Biblioteca de cláusulas
Proteção de dados: a cláusula explicada
Uma cláusula de proteção de dados registra como os dados pessoais são tratados; quando uma das partes é operadora nos termos do UK GDPR, o Artigo 28(3) exige cláusulas específicas de operador.
Última atualização em 28 de outubro de 2026
O que faz uma cláusula de proteção de dados?
Quando um fornecedor trata dados pessoais para um cliente que é o controlador, o Artigo 28 do UK GDPR diz que o tratamento deve ser regido por um contrato. O Artigo 28(3) lista as cláusulas de operador que esse contrato precisa conter. O mesmo UK GDPR se aplica na Escócia. As leis estaduais de privacidade dos EUA são outro regime. Colocamos essas cláusulas em uma única página compartilhada.
O que um contrato de operador do Artigo 28 deve incluir?
O contrato precisa ser vinculativo e estabelecer o objeto, a duração, a natureza e a finalidade do tratamento, os tipos de dados pessoais e de titulares e os direitos do controlador. O Artigo 28(3) exige então as cláusulas de operador das alíneas (a) a (h): instruções documentadas, confidencialidade, segurança, suboperadores, assistência, exclusão ou devolução e auditoria.
Quando uma parte é operadora e não controladora?
O controlador decide as finalidades e os meios do tratamento. O operador trata em nome do controlador. Um estúdio que guarda a lista de clientes de um cliente para enviar os e-mails desse cliente costuma ser operador. Um estúdio que monta a própria lista de marketing é controlador dessa lista. Indique o papel de cada conjunto de dados para que o Artigo 28 se aplique só onde deve.
O operador pode nomear suboperadores?
Só com autorização escrita prévia, específica ou geral, do controlador. Em caso de autorização geral, o operador deve informar o controlador sobre acréscimos ou substituições pretendidos, para que o controlador possa se opor. As mesmas obrigações de proteção de dados precisam ser repassadas. O operador inicial continua totalmente responsável perante o controlador pelo suboperador. Escreva na cláusula o método de autorização.
O que acontece com os dados quando o trabalho termina?
O Artigo 28(3)(g) diz que, à escolha do controlador, o operador exclui ou devolve os dados pessoais depois do fim dos serviços e exclui as cópias, a menos que a lei nacional exija o armazenamento. Combine isso com a confidencialidade e uma linha de devolução ou destruição para arquivos confidenciais não pessoais. Indique por quanto tempo os logs podem ser guardados se uma lei exigir.
Exemplo de redação
Exemplo · redação própria
Quando o Fornecedor trata dados pessoais para o Cliente na qualidade de operador, o Fornecedor: tratará esses dados apenas conforme instruções documentadas do Cliente; garantirá que as pessoas autorizadas a tratá-los estejam sujeitas a confidencialidade; adotará as medidas de segurança exigidas pelo Artigo 32 do UK GDPR; não nomeará suboperador sem a autorização escrita prévia do Cliente; auxiliará o Cliente nas solicitações dos titulares e nos Artigos 32 a 36; à escolha do Cliente, excluirá ou devolverá os dados ao fim dos serviços, a menos que a lei nacional exija o armazenamento; e disponibilizará as informações necessárias para demonstrar conformidade e permitirá auditorias.
Em linguagem simples
Se o fornecedor trata dados pessoais para o cliente, ele só faz o que o cliente documentou, mantém tudo confidencial, cuida da segurança e não traz outro operador sem autorização por escrito. Ele ajuda com os direitos das pessoas e com os deveres de segurança, depois exclui ou devolve os dados quando o trabalho termina, a menos que a lei diga que precisa guardar uma cópia, e deixa o cliente verificar.
Em que você deve ficar de olho?
| Ponto | Atenção a | Busque |
|---|---|---|
| Papéis | Um anexo de operador aparafusado a um acordo em que os dois lados são controladores. | Uma frase que indique o papel de cada conjunto de dados. |
| Instruções | “Tratar conforme necessário para os serviços” sem instruções documentadas. | Um anexo com objeto, duração, tipos de dados e de titulares. |
| Suboperadores | Carta branca para nomear qualquer um, ou silêncio. | Autorização escrita prévia, repasse das obrigações e responsabilidade contínua. |
| Fim do trabalho | Nenhuma linha de exclusão ou devolução. | A escolha do controlador, com uma exceção para a retenção exigida por lei. |
| Limite | Uma indenização sem limite por dados num honorário pequeno, ou um limite que engole uma violação. | Uma posição definida em relação ao limite de responsabilidade e à indenização contratual (indemnity). |
Quais contratos incluem essa cláusula?
A Lex inclui esta cláusula, entre outros, em:
- Contrato de prestação de serviços (contrato-mestre de prestação de serviçosUm contrato-mestre de prestação de serviços (MSA) define os termos jurídicos de uma relação contínua, e cada projeto é combinado depois em um escopo de trabalho (SOW) separado.Mais no glossário)
- Contrato de desenvolvimento de site
- Contrato de consultoria
O que diz a lei?
O tratamento por um operador deve ser regido por um contrato vinculativo para o operador, que estabeleça o objeto e a duração do tratamento, a natureza e a finalidade do tratamento, o tipo de dados pessoais e as categorias de titulares, e as obrigações e os direitos do controlador, incluindo as cláusulas do operador listadas no Artigo 28(3)(a)–(h).
Fonte: UK GDPR, Article 28(3)Verificado em 28 de outubro de 2026Aguardando revisão de advogado
Redija contrato-mestre de prestação de serviços com esta cláusula
Grátis para o outro ladoLex redige em linguagem simples ao lado da redação jurídica. Compartilhe um link; os dois lados acordam e assinam.
Perguntas frequentes
O que significa uma cláusula de proteção de dados?
Registra como os dados pessoais são tratados sob o contrato. Quando uma parte trata dados pessoais para a outra como operadora nos termos do UK GDPR, o Artigo 28 exige que esse tratamento seja regido por um contrato com cláusulas específicas de operador.
O que um contrato de operador do Artigo 28 do UK GDPR deve incluir?
O objeto, a duração, a natureza e a finalidade do tratamento, os tipos de dados e de titulares e as cláusulas de operador do Artigo 28(3)(a)–(h), incluindo instruções documentadas, confidencialidade, segurança, suboperadores, assistência, exclusão ou devolução e auditoria.
Quando um fornecedor é operador?
Quando trata dados pessoais em nome do cliente, em vez de decidir sozinho as finalidades e os meios. A cláusula deve indicar o papel de cada conjunto de dados. O Artigo 28 se aplica a relações com operador.
Um operador pode usar suboperadores?
Só com autorização escrita prévia, específica ou geral, do controlador. As mesmas obrigações precisam ser repassadas, e o operador inicial continua totalmente responsável perante o controlador pelo suboperador.
O que acontece com os dados pessoais quando o contrato termina?
À escolha do controlador, o operador os exclui ou devolve e exclui as cópias, a menos que a lei nacional exija o armazenamento. Escreva essa escolha na cláusula.
Fontes
- UK GDPR, Article 28(3)Verificado em 28 de outubro de 2026Aguardando revisão de advogado
Relacionados
Modelos com esta cláusula
Outras cláusulas
A redação jurídica prevaleceÚltima revisão em 28 de outubro de 2026Aguardando revisão de advogado