LGPD nas contratações
Três planos articulados: tratamento próprio pela Fundação; tratamento por terceiros sob contrato; transparência ativa com proteção de dados. Articula a Política de Privacidade FAPEX 2024 e o Código de Ética com o ciclo de contratações.
Ficha técnica
Três planos articulados
A Fundação está sujeita à LGPD por força de sua atividade como tratadora de dados pessoais, ainda que pessoa jurídica de direito privado sem fins lucrativos. Este capítulo não institui programa de adequação — a Política de Privacidade FAPEX (atualizada em 16/07/2024) e o Código de Ética já o institucionalizam. O capítulo articula esses atos com o ciclo de contratações.
| Plano | O que abrange |
|---|---|
| I — Tratamento próprio | Dados de sócios e administradores de fornecedores, candidatos a seleções públicas, empregados de fornecedores, colaboradores envolvidos no processo |
| II — Tratamento por terceiros sob contrato | Contratações cujo objeto envolve, no todo ou em parte, tratamento de dados pessoais pelo contratado (TI, serviços com acesso a banco de dados, pesquisas científicas com dados pessoais, gestão de cadastro) |
| III — Transparência ativa com proteção | Equilíbrio entre publicidade das contratações e proteção de dados de pessoas naturais identificáveis |
Em regra, a Fundação é controladora; o fornecedor contratado pode atuar como operador quando o objeto envolve tratamento sob ordem da Fundação.
Em contratações em que a IFES/ICT apoiada participa do processo decisório, o papel pode configurar controle conjunto, com partilha contratualmente definida. Em cada contratação, o papel das partes é definido no instrumento contratual.
Bases legais usuais nas contratações
| Base legal (LGPD art. 7º) | Aplicação típica |
|---|---|
| II — Cumprimento de obrigação legal ou regulatória | Decreto 8.241/2014; Lei 8.958/1994; LAI |
| V — Execução de contrato ou procedimentos preliminares | Dados de licitantes, contratados, sócios e administradores |
| VI — Exercício regular de direitos em processo administrativo ou judicial | Sancionatória, recursal, judicial |
| IX — Interesses legítimos do controlador, com teste de balanceamento | Quando nenhuma das demais bases se aplique adequadamente |
| IV — Realização de estudos por órgão de pesquisa, com anonimização | Exclusivamente em contratações de projetos de pesquisa |
| I — Consentimento | Hipóteses residuais |
Em hipóteses envolvendo dado pessoal sensível, as bases aplicáveis são as do art. 11 da LGPD, com destaque para a realização de estudos por órgão de pesquisa (art. 11, II, "c") — pertinente a projetos de pesquisa científica.
Contratação de R$ 200 mil para serviço de TI que processará dados pessoais de participantes de um projeto.
Cláusulas LGPD obrigatórias
Em contratações cujo objeto envolva tratamento de dados pessoais pelo contratado, o instrumento contratual inclui obrigatoriamente:
- Papel das partes — controlador, operador, sub-operador, controle conjunto, conforme o caso;
- Finalidade do tratamento — específica e explícita;
- Categorias de dados tratadas e categorias de titulares;
- Bases legais aplicáveis (art. 7º ou art. 11 da LGPD);
- Medidas técnicas e administrativas de segurança (criptografia, controles de acesso, registro de acessos, segregação por ambiente);
- Tratamento por sub-operadores — autorização prévia da Fundação; vinculação aos mesmos compromissos contratuais;
- Direitos dos titulares — mecanismos de exercício; prazo de atendimento; canal;
- Comunicação de incidentes — prazo razoável conforme orientação vigente da ANPD, sem fixação de prazo absoluto pelo Manual; conteúdo da comunicação (Res. CD/ANPD nº 15/2024);
- Transferência internacional de dados (quando aplicável) — bases legais e garantias;
- Fim do contrato — devolução ou eliminação dos dados; comprovação;
- Auditoria e direito de verificação pela Fundação;
- Responsabilidade por danos decorrentes de descumprimento.
A Fundação observa o art. 41 da LGPD com designação formal do Encarregado, identificação pública e canal de contato dedicado. Cabe ao Encarregado, no que se refere a contratações: orientar setores operacionais; atuar como canal entre titulares e a Fundação; interagir com a ANPD em incidentes ou requisições; registrar inventário de operações de tratamento decorrentes de contratações.
Pesquisa científica com dados pessoais
Em projetos de pesquisa que envolvam dados pessoais sensíveis, aplicam-se cumulativamente: bases legais específicas do art. 11 da LGPD (em especial, II, "c" — estudos por órgão de pesquisa, com anonimização sempre que possível); aprovação por Comitê de Ética em Pesquisa quando o projeto envolva seres humanos; observância das resoluções do Conselho Nacional de Saúde (em pesquisa em saúde) e demais regulações setoriais; cláusulas contratuais específicas adaptadas à natureza da pesquisa.
O contrato com instituição parceira ou prestadora deve regular expressamente: anonimização e pseudonimização; titularidade dos resultados; sigilo; tratamento posterior à conclusão do projeto; eventual compartilhamento internacional de dados em colaborações científicas.
Transparência ativa × proteção de dados
A publicidade das contratações (PNCP, portal institucional) deve preservar os dados pessoais: dados de sócios e administradores são publicados conforme o necessário para a finalidade de transparência; dados pessoais excedentes são omitidos ou anonimizados; comunicações internas com dados sensíveis são tratadas com sigilo (art. 7º da LAI); a publicação de extrato de contrato observa minimização.
Articulação com a LAI
A Lei de Acesso à Informação (Lei nº 12.527/2011) coexiste com a LGPD. A Autoridade de Monitoramento da LAI (Portaria nº 002/2025) coordena pedidos de acesso, garantindo: atendimento ao direito de acesso quanto a informações sobre contratações; preservação de dados pessoais excedentes; aplicação das exceções legais; consulta ao Encarregado em casos limítrofes.
Texto normativo — principais artigos
Art. 1º — Definições básicas (art. 5º da LGPD)
Dado pessoal: informação relacionada a pessoa natural identificada ou identificável. Dado pessoal sensível: dado sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou organização religiosa/filosófica/política, dado de saúde ou vida sexual, dado genético ou biométrico vinculado a pessoa natural. Tratamento: toda operação realizada com dados pessoais (coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação ou controle, modificação, comunicação, transferência, difusão ou extração). Controlador / Operador / Encarregado / Incidente de segurança — conforme art. 5º da LGPD.
Art. 2º — Papéis da Fundação
Em regra, controladora dos dados de sócios, administradores, candidatos a seleção, colaboradores. O fornecedor contratado pode atuar como operador quando o objeto envolve tratamento sob ordem da Fundação. Em contratações com IFES/ICT apoiada participando do processo decisório, pode configurar controle conjunto com partilha contratualmente definida.
Art. 3º — Bases legais usuais
Listadas no Nível 1. Em hipóteses envolvendo dado pessoal sensível, bases do art. 11, com destaque para a realização de estudos por órgão de pesquisa (art. 11, II, "c") — pertinente a projetos de pesquisa científica.
Art. 5º — Princípios aplicáveis (art. 6º da LGPD)
Finalidade (propósito legítimo, específico e explicitado); adequação (compatibilidade); necessidade (limitação ao mínimo); livre acesso (consulta facilitada e gratuita aos titulares); qualidade (exatidão, clareza, relevância e atualização); transparência (informações claras sobre o tratamento); segurança (medidas técnicas e administrativas); prevenção (medidas para prevenir danos); não discriminação; responsabilização e prestação de contas.
Cláusulas obrigatórias em contratos com tratamento de dados
Listadas no Nível 2. Em contratações em que o tratamento é exclusivamente incidental (ex.: dados de contato em contrato de fornecimento de bens sem manuseio adicional), aplicam-se cláusulas básicas de segurança e confidencialidade, sem o conjunto completo de cláusulas LGPD aplicável a operadores.
Incidentes (arts. 48-49 LGPD; Res. CD/ANPD 15/2024)
Comunicação imediata ao Encarregado pelo contratado; análise da situação; notificação à ANPD em prazo razoável, conforme orientação vigente da ANPD (sem fixação de prazo absoluto pelo Manual); comunicação aos titulares afetados quando o incidente possa acarretar risco ou dano relevante. Conteúdo da notificação: descrição da natureza dos dados afetados; informações sobre os titulares envolvidos; indicação das medidas técnicas e de segurança utilizadas; riscos relacionados; motivos da demora, no caso de comunicação não imediata; medidas adotadas.
Direitos dos titulares (art. 18 LGPD)
Confirmação da existência de tratamento; acesso aos dados; correção; anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade; portabilidade; eliminação dos dados tratados com consentimento; informação sobre compartilhamento; informação sobre não consentir; revogação do consentimento. Atendimento pelo Encarregado em prazo compatível com a complexidade da requisição, observados os limites legais e regulamentares.
Guarda documental (Decreto 8.241 art. 3º)
A retenção observa dois prazos articulados: o prazo mínimo de guarda do processo de contratação é de 5 anos contados do encerramento do contrato (art. 3º do Decreto); o prazo máximo de retenção de dados pessoais em base ou sistema é de 10 anos, renovável mediante reavaliação fundamentada da finalidade (Código de Ética e Conduta vigente). Prevalecem prazos maiores quando exigidos por financiador ou instrumento de cooperação. A guarda deve observar: medidas de segurança proporcionais; eliminação ao final do prazo, salvo prazo superior em norma específica; controle de acessos; rastreabilidade da eliminação.
Mapa de remissões6 capítulos · 2 anexos
- Cap. 21Programa de integridade institucional