BAA, DPA e contrato de operador LGPD: qual documento cobre cada relação

BAA, DPA e contrato entre controlador e operador não são três nomes intercambiáveis para o mesmo documento. Cada instrumento nasce de um regime e de uma relação específica. Um BAA responde à relação regulada pela HIPAA entre entidade coberta e business associate. As cláusulas do artigo 28 do GDPR disciplinam o tratamento feito por processor em nome de controller. Na LGPD, o contrato entre controlador e operador registra instruções, limites e responsabilidades coerentes com as atividades reais.

Escolher um título conhecido não resolve a classificação das partes. Mapeie dados, finalidades, decisões e operações antes de escolher o instrumento. Um fornecedor pode exercer papéis diferentes no mesmo projeto, mas cada papel precisa ser demonstrado, não presumido pelo cabeçalho.

Comece pela relação real, não pela sigla

Antes de selecionar um modelo, desenhe o percurso dos dados. Identifique quem define por que o tratamento acontece, quem escolhe os meios essenciais, quem executa instruções e quem usa os dados para finalidade própria. Inclua recepção, armazenamento, suporte, exportação, exclusão, análise e acesso por subcontratados. Essa matriz costuma revelar que um único rótulo comercial esconde relações distintas.

O guia da ANPD sobre agentes de tratamento adota uma leitura funcional: a definição de controlador e operador decorre das atividades efetivamente realizadas. Um contrato pode registrar a distribuição de funções, mas não transforma uma parte em operadora quando ela decide finalidade própria. Da mesma forma, chamar qualquer aditivo de DPA não informa, sozinho, se o texto busca cumprir o GDPR, documentar uma relação da LGPD ou combinar obrigações de mais de um regime.

Para compras e jurídico, a pergunta útil não é “tem DPA?”. É “qual relação este documento disciplina, para quais dados e operações?”. Para produto e engenharia, a pergunta complementar é “o sistema respeita as instruções e restrições que o contrato descreve?”. O contrato e a arquitetura precisam contar a mesma história.

BAA cobre uma relação delimitada pela HIPAA

A regra contratual da HIPAA em 45 CFR 164.504 descreve o conteúdo exigido para contratos ou outros arranjos entre uma entidade coberta e um business associate, e também alcança relações de business associate com subcontratados pertinentes. O instrumento deve estabelecer usos e divulgações permitidos ou exigidos, impedir usos incompatíveis, exigir salvaguardas e determinar a comunicação de usos, divulgações ou violações conhecidos.

O texto regulatório também trata de acesso, alteração e accounting of disclosures quando essas obrigações forem aplicáveis à função delegada. Exige que subcontratados aceitem restrições equivalentes, prevê disponibilização de práticas e registros ao Department of Health and Human Services e disciplina devolução ou destruição de protected health information ao término, quando viável. O descumprimento material também precisa ter consequência contratual.

Isso não significa que um BAA cubra todos os produtos de uma empresa ou toda informação relacionada à saúde. É necessário verificar a entidade, a atividade, o produto contratado e o dado envolvido. Também não se deve transferir automaticamente a lógica do BAA para publicidade, CRM ou analytics. Para entender esse limite em uma pilha de marketing, veja como separar obrigações por regime e fluxo.

Artigo 28 do GDPR exige um contrato com conteúdo próprio

Quando um processor trata dados pessoais em nome de um controller, o artigo 28 do GDPR exige contrato ou outro ato jurídico vinculante. O documento deve indicar objeto e duração, natureza e finalidade, tipos de dados, categorias de titulares e direitos e obrigações do controller. O processor deve agir segundo instruções documentadas, inclusive quanto a transferências, salvo obrigação legal aplicável que imponha outro tratamento.

O artigo também cobre confidencialidade, medidas do artigo 32, condições para contratar outro processor, assistência ao controller, devolução ou eliminação ao fim da prestação e informações necessárias para demonstrar conformidade e permitir auditorias. A autorização para subprocessadores pode ser específica ou geral, mas alterações precisam seguir o mecanismo previsto. Obrigações equivalentes devem chegar ao subprocessador.

Transferência internacional não se resolve apenas porque existe uma cláusula de processor. A instrução deve ser compatível com o capítulo V e com o mecanismo aplicável. Um modelo contratual pode reunir cláusulas diferentes, mas a equipe deve saber qual seção responde a qual obrigação. Esse cuidado evita que um contrato amplo pareça cobrir uma operação que exige avaliação própria.

Na LGPD, contrato controlador-operador é boa prática, não atalho de classificação

A LGPD define controlador como quem toma decisões referentes ao tratamento e operador como quem trata dados em nome do controlador. O guia orientativo da ANPD informa que a lei não determina expressamente a celebração de um contrato entre esses agentes, mas considera boa prática estabelecer as atividades do operador, limites de atuação, responsabilidades e relações com suboperadores.

Esse ponto exige precisão. A ausência de uma exigência contratual expressa não torna o documento dispensável em uma contratação sensível. Também não autoriza inventar uma obrigação textual que a lei não contém. O contrato serve para traduzir instruções, facilitar prestação de contas e reduzir ambiguidades operacionais. A qualificação jurídica continua dependente dos fatos.

O guia também recomenda autorização formal do controlador para suboperadores. Em saúde, o inventário deve alcançar hospedagem, suporte, mensageria, observabilidade e equipes com acesso a dados pessoais. Se surgir finalidade própria, como enriquecer uma base comercial sem instrução compatível, reavalie papel e fundamento. Um anexo de segurança não legitima a nova finalidade.

Cláusulas mínimas devem seguir o ciclo de vida do dado

Um checklist útil acompanha o dado do ingresso ao encerramento. Ele não substitui análise jurídica, mas reduz omissões entre contrato, configuração e operação:

• Escopo: serviços, sistemas, categorias de dados, titulares, finalidades e duração claramente delimitados.
• Instruções: canal autorizado, processo para mudanças e tratamento de instruções potencialmente incompatíveis com a lei.
• Segurança: controles proporcionais ao risco, gestão de acesso, registro, continuidade e processo de avaliação.
• Subcontratação: aprovação, lista atualizada, fluxo de obrigações e responsabilidade pela cadeia.
• Incidentes: evento reportável, prazo, conteúdo inicial, atualização e responsáveis pela coordenação.
• Direitos e auditoria: assistência, evidências, limites de auditoria e acesso a registros pertinentes.
• Saída: exportação, devolução, eliminação, retenções legais e comprovação do encerramento.
• Localização e transferências: regiões, destinatários, mecanismos e mudanças sujeitas a revisão.

O nível de detalhe deve refletir a operação. “Medidas adequadas” sem controles verificáveis pode ser insuficiente. Prometer um controle inexistente, por sua vez, cria obrigação que a arquitetura não cumpre. Compras obtém evidência, engenharia confirma capacidade técnica e jurídico ajusta a linguagem ao regime.

Documento assinado não torna um fluxo de marketing elegível

Contratos e regras de plataforma respondem a perguntas diferentes. Uma clínica pode ter base legal para uma operação e ainda não poder enviar dados de saúde a um produto publicitário. Hash ou pseudonimização tampouco apagam automaticamente o caráter pessoal ou sensível. O artigo sobre base legal e elegibilidade no Customer Match separa as duas análises.

Antes de ativar integrações, classifique cada destino. Diferencie sistemas assistenciais, infraestrutura contratada, analytics operacional e plataformas de mídia. Para mensuração, prefira resultados operacionais definidos, como “agendamento confirmado”, sem detalhes clínicos no payload. Uma taxonomia de resultados de agendamento ajuda a limitar campos e evita que texto livre chegue ao fluxo publicitário.

Essa é uma recomendação editorial de implementação, não uma regra universal dos três regimes. A decisão final depende dos fatos, das leis aplicáveis, do contrato do produto e das políticas vigentes. Registre a conclusão por fluxo, não por fornecedor inteiro.

Como revisar uma contratação sem misturar regimes

1. Mapeie entidades, produtos, dados, finalidades, regiões e subcontratados.
2. Classifique papéis separadamente para cada atividade, registrando quem decide e quem executa.
3. Teste o escopo de HIPAA, GDPR e LGPD sem usar o resultado de um teste como resposta para outro.
4. Associe cada cláusula à obrigação e ao controle técnico que a sustenta.
5. Verifique anexos de segurança, listas de subprocessadores, mecanismos de transferência e processos de incidente.
6. Faça um teste de saída: exportação, eliminação, revogação de acesso e evidência de conclusão.

O resultado pode ser um BAA, cláusulas do artigo 28, um contrato controlador-operador, mais de um instrumento ou nenhum deles para determinada relação. O importante é documentar a razão. A separação entre origem do agendamento e origem de marketing oferece um exemplo de como uma distinção de finalidade pode virar fronteira técnica verificável.

Perguntas frequentes

Um DPA é sempre um contrato do artigo 28 do GDPR?

Não necessariamente. DPA é uma expressão usada no mercado para documentos diferentes. Leia o conteúdo, identifique as partes, o regime invocado e as atividades cobertas. Se houver relação controller-processor sujeita ao GDPR, o instrumento precisa cumprir o artigo 28.

Um BAA substitui o contrato entre controlador e operador da LGPD?

Não. O BAA responde a uma relação definida pela HIPAA. A LGPD exige análise própria de agentes, finalidade e obrigações. Um documento combinado pode conter ambos os conjuntos de cláusulas, desde que os escopos estejam claros.

A LGPD obriga sempre um contrato escrito entre controlador e operador?

O guia da ANPD afirma que a LGPD não estabelece expressamente essa obrigação, mas recomenda o contrato como boa prática para delimitar atividades e responsabilidades. Outras obrigações contratuais ou setoriais podem incidir no caso concreto.

O fornecedor escolhe seu papel no contrato?

Não de forma conclusiva. A redação é evidência relevante, mas a classificação segue as atividades reais. Se o fornecedor decide finalidade própria, a equipe precisa reavaliar o papel correspondente a esse tratamento.

Qual é o primeiro teste antes de assinar?

Compare o mapa de dados com o escopo do serviço. Se o documento não cobre uma operação, região, subprocessador ou finalidade que existe no sistema, ajuste o fluxo ou o contrato antes da produção.

Referências

• 45 CFR 164.504, Uses and disclosures: Organizational requirements
• Regulamento (UE) 2016/679, incluindo artigo 28 e capítulo V
• ANPD, Guia orientativo para definições dos agentes de tratamento de dados pessoais e do encarregado