se necessária).
O atendimento pelo(s) operador(es) das boas práticas estipuladas pelo controlador (art. 50 da LGPD), incluindo precauções e garantias fornecidas pelo(s) operador(es) (arts. 39 e 50 §1 da LGPD), a confidencialidade, a segurança do dado armazenado e as respectivas formas de verificação pelo controlador.
Procedimentos e políticas em caso de violação aos dados pessoais.
As possibilidades ou vedações às transferências de dados pessoais para demais tratamentos, operadores e unidades do(s) operador(es).
A identificação de um conjunto mínimo de regras de boas práticas e instruções, que o controlador e o(s) operador(es) considerarão (arts. 39 e 50 §1 da LGPD), ou identificar o local onde estará disponibilizado esse conjunto.
As previsões de exclusão dos dados pessoais ao término do tratamento e responsabilidades de cada parte, ou retenção dos dados conforme determinações legais relacionadas aos dados.
A indicação do papel de “Encarregado pelo Tratamento de Dados Pessoais” no controlador e no(s) operador(es), as respectivas atribuições em relação ao pactuado e formas de contato (arts. 5º VIII, 23 e 41 da LGPD), para o encaminhamento das solicitações dos titulares de dados pessoais entre organizações, bem como o encaminhamento de demandas de entidades de fiscalização e notificações de incidentes de violação aos dados pessoais. Outrossim, aconselha-se a estipular prazos para o atendimento das respectivas demandas e notificações.
A indicação que a transferência internacional de dados pessoais, sob a égide da LGPD, deve atender ao disposto nos arts. 33 e 34 da respectiva Lei.

Motivos

Os itens supracitados permitem identificar os seguintes aspectos, dentre outros:

O período de retenção dos dados pessoais após o término do contrato e as responsabilidades sobre a eliminação, bloqueio e anonimização desses dados, pois os agentes de tratamento, ou qualquer outra pessoa que intervenha em alguma das fases do tratamento, obrigam-se a garantir a segurança da informação prevista na LGPD, em relação aos dados pessoais, mesmo após o seu término (art. 47 da LGPD).
A organização que atenderá as demandas de titulares de dados pessoais e de entidades de fiscalização de conformidade à legislação competente (arts. 9º, 18, 19 § 3º, … da LGPD)
A organização que deverá comunicar à ANPD e aos titulares (art. 48 da LGPD) a respeito de incidentes de segurança que possam acarretar risco ou dano relevante aos titulares dos dados pessoais.
A organização que deverá dar publicidade ao compartilhamento dos dados pessoais tratados no contrato, em seu sítio eletrônico (art. 23, I da LGPD).
O que será verificado nas diligências e inspeções realizadas pelo controlador para assegurar a observância do conjunto mínimo de boas práticas e instruções (art. 39 da LGPD). Nesse aspecto, o controlador e o operador que, em razão do exercício de atividade de tratamento de dados pessoais, causar a outrem dano patrimonial, moral, individual ou coletivo, devido à violação à legislação de proteção de dados pessoais, é obrigado a repará-lo (art. 42 da LGPD). O operador responde solidariamente pelos danos causados pelo tratamento quando descumprir as obrigações da legislação de proteção de dados ou quando não tiver seguido as instruções lícitas do controlador, hipótese em que o operador equipara-se ao controlador, salvo nos casos de exclusão previstos no art. 43 da LGPD.
A necessidade, ou não, de elaboração de relatórios de impacto à proteção de dados pessoais (art. 32 e art. 10, § 3º da LGPD).

Desse modo, convênios, contratos e instrumentos congêneres, que envolvam o compartilhamento de dados pessoais, além de clausular os itens supracitados, somente podem ser efetivados entre controladores e operadores em conformidade com a LGPD e com a legislação competente à proteção de dados pessoais, privacidade e compartilhamento de dados.

Contudo, é aconselhável que a gestão dos contratos, convênios e instrumentos congêneres, que envolva o tratamento de dados pessoais, sigam os procedimentos e verificações do Guia de Requisitos e de Obrigações quanto à Segurança da Informação e Privacidade da SGD, pois o ônus da prova é dos agentes de tratamento, em algumas circunstâncias (art. 43 da LGPD).

Motivos para que a transferência de dados pessoais entre entidades públicas e privadas seja prevista em contratos, convênios ou instrumentos congêneres

Além das definições supracitadas, que visam formalizar e tornar claras as responsabilidades das partes, a LGPD veda o compartilhamento de dados pessoais do Poder Público com entidades privadas (Art. 26 §1º, LGPD), mas estabelece exceções:

Em casos de execução descentralizada de atividade pública que exija a transferência, exclusivamente para esse fim específico e determinado, observado o disposto na Lei nº 12.527/2011;
Nos casos em que os dados forem acessíveis publicamente, observadas as disposições da LGPD;
Quando houver previsão legal ou a transferência for respaldada em contratos, convênios ou instrumentos congêneres (sempre com finalidades específicas, transparentes e tratamentos proporcionais à necessidade, clausulando as adequações supramencionadas); ou
Na hipótese de a transferência dos dados objetivar exclusivamente a prevenção de fraudes e irregularidades, ou proteger e resguardar a segurança e a integridade do titular dos dados, desde que vedado o tratamento para outras finalidades.

Segundo o art. 27 da LGPD, os contratos e convênios deverão ser comunicados à ANPD e o uso compartilhado de dados pessoais, entre pessoa jurídica de direito público e pessoa de direito privado, dependerá de consentimento do titular, exceto:

Nas exceções supramencionadas (Art. 26 § 1º);
Nas hipóteses de dispensa de consentimento previstas na LGPD; ou
Nos casos de uso compartilhado de dados, em que será dada publicidade nos termos do inciso I do caput do Art. 23 da LGPD.

Contratos para hospedagem ou softwares em “ambiente de nuvem” ou que contemplem a transferência internacional de dados pessoais

Os editais de seleção e contratos para a contratação desses serviços devem clausular os requisitos dos arts. 33 e 34 da LGPD e da legislação vigente sobre computação em nuvem, abordada na Política de Computação em Nuvem da UFRGS.

O RIPD e a adequação de contratos e convênios

A UFRGS utiliza a metodologia da Secretaria de Governo Digital (SGD), Órgão Central Gestor do SISP, para adequação à LGPD, devido ao determinado Acórdão do TCU nº 1384/2022 e no art. 26 do Decreto 12.904/2026 (anteriormente no art. 22 do Decreto nº 11.437/2023, art. 132 do Decreto nº 9.745/2019, …).

Dessa forma, o Relatório de Impacto à Proteção de Dados Pessoais (RIPD) é elaborado conforme os Guias da SGD para adequação à LGPD e segundo essa metodologia, os contratos e convênios devem atender, no mínimo, aos seguintes controles:

85 – Acordos de confidencialidade, termos de responsabilidade, termos de sigilo são assinados com os órgãos e operadores de dados pessoais? É importante que os termos e acordos informem a respeito dos itens a seguir, mas a eles não se limitem: tipos de tratamento de dados pessoais a serem realizados por quem irá receber os dados; ações requeridas quando do encerramento do compartilhamento, como destruição dos dados, responsabilidade e ações dos signatários para evitar a divulgação não autorizada dos dados pessoais; base legal para o compartilhamento; direito de auditar e monitorar as atividades que envolvem os dados pessoais; processo para notificar ou relatar vazamentos; violações ou divulgações não autorizadas dos dados pessoais; ações a serem tomadas diante da violação do acordo; e outras medidas possíveis.

86 – Os contratos firmados com os operadores contêm cláusulas que contemplam, não se limitando a: uma declaração adequada sobre a escala, natureza e finalidade do processamento contratado; relatar casos de violação de dados, processamento não autorizado ou outro não cumprimento dos termos e condições contratuais; medidas aplicáveis na rescisão do contrato, especialmente no que diz respeito à exclusão segura de dados pessoais; impedimento de tratamento de dados pessoais por subcontratados, exceto por aprovação do controlador?

90 – Os contratos firmados com os operadores de dados pessoais contêm cláusulas que asseguram o tratamento de dados pessoais conforme previsto pela Lei Geral de Proteção de Dados?

101 – No contrato, há a obrigação do operador de dados pessoais notificar o Controlador em caso de ocorrência de violação de dados pessoais?

102 – Os terceiros operadores de dados informaram no contrato sobre a utilização de subcontratos para processar dados pessoais?

Detalhes sobre a importância da elaboração do RIPD podem ser encontrados em: https://ufrgs.br/proprivacidade/ripd

Uso de dados pessoais de identificação em contratos e convênios

Recomendações da AGU sobre CPF e matrícula SIAPE descaracterizados na publicação de contratos e portarias

Acórdão do TCU sobre o assunto

As providências recomendadas no Acórdão do TCU nº 1384/2022, relativas a contratos, constam nos guias da SGD supracitados e as providências relativas a políticas e planos, que podem ser requisitos em contratos, já foram elaboradas pelo Comitê de Segurança da Informação da UFRGS, os respectivos documentos foram disponibilizados em https://ufrgs.br/csi.

Modelo de cláusula da Advocacia-Geral da União que aborda algumas precauções supracitadas

9. CLÁUSULA NONA- OBRIGAÇÕES PERTINENTES À LGPD no seguinte documento:

https://www.gov.br/agu/pt-br/composicao/cgu/cgu/modelos/licitacoesecontratos/l14133_contrato_contratacao_direta_servicos_com_dedicacao_de_mao_de_obra.docx

Demais informações sobre treinamentos e recursos didáticos relativos ao tema podem ser obtidas em https://www.ufrgs.br/proprivacidade. O Encarregado pelo Tratamento de Dados Pessoais na UFRGS (etdp@ufrgs.br) está à disposição para maiores esclarecimentos e auxílios.

Questões sobre contratos para planos de ação determinados na PORTARIA SGD/MGI nº 852/2023

15.4 O órgão avalia provedores de serviços? O escopo da avaliação deve levar em consideração as diretrizes contidas na política de gestão de provedores de serviços além de classificações e relatórios de avaliação padronizados, questionários, e processos rigorosos aplicáveis. A avaliação de provedores de serviço deve ser realizada de forma periódica e na medida em que novos contratos estipulados ou renovados.

15.5 O órgão garante que os contratos dos provedores de serviços contenham requisitos mínimos de segurança?

15.6 O órgão encerra de forma segura o contrato com o provedor de serviços? Procedimentos como desativação de contas de usuário e serviço utilizadas durante o contrato, encerramento de fluxo de dados e descarte seguros de dados e informações corporativas em sistemas dos provedores de serviço.

19.3 O órgão documenta as fases do tratamento em que o operador atua?

19.14 O órgão mapeia os contratos estabelecidos/firmados com terceiros operadores responsáveis pelos tratamentos de dados pessoais?

21.7 Os requisitos legais, regulatórios e contratuais relativos à privacidade são compreendidos e direcionados por meio regras de boas práticas e de governança publicadas pela instituição?

27.1 O órgão identifica os compartilhamentos de dados pessoais realizados com operadores terceiros e outras instituições conforme Art. 26 e 27 da LGPD, incluindo quais dados pessoais foram divulgados, a quem, a que horas e com que finalidade?

27.2 O órgão identifica as transferências internacionais de dados pessoais realizadas conforme o Capítulo V da LGPD, incluindo quais dados pessoais foram divulgados, a quem, a que horas e com que finalidade?

27.4 O órgão solicita descrição formal das medidas de proteção de dados pessoais adotadas pelas entidades com quem compartilha dados pessoais?

28.3 O órgão estabelece no contrato que o operador não processe os dados pessoais para finalidades que divergem da finalidade principal informada pelo controlador?

28.10 O órgão especifica as condições sob as quais o operador deve devolver ou descartar com segurança os dados pessoais após a conclusão do serviço, rescisão de qualquer contrato ou de outra forma mediante solicitação do controlador?

28.11 O órgão especifica no contrato entre controlador e operador sobre o uso de subcontratados para processar dados pessoais?

(detalhes aqui)