O questionário de proteção de dados chega, em geral, pelo setor de compras ou de conformidade de um cliente de maior porte, sob a denominação de "due diligence de fornecedores" ou "avaliação de privacidade". Traz dezenas de perguntas e um prazo curto. Para muitas empresas de pequeno e médio porte, é o momento em que a Lei Geral de Proteção de Dados Pessoais deixa de ser um tema abstrato e passa a ser condição para a manutenção de um contrato. A tendência de responder com rapidez, para não atrasar a renovação, é compreensível e costuma ser a origem dos problemas posteriores.
Por que o cliente envia o questionário
Quando a empresa presta serviço a outra e, nessa prestação, lida com dados pessoais de empregados, clientes ou usuários do contratante, ela atua, em regra, como operadora, e o contratante, como controlador. A ressalva é a hipótese em que a própria prestadora decide sobre a finalidade e os meios do tratamento, caso em que será controladora ou controladora conjunta.
O artigo 39 da LGPD impõe ao controlador a verificação de que o operador observa as suas instruções e as normas de proteção de dados. O artigo 42 estabelece que ambos podem responder pelos danos causados. O questionário é o instrumento pelo qual o cliente cumpre esse dever de verificação e documenta o seu cumprimento. Ele decorre de uma obrigação de quem o envia, e não de desconfiança em relação ao fornecedor.
O que os questionários perguntam
O conteúdo se repete de um questionário para outro, porque todos derivam da mesma lei. As perguntas mais frequentes dizem respeito à existência do registro das operações de tratamento (artigo 37); ao fundamento legal de cada tratamento (artigo 7º); à indicação de encarregado ou, para a empresa de pequeno porte, à existência de canal de comunicação com os titulares (artigo 41 e Resolução CD/ANPD nº 2/2022); às medidas de segurança adotadas, do controle de acesso às cópias de segurança (artigo 46); ao procedimento de comunicação de incidentes e ao seu prazo (artigo 48); à vinculação contratual dos subcontratados que acessam dados, conforme o artigo 39 e a orientação da ANPD; à eventual transferência internacional de dados e ao seu fundamento (artigo 33); e à capacitação das pessoas que lidam com dados.
Lido nesses termos, o questionário é a relação das exigências legais, formulada em perguntas.
O valor contratual das respostas
As respostas costumam ser incorporadas ao contrato ou tratadas como declaração do fornecedor. Uma resposta afirmativa sobre medida inexistente cria dois problemas. O primeiro é contratual: em caso de incidente ou de disputa, a empresa terá declarado por escrito o que não correspondia à realidade. O segundo é probatório: o cliente pode solicitar a evidência da medida declarada, como o registro, a política ou o contrato com o subcontratado, e não haverá o que apresentar.
A resposta adequada para o que ainda não existe é a resposta verdadeira, acompanhada de um plano: "em implantação, com previsão de conclusão em determinado prazo". Clientes que conduzem esse tipo de verificação estão habituados a recebê-la de fornecedores de menor porte e, em regra, a aceitam quando vem acompanhada de cronograma. O que não é aceito é a constatação posterior de que a resposta afirmativa não tinha lastro.
A ordem das providências em prazo curto
Quando o prazo de resposta é exíguo, a sequência que produz mais resultado é a seguinte. Primeiro, o levantamento dos dados tratados no serviço prestado àquele cliente: quais, de quem, onde ficam, quem os acessa. Segundo, o registro das operações, no formato simplificado se a empresa for de pequeno porte, porque ele responde a parcela expressiva das perguntas. Terceiro, a relação escrita das medidas de segurança já existentes e a indicação do canal de contato para titulares. Quarto, a relação dos subcontratados que acessam dados e a situação contratual de cada um.
Com esses elementos, a empresa responde ao questionário com precisão e com um plano para o que falta. A definição do fundamento legal de cada tratamento, a revisão dos contratos com subcontratados e a avaliação de eventual transferência internacional são as etapas que, em regra, exigem análise jurídica, porque uma resposta imprecisa nesses pontos pode criar obrigação que a empresa não consiga cumprir. Antes de decidir com base neste artigo, recomenda-se a consulta a um advogado de sua confiança.
Benick Santana, advogado, OAB/PE 55.309. Sobre o advogado
Conteúdo informativo, que não substitui a análise do caso concreto.
https://www.benicksantana.com/artigos/questionario-de-protecao-de-dados