A adequação a LGPD é uma exigência a todas as empresas que tratam dados pessoais, independente do seu porte ou segmento. Acontece que essa necessidade se estende para além da conformidade da própria empresa controladora, seus fornecedores, parceiros e prestadores de serviço também devem observar as diretrizes da legislação. Isso porque a responsabilidade pelo uso de dados se estende a toda a cadeia de tratamento.

A LGPD considera como agente de tratamento tanto o controlador quanto o operador e em muitos casos os fornecedores realizam tratamento de dados em nome do controlador, ou seja, são operadores e devem se ater a sua adequação interna à lei de proteção de dados.  

O controlador compartilha dados constantemente com diversos fornecedores, considerando as finalidades específicas e as bases legais determinadas na organização, porém muitos esquecem dos riscos que podem decorrer dos servidores externos.  

Casos de vazamento de dados e desdobramentos

Uma pesquisa realizada pela Global Cybersecurity Outlook mostrou que, em 2024, das organizações que sofreram um incidente de segurança 41% afirmam ter sido causado por terceiros, o que inclui fornecedores e parceiros de negócio.

Um caso recente que corrobora com esta afirmação foi o vazamento de dados da XP Investimentos que informou aos seus clientes quanto ao acesso não autorizado em uma base de dados hospedada em fornecedor externo. Apesar da empresa ter certificado que nenhuma informação sigilosa, como senhas, biometrias e assinaturas eletrônicas, tenha sido exposta, a intercorrência é capaz de gerar insegurança e perda de confiança de muitos clientes, que preferem migrar seus investimentos para outro servidor que considere aplicar medidas de segurança mais robustas.  

Após o incidente, a XP reforçou o seu sistema de segurança bloqueando o acesso não autorizado, investigando detalhadamente o ocorrido para reparar falhas e informando aos clientes do ocorrido, honrando com a transparência e alertando-os quanto a possíveis tentativas de golpes envolvendo seus dados vazados.  

Em casos de incidentes mais graves envolvendo dados pessoais, com ocorrência confirmada pelo agente e que possa acarretar riscos ou dano relevante ao titular de dados a ANPD deve ser comunicada para adotar as medidas cabíveis de contenção do vazamento.

A falha na segurança, seja na organização ou em seus fornecedores, pode acarretar para além do dano reputacional e da ruptura contratual a responsabilidade solidária, em que a empresa controladora também será responsável pela infração cometida por seus fornecedores, bem como por multas e sanções, por isso se faz indispensável garantir que os fornecedores contratados para prestar serviços estejam em conformidade.  

Grandes empresas como Siemens, Porto Seguro e Ambev já estão exigindo que seus parceiros comprovem a implementação da LGPD através de um checklist, com o objetivo de verificar se eles atendem aos requisitos mínimos para processar dados em segurança.  

Como garantir a conformidade dos fornecedores

É sabido que o fator humano é o principal causador de falhas de segurança, por isso, as empresas devem se preocupar com a conformidade não só interna, mas também de seus fornecedores, certificando que treinamentos e auditorias sejam realizados com regularidade para que falhas possam ser contidas e corrigidas.  

Para prevenir a ocorrência de riscos algumas medidas podem ser adotadas como por exemplo:

• Cláusulas contratuais específicas: os contratos devem conter cláusulas que tratem expressamente da proteção de dados pessoais, definindo responsabilidades, medidas de segurança, notificações em caso de incidentes e mecanismos de auditoria.

• Due diligence de privacidade: antes de realizar uma contratação é indispensável que a empresa avalie o nível de maturidade do fornecedor em relação à proteção de dados, através de questionários, auditorias ou a exigência de certificações.

• Monitoramento contínuo: a conformidade deve ser acompanhada ao longo da relação comercial, avaliações periódicas e relatórios ajudam a identificar e corrigir possíveis falhas.

• Treinamentos: sempre que possível, os fornecedores devem ser incluídos em programas de capacitação e conscientização sobre a LGPD, garantindo alinhamento de práticas e valores.

Conclusão

A adequação é uma exigência estratégica para a construção de relações comerciais seguras e sustentáveis. Ao garantir que seus fornecedores também estejam em conformidade, a empresa protege seus próprios interesses e fortalece sua governança.

Não espere o incidente ocorrer para conter danos, muitos deles podem ser irreparáveis, antecipe a conformidade e evite riscos reputacionais e sancionatórios com ECOMPLY, parceira estratégica na conformidade completa e segura de empresas, parceiros e fornecedores.