Bases de Clientes de Terceiros: Até Onde uma Agência Pode Usar os Dados do Cliente do seu Contratante?

O papel da agência: operadora, não controladora

Toda agência que já trabalhou com performance, CRM ou automação de marketing conhece a rotina: o cliente entrega uma planilha, um export do CRM ou acesso a uma plataforma com milhares de contatos, e o trabalho começa. Nós observamos, no entanto, que poucas dessas relações contratuais deixam claro o que pode — e o que não pode — ser feito com esses dados depois que a campanha termina.

Na estrutura da LGPD, a agência que recebe uma base de clientes para executar campanhas normalmente assume o papel de operadora, enquanto o contratante — dono original da base — permanece como controlador. Essa distinção não é apenas teórica: o operador só pode tratar os dados de acordo com as instruções documentadas do controlador, e qualquer decisão sobre novas finalidades exige autorização expressa.

Apesar disso, é comum que agências tratem a base recebida como um recurso genérico de trabalho, reutilizando contatos para testar novos formatos de campanha, enriquecer listas próprias ou até oferecer os mesmos dados, de forma velada, para outro cliente do mesmo setor. Essa prática rompe a lógica da lei e expõe a agência a um risco que ela mesma, em geral, subestima.

Onde termina o mandato: uso adequado versus uso indevido

Essa fronteira parece óbvia quando descrita em termos abstratos, porém se dilui rapidamente na correria operacional. Uma agência do setor de varejo, por exemplo, pode receber a base de clientes de uma campanha de e-mail marketing e, meses depois, decidir usar os mesmos contatos para validar uma nova oferta de outro cliente do mesmo segmento. Ainda que a intenção pareça inofensiva — afinal, o público é parecido —, esse uso não está coberto pela autorização original e caracteriza tratamento fora da finalidade.

Contrato como linha de defesa — e como limite operacional

O contrato entre agência e contratante costuma ser o único documento capaz de delimitar, com precisão, o que está autorizado. Todavia, muitos contratos de prestação de serviço tratam a questão de dados de forma genérica, com cláusulas de confidencialidade que não especificam finalidade, prazo de retenção nem hipóteses de descarte.

Um contrato bem estruturado precisa indicar, no mínimo, para qual finalidade a base foi cedida, por quanto tempo a agência pode mantê-la, se subcontratados (como plataformas de disparo ou fornecedores de análise de dados) podem acessá-la, e o que acontece com os dados ao fim do contrato — se devem ser devolvidos, anonimizados ou eliminados. Sem essas definições, a agência opera em uma zona cinzenta que dificulta tanto a defesa em caso de fiscalização quanto a própria gestão interna dos dados recebidos.

Compartilhamento entre clientes: um risco recorrente no setor

Um dos usos indevidos mais frequentes acontece quando a agência atende múltiplos clientes do mesmo segmento e, na tentativa de otimizar processos, mistura ou cruza bases sem perceber a gravidade do gesto. Isso costuma ocorrer de forma não intencional: uma lista é reaproveitada em uma nova campanha, um segmento de público é replicado entre contas, ou uma ferramenta de automação acaba consolidando contatos de diferentes clientes em uma única base interna.

No setor de eventos, por exemplo, uma agência pode gerenciar simultaneamente a base de participantes de duas marcas concorrentes. Se essas listas forem tratadas na mesma ferramenta sem segregação adequada, o risco de vazamento cruzado — ainda que acidental — se torna real, além de configurar quebra de confidencialidade perante ambos os contratantes.

Quando a agência responde como se fosse a controladora

Quando uma agência trata dados fora da finalidade autorizada, ela deixa de atuar estritamente como operadora. O art. 42, §1º, I, da LGPD prevê que o operador responde solidariamente pelos danos causados pelo tratamento quando descumpre as obrigações da legislação de proteção de dados ou quando não segue as instruções lícitas do controlador, hipótese em que se equipara a ele. Isso significa que, diante de uma reclamação de titular ou de uma fiscalização da ANPD, a agência não pode se proteger sob o argumento de que apenas “executou a campanha”.

A responsabilidade do contratante, por sua vez, não é automática. O art. 43 estabelece que os agentes de tratamento só não são responsabilizados quando provam que não realizaram o tratamento que lhes é atribuído, que não houve violação à legislação de proteção de dados ou que o dano decorreu de culpa exclusiva do titular ou de terceiro. Um contratante que consegue demonstrar que a reutilização da base foi decisão exclusiva da agência, e que havia instruções documentadas em sentido contrário, está em posição muito diferente da de quem nunca definiu limites. Além disso, quem repara o dano ao titular tem direito de regresso contra os demais responsáveis, na medida da participação de cada um (art. 42, §4º).

Essa lógica surpreende muitas agências, que enxergam a base recebida como um dado emprestado sem consequências diretas para o próprio negócio. Entretanto, a LGPD busca justamente evitar essa diluição de responsabilidade: quem trata o dado, mesmo por instrução de terceiros, responde pelo tratamento que realiza, e o contrato com instruções documentadas é o que permite a cada parte provar o que fez.

Boas práticas para formalizar o uso de bases recebidas

Diante desse cenário, algumas medidas ajudam a reduzir o risco operacional e jurídico da agência. A primeira delas é formalizar, em contrato ou aditivo específico, as instruções de tratamento — finalidade, prazo, forma de descarte e hipóteses de subcontratação. A segunda é manter as bases de diferentes clientes segregadas fisicamente ou logicamente, evitando ferramentas que consolidem contatos de contas distintas sem controle de acesso adequado.

Ainda assim, a formalização contratual não substitui a governança interna. Times de atendimento e mídia precisam ser treinados para reconhecer que uma base de clientes não é um recurso reutilizável por padrão, senão a própria cultura da agência acaba normalizando o uso indevido, independentemente do que está escrito no contrato.

O impacto de ignorar esses limites

Agências que negligenciam essa fronteira tendem a descobrir o problema apenas quando já é tarde — geralmente diante de uma notificação da ANPD, de um cliente insatisfeito ou de um titular que exerce seu direito de reclamação. Nesse momento, a reconstrução do histórico de uso da base costuma ser trabalhosa, já que raramente existe documentação clara sobre quem autorizou o quê e quando.

Mais do que uma questão de compliance, trata-se de uma questão de sustentabilidade do relacionamento comercial. Contratantes que percebem uso indevido de suas bases dificilmente renovam contratos, e a reputação da agência no mercado pode ser afetada de forma duradoura — um custo que nenhuma otimização de campanha compensa.

Conclusão

O trabalho de uma agência com dados de terceiros exige um entendimento claro de que a base recebida pertence ao contratante, e não à agência. Definir por contrato a finalidade, o prazo e as condições de uso, além de manter uma governança interna consistente, é o que separa uma operação alinhada à LGPD de uma exposição desnecessária a riscos regulatórios e reputacionais.

Para aprofundar temas relacionados, vale consultar os artigos Operador e controlador na LGPD: entenda as diferenças e responsabilidades e Como estruturar contratos de tratamento de dados com fornecedores e parceiros no blog da DPOnet.