Conformidade
LGPD e fornecedores: como gerir riscos de terceiros na proteção de dados
A LGPD responsabiliza o controlador pelo tratamento de dados pessoais mesmo quando ele é feito por um operador terceirizado. Gerir riscos de fornecedores sob a ótica da proteção de dados significa avaliar operadores por risco, exigir evidências e manter uma trilha que demonstre diligência ao titular e à autoridade.
Por que a LGPD alcança seus fornecedores
A Lei Geral de Proteção de Dados atribui ao controlador — quem decide sobre o tratamento — a responsabilidade pelos dados pessoais, mesmo quando o tratamento é operacionalmente executado por um terceiro. Quando você contrata um fornecedor que acessa, armazena ou processa dados de clientes, funcionários ou parceiros, esse fornecedor age como operador, e a responsabilidade pela adequação continua com a sua organização.
Isso significa que a proteção de dados não termina nas suas fronteiras: ela precisa alcançar a cadeia de terceiros. Um vazamento no operador é um incidente do controlador perante os titulares e a autoridade.
O que avaliar em um operador de dados
- Bases legais e finalidade do tratamento realizado pelo fornecedor.
- Medidas técnicas e organizacionais de segurança da informação.
- Política de retenção, eliminação e devolução de dados ao fim do contrato.
- Subcontratação: quem mais toca os dados e sob quais garantias.
- Transferência internacional de dados, quando aplicável.
- Processo de resposta e notificação de incidentes de segurança.
Esses temas devem entrar no escopo da due diligence de fornecedores sempre que houver tratamento de dados pessoais, com profundidade proporcional à sensibilidade e ao volume dos dados envolvidos.
Da avaliação à evidência
Declarações não bastam. Para demonstrar diligência, é preciso vincular evidências às respostas — cláusulas de proteção de dados no contrato, relatórios de segurança, certificações, registros de eliminação. Em uma eventual fiscalização, a capacidade de mostrar o que foi exigido, o que foi comprovado e o que foi decidido é o que caracteriza a adoção de boas práticas.
Mantendo a conformidade ao longo do tempo
Adequação à LGPD não é um marco, é um estado que precisa ser mantido. Evidências vencem, contratos mudam, fornecedores subcontratam. Um programa de gestão de riscos de terceiros mantém a proteção de dados viva com reavaliações periódicas, alertas de vencimento e planos de ação para lacunas — tudo registrado em trilha de auditoria.
Para entender como priorizar essa avaliação por criticidade, veja o guia de matriz de risco de fornecedores.
Perguntas frequentes
Dúvidas comuns sobre o tema
Quem é responsável pela LGPD quando o fornecedor trata os dados?
A responsabilidade principal permanece com o controlador — a organização que decide sobre o tratamento. O fornecedor que executa o tratamento é o operador e responde nos termos da lei, mas isso não transfere a responsabilidade do controlador de garantir e demonstrar a adequação.
Que evidências pedir a um operador de dados?
Cláusulas de proteção de dados no contrato, medidas técnicas e organizacionais de segurança, política de retenção e eliminação, informações sobre subcontratação e transferência internacional, e o processo de notificação de incidentes. As evidências devem ficar vinculadas às respostas da avaliação.
A due diligence de LGPD é diferente da de segurança?
Elas se sobrepõem, mas têm focos distintos. A de segurança avalia a maturidade cibernética geral; a de LGPD foca em bases legais, finalidade, direitos dos titulares, retenção e transferência de dados pessoais. Em fornecedores que tratam dados, ambas devem compor o escopo.
Como manter a conformidade da cadeia ao longo do tempo?
Com reavaliações periódicas proporcionais à criticidade, alertas de vencimento de evidências e contratos, planos de ação para lacunas e uma trilha de auditoria que registre cada decisão. Conformidade é um estado mantido, não um documento assinado uma vez.
Continue lendo
Artigos relacionados
Fundamentos
O que é TPRM? Guia completo de gestão de riscos de terceiros
TPRM (Third-Party Risk Management) é a disciplina de identificar, avaliar e monitorar os riscos que fornecedores e parceiros trazem à sua organização. Entenda o ciclo completo, as etapas e como estruturar um programa.
Ler artigoconformidade
Risco cibernético de terceiros: avaliação contínua e monitoramento pós-onboarding
Guia prático para estruturar monitoramento contínuo de riscos cibernéticos de fornecedores além da avaliação inicial, integrando frameworks reconhecidos como NIST Cybersecurity Framework e CISA Supply Chain Risk Management.
Ler artigo