O fornecedor tem acesso aos dados dos seus clientes. Quem acompanha o que ele faz com esse acesso, antes de um vazamento de dados?
Incidentes envolvendo terceiros mostram que proteção de dados não termina na fronteira da empresa. Uma política de privacidade ajuda a informar as pessoas, mas não substitui controles de acesso, contratos executáveis e um plano de resposta.
Contratar um fornecedor não transfere todo o risco
Na LGPD, os papéis de controlador e operador dependem das atividades realizadas. O contrato precisa refletir essa realidade. Ele não pode simplesmente declarar que toda responsabilidade pertence ao outro lado.
Defina instruções de tratamento, segurança, subcontratações, acesso a evidências e comunicação de incidentes. Para o operador, o dever de seguir instruções lícitas e as hipóteses legais de responsabilidade precisam ser considerados; não se resumem ao limite comercial negociado.
O que revisar antes de contratar
Comece pelos dados necessários à prestação do serviço. Um fornecedor não deveria receber a base completa se consegue executar sua tarefa com um conjunto menor.
Confira quem terá acesso, como as credenciais são administradas, quais evidências de segurança existem e como o parceiro reage a um incidente. Certificações e questionários ajudam, mas não substituem a avaliação do risco concreto.
Depois da contratação, mantenha uma rotina proporcional de acompanhamento. O escopo do fornecedor pode mudar sem que o contrato tenha sido atualizado.
Como agir se acontecer um incidente
A primeira resposta combina contenção, preservação de evidências e avaliação das pessoas potencialmente afetadas. Identifique rapidamente o responsável técnico e quem fará a avaliação jurídica e a comunicação.
Pela Resolução CD/ANPD 15/2024, a regra geral é comunicar à ANPD e aos titulares, em três dias úteis, os incidentes capazes de ocasionar risco ou dano relevante, observadas as condições e exceções do regulamento. Não é toda ocorrência que exige o mesmo procedimento.
A empresa deve documentar a decisão, inclusive quando conclui que não há comunicação obrigatória. O registro não pode depender da memória de quem estava de plantão.
Como prevenir vazamento de dados em fornecedores?
Inventário de dados, privilégios mínimos, regras de retenção, treinamento e testes do plano de resposta ajudam a tornar a proteção verificável. O relatório de impacto pode ser relevante conforme o tratamento e as exigências aplicáveis; não é um documento obrigatório para toda empresa em qualquer situação.
Meu ponto é simples: cobrar segurança de um fornecedor começa antes do vazamento. Quando a primeira conversa séria acontece depois do incidente, o custo da improvisação já entrou na conta.