Foto: FlyD / Unsplash
Empreendedorismo
Prestar serviço que trata dados de clientes do cliente sem contrato que diga quem decide e quem executa o tratamento deixa a agência exposta na LGPD sem saber o próprio papel
Pedro Toledo · 3 de novembro de 2026 · 3 min de leitura
Prestar serviço que trata dados de clientes do cliente sem contrato que diga quem decide e quem executa o tratamento deixa a agência exposta na LGPD sem saber o próprio papel — porque a lei distingue quem decide sobre os dados (controlador) de quem os trata em nome de outro (operador), e a responsabilidade muda conforme a agência siga ou descumpra as instruções recebidas. Por que a LGPD parecer assunto só do cliente, o que caracteriza um contrato que define os papéis, e como perceber se a agência está tratando dados sem saber em nome de quem.
Tratar a LGPD como assunto do cliente costuma parecer razoável pra uma agência que só opera as campanhas. Listar os dados pessoais que passam pelas mãos da agência em cada serviço revela que ela também é agente de tratamento, com um papel que o contrato precisa dizer.
Prestar serviço que trata dados de clientes do cliente sem contrato que diga quem decide e quem executa o tratamento deixa a agência exposta na LGPD sem saber o próprio papel — porque a responsabilidade muda conforme ela siga ou descumpra as instruções.
Por que a LGPD parece assunto só do cliente
Quem coleta os dados do cliente final é a empresa contratante, e a agência apenas opera listas, campanhas e sistemas. Ao importar leads, criar públicos e disparar mensagens, porém, a agência trata dados pessoais, e passa a ter deveres e responsabilidades que a lei atribui a quem exerce esse papel.
O que caracteriza um contrato que define os papéis
Um contrato adequado define quem é controlador e quem é operador, registra as instruções, as responsabilidades e o direito de regresso, e trata dos suboperadores. Isso tem relação direta com escrever a cláusula de objeto do contrato de prestação de serviço de forma vaga e abrir espaço pra interpretação conflitante depois — os dois casos apontam pro mesmo princípio de fundo: o que o contrato deixa indefinido vira disputa quando algo dá errado, seja o escopo do serviço, seja o papel de cada parte no tratamento de dados.
O que a lei e as fontes dizem
Segundo as fontes, numa agência de marketing contratada por uma empresa que define os critérios da campanha, a empresa é a controladora e a agência é a operadora. O art. 39 da LGPD impõe ao operador agir conforme as instruções do controlador, e o art. 42, §1º, I, prevê que ele responde solidariamente quando descumpre a legislação ou as instruções. A lei não exige expressamente um contrato, mas a ANPD o trata como boa prática. As fontes não cobrem leads captados pela própria agência, e este texto não substitui um advogado.
Como perceber se a agência trata dados sem saber em nome de quem
A forma prática é listar, de cada serviço, os dados pessoais que circulam e perguntar quem decidiu a finalidade e a base legal, e se há um documento com as instruções. Se não houver, o papel da agência está indefinido, e vale ter um contrato ou um aditivo que o defina, revisado por um advogado de proteção de dados.
Um exemplo prático
Uma agência recebe do cliente uma lista de contatos, cria públicos e dispara mensagens por uma plataforma de terceiros, sem que o contrato diga nada sobre dados. Quando um titular reclama do uso do número, cliente e agência discutem quem deveria ter decidido. Depois, a agência passa a incluir, no contrato, uma cláusula com os papéis, as instruções documentadas, a lista de ferramentas usadas e o direito de regresso.
O ponto central
Antes de tratar dados do cliente, vale deixar escrito quem decide e quem executa. A agência que não sabe o próprio papel descobre, no pior momento, que a lei já tinha escolhido um por ela.
