lgpd-dpa
Installation
SKILL.md
DPA — Acordo de Tratamento de Dados com Operadores (Art. 39 LGPD)
Instrumento contratual que formaliza as instruções lícitas do controlador ao operador (Art. 39 da LGPD), aloca deveres operacionais (segurança, auxílio em DSAR, notificação de incidentes) e reduz assimetrias de responsabilidade.
Distinções jurídicas essenciais antes de exigir um DPA
- Verifique primeiro o papel jurídico do terceiro (conforme Guia Orientativo da ANPD sobre Agentes de Tratamento):
- Operador: trata dados em nome do controlador e conforme suas instruções (ex.: hospedagem cloud IaaS, disparo transacional de e-mail, observabilidade) → aplica-se DPA (Art. 39).
- Controlador Independente (Singular): decide autonomamente finalidades e elementos essenciais do próprio tratamento (ex.: bancos/adquirentes em prevenção regulatória própria, operadoras de telecom, órgãos públicos) → não cabe DPA de operador, mas sim cláusulas de compartilhamento entre controladores + base legal própria + transparência ao titular (Art. 9º, V).
- Controlador Conjunto: toma decisões comuns ou convergentes sobre finalidades e meios com outro controlador → acordo de controladoria conjunta definindo responsabilidades de transparência e atendimento a titulares (Art. 42, § 1º, II).
- Responsabilidade solidária não é irrestrita (Art. 42, § 1º, I):
- O operador responde solidariamente pelos danos causados pelo tratamento quando descumprir as obrigações da legislação de proteção de dados ou quando não tiver seguido as instruções lícitas do controlador (hipótese em que se equipara ao controlador, respeitadas as excludentes do Art. 43). Documentar instruções claras em contrato é, portanto, proteção crítica para ambas as partes.
- Natureza das 12 cláusulas abaixo:
- A LGPD não traz uma lista legal taxativa de 12 cláusulas para DPAs (diferentemente do Art. 28 do GDPR). Os 12 itens abaixo constituem um checklist contratual de boas práticas consolidado a partir dos Arts. 39, 42, 46 e 48 da LGPD, da Res. CD/ANPD nº 15/2024 e das orientações da ANPD.