Contratos com operadores (nuvem, laboratórios) e a LGPD

Nenhuma clínica ou hospital opera sozinho: nuvem, sistema de gestão, laboratório, empresa de faturamento. Todos tratam dados de pacientes — e, sob a LGPD, a instituição continua responsável pelo que esses parceiros fazem com eles.

Controlador e operador

Na LGPD, a instituição costuma ser a controladora (decide sobre o tratamento) e o fornecedor, o operador (trata em nome dela). Essa relação precisa estar contratualmente clara — e a responsabilidade pode ser solidária quando o operador descumpre suas obrigações ou o controlador escolhe mal.

Terceirizar o serviço não terceiriza a responsabilidade. Se o fornecedor vaza os dados, o paciente cobra também de quem o contratou.

As cláusulas que não podem faltar

• Finalidade e limites: o operador só trata os dados para o que foi contratado;
• Segurança: medidas técnicas e organizacionais compatíveis com dados sensíveis;
• Confidencialidade e dever de sigilo da equipe do fornecedor;
• Suboperadores: autorização prévia e mesmas obrigações;
• Incidentes: dever de comunicar o controlador imediatamente;
• Devolução ou eliminação dos dados ao fim do contrato;
• Auditoria: direito de verificar a conformidade.

Due diligence do fornecedor

Antes de contratar, avalie: onde os dados ficam armazenados, quais certificações o fornecedor tem, como trata incidentes e se aceita as cláusulas de proteção de dados. Um contrato bom com um fornecedor despreparado não resolve.

Por que isso importa

A ANPD observa justamente a cadeia de tratamento. Um vazamento no laboratório ou na nuvem respinga na instituição. Contratos bem feitos e fornecedores confiáveis são, ao mesmo tempo, proteção jurídica e redução de risco real.

Este conteúdo é informativo e não substitui a análise individual do seu caso por um advogado.