"Sem demora indevida": a cláusula que pode complicar a vida das empresas na atualização da Lei de proteção de dados
A Lei 21.719 não define um prazo em horas para reportar uma violação. Antes de levar isso para um contrato de tratamento de dados, ajustar as operações a prazos específicos ou alinhá-las aos prazos de cibersegurança, vale entender o que cada um mede.
As empresas mais avançadas na adequação à Lei 21.719 já chegaram à etapa dos contratos: estão revisando, ou redigindo, seus acordos de tratamento de dados (o contrato entre quem contrata o tratamento e quem o executa, o que o mercado chama de “DPA”) e cobrando isso de seus fornecedores. E, ao fazer isso, aparece repetidamente uma cláusula que merece uma segunda olhada: o operador notificará qualquer violação das medidas de segurança que gere, ou possa razoavelmente gerar, um risco para os direitos e liberdades dos titulares “sem demora indevida” ou, em outras palavras, “em um prazo razoável”.
Aí surge a verdadeira necessidade: em matéria de obrigações, a segurança jurídica é fundamental. Se a cláusula diz “sem demora indevida”, mas ninguém sabe realmente quanto é isso, o dever fica em aberto para as duas partes. Por isso, antes de assinar, vale conseguir traduzir essa fórmula em um número ou, ao menos, em um padrão defensável.
De onde tiramos isso?
O desafio dos prazos indefinidos
O dever de reportar da Lei 21.719 (artigo 14 sexies, para quem está contando) obriga o controlador a reportar à agência pelos meios mais expeditos possíveis e sem demoras indevidas, quando houver um risco razoável para os direitos e liberdades dos titulares.
Quando uma obrigação não vem com prazo escrito, acontece uma de duas coisas: ou alguém com autoridade o define, ou o mercado o inventa. A Agência de Proteção de Dados provavelmente acabará fixando um critério interpretativo ou instruções sobre o tema, mas ainda não existe um padrão administrativo específico. Enquanto isso, cada contrato assinado coloca um número (ou nenhum) onde a lei deixou um espaço em branco. Vale a pena parar para pensar em qual.
A origem da confusão: as três horas
As três horas existem, mas respondem a outro regime. Vêm da Lei 21.663, a lei marco de cibersegurança. Os Operadores de Importância Vital (bancos, teles, hospitais, energia) devem enviar um "alerta antecipado" ao CSIRT Nacional dentro de três horas a contar do momento em que tomam conhecimento de um incidente.
E, como esses operadores precisam cumprir esse prazo, alguns o repassam para baixo: se eu tenho três horas para avisar, meu fornecedor tem de me avisar em menos tempo. É assim que a cláusula de três horas desce pela cadeia de contratos até aterrissar em um operador que, muitas vezes, não está sujeito ao mesmo regime de infraestrutura crítica e cuja obrigação principal naquele contrato é tratar dados pessoais.
Alerta antecipado vs. diagnóstico
Um alerta antecipado de cibersegurança e um reporte de violação de dados não medem a mesma coisa. O alerta antecipado é um sinal: algo está acontecendo, é preciso reagir. Serve para conter: isolar o sistema, cortar o acesso, acionar o time.
O regime do artigo 14 sexies aponta para outra coisa. A norma exige reportar determinadas violações e, além disso, registrar essas comunicações descrevendo a natureza da violação, seus efeitos, as categorias de dados, o número aproximado de titulares afetados e as medidas adotadas. Isso não é um sinal de alarme: é um diagnóstico.
Eram dados sensíveis?
Havia dados de crianças menores de catorze anos?
Dados financeiros?
Quantas pessoas?
Que risco real correm os direitos delas?
Dificilmente isso pode ser respondido com seriedade em três horas, ao menos não na maioria dos incidentes reais.
O interessante é que a própria lógica da lei de cibersegurança aponta na mesma direção. Depois do alerta antecipado de três horas, o operador ainda deve apresentar reportes posteriores, incluindo uma atualização em prazos que podem chegar a 72 horas, para dar mais detalhes sobre a gravidade e o impacto do incidente, e um relatório final apenas aos 15 dias. Ou seja: mesmo no mundo da infraestrutura crítica, a análise não é exigida em três horas.
As três horas são para levantar a mão. As 72 são para entender o que aconteceu. O dever de reportar da Lei 21.719 se aproxima muito mais dessa segunda lógica.
O padrão das 72 horas: uma referência razoável
O GDPR trabalha com essa lógica há anos: o controlador notifica a autoridade sem demora indevida e, quando possível, dentro de 72 horas; o operador, por sua vez, avisa o controlador "sem demora indevida". O número que a prática comparada vem usando como referência para dar conteúdo a essa expressão, em matéria de dados pessoais, é 72 horas. Quando a Lei 21.719 usa quase as mesmas palavras, "sem demoras indevidas", o razoável é lê-las com a mesma régua, e não com uma que vem de um regime diferente e com outra finalidade.
Estratégia contratual: como regular essa obrigação
Isso significa que o contrato pode se contentar com um aviso no terceiro dia? Não. Há dois relógios diferentes e convém não confundi-los.
O prazo legal corre do controlador para a Agência. O que o contrato regula, por outro lado, é a notificação do operador ao controlador, e essa precisa ser mais curta, porque o controlador precisa de margem para analisar e reportar dentro da sua própria janela. O razoável é separar contratualmente duas obrigações: primeiro, um aviso inicial imediato ou dentro de um prazo curto a partir da detecção do incidente; segundo, um reporte estruturado e progressivo com a informação disponível, atualizado à medida que a investigação avança, com as informações necessárias para que o controlador cumpra seu próprio dever de reporte, dentro de uma margem que lhe permita fazê-lo em tempo hábil.
O que não faz sentido é escrever "relatório completo da violação em três horas" e assinar. Você está criando uma obrigação contratual difícil de executar corretamente em um incidente real: provavelmente será descumprida justamente quando mais importa cumpri-la, porque é fisicamente impossível fazê-la bem.
Enquanto a Agência não fixar um critério, a leitura que melhor se encaixa no que a norma pede é esta: ‘sem demora indevida’ em dados pessoais pode ser construída contratualmente com a lógica das 72 horas como referência razoável, não como prazo automático nem como autorização para esperar até o fim. Não porque 72 seja um número mágico, mas porque reconhece que a obrigação exige uma análise, não um alarme, e porque dialoga com o padrão internacional ao qual, cedo ou tarde, vamos nos alinhar.
Além do cronômetro: a importância da preparação
Há, além disso, um ponto que o debate sobre o prazo costuma deixar de lado: o número não resolve o problema sozinho. Pode-se pactuar 24, 48 ou 72 horas, mas nenhum prazo será útil se, quando a violação chegar, a organização não souber quais dados trata, de quantas pessoas nem em quais sistemas eles vivem. Mapear isso antes do incidente (não durante) é o que permite responder bem, qualquer que seja o prazo pactuado.
