LGPD no Departamento de Compras e Supply Chain: os riscos de privacidade na contratação e gestão de fornecedores

Introdução

O departamento de Compras, também conhecido como área de Suprimentos, desempenha um papel estratégico nas organizações, sendo responsável por atividades que vão além da aquisição de produtos e serviços. Suas atribuições envolvem a identificação de necessidades internas, a seleção e homologação de fornecedores, a negociação de condições comerciais, a formalização de contratos e o acompanhamento das relações estabelecidas com terceiros. No contexto de Supply Chain, essas atividades integram uma cadeia de fornecimento que pode envolver diferentes empresas, profissionais autônomos, prestadores de serviços e parceiros comerciais, exigindo mecanismos de governança capazes de acompanhar não apenas os aspectos financeiros e operacionais, mas também os riscos associados ao tratamento de dados pessoais.

Embora frequentemente relacionadas a processos administrativos e comerciais, essas atividades envolvem diversas operações de tratamento de dados pessoais. Durante a seleção e homologação de fornecedores, por exemplo, podem ser coletados nomes, CPFs, documentos de identificação, informações bancárias, dados de contato e informações de representantes legais. Na etapa de contratação, esses dados passam a integrar propostas, contratos, cadastros corporativos e sistemas de gestão. Já durante a execução contratual, novas operações de tratamento podem ocorrer, especialmente quando fornecedores precisam acessar sistemas internos, consultar informações de clientes, empregados ou parceiros comerciais, ou utilizar dados pessoais para a prestação dos serviços contratados.

Nesse cenário, é importante compreender que a relação entre Compras e proteção de dados não se limita às informações cadastrais dos fornecedores. A contratação de uma empresa de tecnologia, por exemplo, pode envolver o acesso a bases de dados de clientes; a contratação de uma consultoria de Recursos Humanos pode exigir o compartilhamento de informações de empregados; enquanto a utilização de plataformas terceirizadas de gestão pode resultar no armazenamento e processamento de dados pessoais em ambientes externos à infraestrutura da organização. Cada uma dessas situações apresenta características e riscos distintos, que devem ser avaliados considerando a natureza dos dados, as finalidades do tratamento, os agentes envolvidos e as medidas de segurança adotadas.

As decisões comerciais também possuem reflexos diretos sobre a governança de privacidade. A escolha de um fornecedor não deve considerar exclusivamente critérios como preço, prazo, capacidade técnica ou qualidade dos serviços, especialmente quando a contratação envolve operações de tratamento de dados pessoais. A ausência de avaliações prévias, a contratação de terceiros sem medidas adequadas de segurança ou a formalização de instrumentos contratuais que não estabeleçam claramente as responsabilidades das partes podem ampliar a exposição da organização a incidentes de segurança, compartilhamentos indevidos, dificuldades no atendimento aos direitos dos titulares e outros riscos de desconformidade com a Lei Geral de Proteção de Dados Pessoais (LGPD).

Nesse contexto, a realização de procedimentos de Due Diligence de Privacidade e Proteção de Dados constitui um importante instrumento de avaliação preventiva, permitindo identificar riscos, verificar práticas de governança e segurança, analisar evidências de conformidade e estabelecer recomendações antes da formalização ou continuidade das relações comerciais. Entretanto, essa avaliação não deve ser compreendida como uma etapa meramente documental ou como garantia automática de adequação à legislação, mas como parte de um processo mais amplo de gestão de terceiros, que envolve definição de responsabilidades, acompanhamento de medidas corretivas e monitoramento contínuo dos riscos identificados.

A conformidade com a LGPD, portanto, deve ser considerada desde as primeiras etapas do relacionamento com fornecedores e prestadores de serviços, acompanhando todo o ciclo contratual, desde a seleção e homologação até o encerramento da prestação dos serviços e a destinação adequada dos dados pessoais envolvidos. Para isso, é fundamental que o departamento de Compras atue de maneira integrada às áreas de Privacidade, Jurídico, Segurança da Informação e demais setores responsáveis, de modo que as decisões comerciais sejam acompanhadas de avaliações proporcionais aos riscos das operações de tratamento.

Ao longo deste artigo, serão abordados os principais pontos de atenção relacionados à aplicação da LGPD nas atividades de Compras e Supply Chain, incluindo o tratamento de dados pessoais de fornecedores e profissionais autônomos, a realização de Due Diligence de Privacidade, a definição dos papéis de Controlador e Operador, as cláusulas contratuais de proteção de dados, os riscos associados ao compartilhamento de informações e a importância do monitoramento contínuo das relações com terceiros. O objetivo é demonstrar como a integração entre processos de contratação, governança e proteção de dados contribui para relações comerciais mais transparentes, seguras e alinhadas às exigências legais.

Quais dados pessoais são tratados pelo departamento de Compras?

As atividades desempenhadas pelo departamento de Compras envolvem o tratamento de diferentes categorias de dados pessoais, desde as primeiras interações com potenciais fornecedores até o encerramento das relações contratuais. Embora essas operações estejam frequentemente associadas à gestão comercial e administrativa, é importante reconhecer que documentos, cadastros, sistemas e processos utilizados pela área podem conter informações relacionadas a pessoas naturais identificadas ou identificáveis, sujeitas às disposições da Lei Geral de Proteção de Dados Pessoais (LGPD).

Durante a seleção e homologação de fornecedores, por exemplo, é comum que as organizações solicitem informações cadastrais para verificar a identidade, a regularidade e a capacidade de contratação dos interessados. Quando o fornecedor é uma pessoa física ou profissional autônomo, essas informações podem incluir nome completo, CPF, endereço, telefone, e-mail, documentos de identificação, dados bancários e informações fiscais. Dependendo da natureza do serviço, também podem ser solicitados registros profissionais, certificados de qualificação e documentos que comprovem habilitações específicas necessárias à execução das atividades contratadas.

Entretanto, o tratamento de dados pessoais não se restringe aos fornecedores pessoas físicas. Mesmo nas relações comerciais estabelecidas entre pessoas jurídicas, podem existir operações de tratamento de dados pessoais, especialmente quando são coletadas informações de sócios, administradores, representantes legais, procuradores e contatos comerciais. Contratos, propostas, procurações, documentos societários e registros de comunicação podem conter nomes, assinaturas, números de identificação, telefones e endereços de e-mail vinculados a pessoas naturais. Assim, embora os dados exclusivamente empresariais não estejam, por si só, abrangidos pela LGPD, as informações que permitam identificar pessoas naturais continuam sujeitas à legislação, independentemente de estarem inseridas em um contexto corporativo.

Além dos dados cadastrais, o departamento de Compras pode ter acesso a informações financeiras, fiscais e contratuais. Dados bancários utilizados para pagamento de prestadores autônomos, documentos fiscais que identifiquem pessoas naturais, comprovantes de prestação de serviços e registros de negociações são exemplos de informações que podem integrar os sistemas de gestão de fornecedores. Esses documentos também podem conter dados adicionais cuja utilização exige atenção, especialmente quando incluem informações que não são necessárias para a finalidade originalmente pretendida.

A coleta e a utilização dessas informações devem estar fundamentadas em uma das hipóteses legais previstas na LGPD, considerando as características e finalidades de cada operação de tratamento. Nesse contexto, a execução de contrato ou de procedimentos preliminares relacionados a contrato do qual o titular seja parte, prevista no art. 7º, inciso V, pode fundamentar o tratamento de dados pessoais necessários à formalização e execução de contratos com fornecedores pessoas físicas ou profissionais autônomos. O cumprimento de obrigação legal ou regulatória, previsto no art. 7º, inciso II, também pode justificar determinadas operações relacionadas a exigências fiscais, tributárias e contábeis. Por sua vez, o legítimo interesse, previsto no art. 7º, inciso IX, pode ser considerado em atividades específicas de gestão de fornecedores, verificação cadastral e manutenção de contatos comerciais, desde que observados os requisitos do art. 10 da LGPD e os direitos e liberdades fundamentais dos titulares. Em determinadas circunstâncias, o exercício regular de direitos, previsto no art. 7º, inciso VI, também poderá fundamentar a conservação e utilização de informações necessárias à defesa de direitos em processos judiciais, administrativos ou arbitrais.

É importante destacar que a existência de uma relação comercial não autoriza, automaticamente, qualquer operação de tratamento de dados pessoais. A definição da base legal deve considerar a finalidade específica, a necessidade das informações e as circunstâncias concretas da atividade. Da mesma forma, o consentimento não deve ser adotado indiscriminadamente como fundamento para todas as operações, especialmente quando existirem outras hipóteses legais mais adequadas. Nas contratações entre pessoas jurídicas, também é necessário avaliar separadamente o fundamento jurídico para o tratamento dos dados pessoais de representantes e contatos comerciais, uma vez que a hipótese de execução de contrato não se aplica automaticamente a pessoas naturais que não sejam partes do instrumento contratual.

Outro aspecto relevante envolve a aplicação dos princípios previstos no art. 6º da LGPD, especialmente os da finalidade, adequação e necessidade. Na prática, esses princípios exigem que o departamento de Compras estabeleça critérios objetivos para determinar quais informações serão solicitadas, por quais razões serão utilizadas e se sua coleta é proporcional à atividade desenvolvida. O princípio da finalidade exige que o tratamento seja realizado para propósitos legítimos, específicos, explícitos e informados ao titular. Já o princípio da adequação determina que o tratamento seja compatível com as finalidades informadas, considerando o contexto em que ocorre. Por sua vez, o princípio da necessidade estabelece que a utilização de dados pessoais deve ser limitada ao mínimo necessário para atingir as finalidades pretendidas.

Considere, por exemplo, uma organização que esteja cadastrando um profissional autônomo para a prestação de um serviço pontual. Embora seja justificável solicitar informações necessárias à identificação, formalização contratual e pagamento, a exigência de documentos adicionais sem relação demonstrável com essas atividades pode representar uma coleta excessiva. Da mesma forma, a manutenção indiscriminada de cópias de documentos pessoais após sua utilização, sem justificativa para a retenção, pode contrariar os princípios da LGPD. Essa avaliação também deve ser aplicada aos formulários de cadastro e homologação utilizados pelo departamento de Compras, uma vez que procedimentos excessivamente padronizados podem resultar na solicitação das mesmas informações para todos os fornecedores, independentemente da natureza da contratação, do serviço prestado ou dos riscos envolvidos.

O tratamento de dados pessoais pelo departamento de Compras também envolve a circulação de informações entre diferentes setores internos. Durante o processo de contratação e gestão de fornecedores, documentos e registros podem ser encaminhados ao Financeiro para processamento de pagamentos, à Contabilidade para cumprimento de obrigações fiscais, ao Jurídico para elaboração e revisão contratual e às áreas de Compliance, Privacidade e Segurança da Informação para avaliações específicas. Esses compartilhamentos devem observar critérios de necessidade, finalidade e controle de acesso, considerando que o fato de diferentes departamentos integrarem a mesma organização não significa que todos os profissionais devam possuir acesso irrestrito às informações dos fornecedores.

Por exemplo, enquanto o Financeiro pode necessitar de dados bancários e informações fiscais para efetuar pagamentos, a área Jurídica pode precisar acessar documentos contratuais e informações de representantes legais. Já a equipe responsável pela Due Diligence de Privacidade pode necessitar de documentos e evidências relacionados à governança e às práticas de proteção de dados do fornecedor, sem que isso justifique o acesso integral a todos os seus registros cadastrais ou financeiros. Além disso, os meios utilizados para a circulação dessas informações também devem ser considerados, uma vez que o compartilhamento de documentos por e-mail, a manutenção de planilhas em pastas compartilhadas, o armazenamento em plataformas corporativas e a utilização de sistemas de gestão podem ampliar o número de pessoas com acesso aos dados, especialmente quando não existem mecanismos adequados de segregação de permissões, rastreabilidade e controle documental.

Nesse sentido, a adoção de procedimentos internos que definam quais informações podem ser compartilhadas, com quais áreas e por quais meios contribui para reduzir a exposição desnecessária de dados pessoais e fortalecer a governança das operações realizadas pelo departamento de Compras. Portanto, a conformidade com a LGPD nas atividades de Compras começa pela compreensão dos dados pessoais que efetivamente circulam na área, sendo fundamental identificar as categorias de informações tratadas, estabelecer bases legais adequadas, limitar a coleta ao necessário e controlar os acessos e compartilhamentos, de modo que os processos de contratação e gestão de fornecedores sejam conduzidos de maneira transparente, proporcional e alinhada às exigências legais.

Due Diligence de Privacidade: a importância de avaliar fornecedores antes da contratação

A contratação de fornecedores e prestadores de serviços representa uma etapa relevante para a governança de privacidade e proteção de dados pessoais, especialmente quando a execução das atividades contratadas envolve acesso, armazenamento, compartilhamento ou qualquer outra operação de tratamento de informações relacionadas a pessoas naturais. Nesse contexto, a realização de procedimentos de Due Diligence de Privacidade e Proteção de Dados constitui um importante mecanismo preventivo, permitindo que as organizações avaliem os riscos associados à contratação de terceiros antes de estabelecer uma relação comercial ou disponibilizar acesso a dados pessoais.

A Due Diligence de Privacidade pode ser compreendida como um processo estruturado de avaliação das práticas, políticas, procedimentos e controles adotados por potenciais fornecedores em relação ao tratamento de dados pessoais. Sua finalidade consiste em identificar possíveis fragilidades, verificar o nível de maturidade dos mecanismos de governança e segurança, avaliar a aderência às exigências legais e subsidiar decisões relacionadas à contratação, à continuidade da prestação dos serviços e à necessidade de implementação de medidas corretivas. Trata-se, portanto, de uma atividade que ultrapassa a simples verificação documental, exigindo uma análise proporcional à natureza das operações de tratamento e aos riscos envolvidos.

Embora frequentemente conduzidas de maneira integrada, a homologação comercial, a avaliação de Segurança da Informação e a Due Diligence de Privacidade possuem objetivos distintos e complementares. A homologação comercial concentra-se, em geral, na verificação da regularidade cadastral, capacidade técnica, situação financeira, condições de fornecimento e demais requisitos necessários à contratação. A avaliação de Segurança da Informação, por sua vez, busca examinar os controles técnicos e organizacionais destinados à proteção dos ativos e informações, incluindo gestão de acessos, autenticação, criptografia, monitoramento, backups, continuidade de negócios e resposta a incidentes. Já a Due Diligence de Privacidade direciona sua análise à conformidade das operações de tratamento de dados pessoais com a LGPD, considerando aspectos como finalidades, bases legais, papéis dos agentes de tratamento, direitos dos titulares, retenção, compartilhamentos e responsabilidades contratuais.

Essa distinção é particularmente importante porque a existência de controles robustos de Segurança da Informação não significa, necessariamente, que o fornecedor esteja adequado à legislação de proteção de dados. Uma organização pode possuir mecanismos avançados de criptografia, autenticação e monitoramento e, ainda assim, realizar tratamentos excessivos, manter dados pessoais por períodos injustificados ou não estabelecer critérios adequados para o atendimento aos direitos dos titulares. Da mesma forma, a existência de um Aviso de Privacidade ou de políticas corporativas não comprova, isoladamente, que os controles técnicos e administrativos necessários estejam efetivamente implementados. Por essa razão, as avaliações devem ser compreendidas como complementares, permitindo uma visão mais abrangente dos riscos associados à contratação.

A definição da profundidade da Due Diligence deve considerar as características do fornecedor e, principalmente, as operações de tratamento de dados pessoais que serão realizadas no contexto da prestação dos serviços. Entre os critérios relevantes estão a natureza e a sensibilidade das informações, o volume de dados tratados, as categorias de titulares envolvidos, as finalidades do tratamento, a existência de acesso a sistemas corporativos, a utilização de infraestrutura em nuvem, a contratação de suboperadores e a realização de transferências internacionais de dados pessoais. Também devem ser considerados os possíveis impactos aos direitos e liberdades dos titulares, bem como a criticidade dos serviços e a dependência operacional da organização em relação ao fornecedor.

Nesse sentido, fornecedores que terão acesso a grandes volumes de dados pessoais, informações sensíveis ou sistemas considerados críticos podem demandar avaliações mais aprofundadas, enquanto contratações que envolvam operações de tratamento limitadas e de menor risco podem ser submetidas a procedimentos proporcionais às suas características. A classificação de riscos permite direcionar os esforços de avaliação, estabelecer prioridades e identificar situações que exigem medidas adicionais antes da contratação. Entretanto, essa classificação deve considerar não apenas os controles declarados pelo fornecedor, mas também a exposição efetiva decorrente das atividades contratadas e as consequências de eventuais falhas.

Controlador, Operador e suboperadores: quem responde pelo tratamento dos dados?

A contratação de fornecedores e prestadores de serviços que realizam operações de tratamento de dados pessoais exige a identificação dos papéis e das responsabilidades de cada organização envolvida. No contexto de Compras e Supply Chain, essa definição é especialmente relevante, considerando que uma mesma cadeia de fornecimento pode envolver diferentes empresas, plataformas tecnológicas, prestadores especializados e terceiros que participam direta ou indiretamente das operações de tratamento. A ausência de clareza sobre essas relações pode gerar dificuldades na definição das obrigações contratuais, no atendimento aos direitos dos titulares, na gestão de incidentes de segurança e na identificação dos responsáveis por eventuais irregularidades.

A Lei Geral de Proteção de Dados Pessoais (LGPD), em seu art. 5º, incisos VI e VII, estabelece duas figuras centrais para a governança das operações de tratamento: o Controlador e o Operador. O Controlador é a pessoa natural ou jurídica, de direito público ou privado, a quem competem as decisões referentes ao tratamento de dados pessoais, enquanto o Operador é a pessoa natural ou jurídica que realiza o tratamento de dados pessoais em nome do Controlador. Essa distinção está relacionada às atividades efetivamente desempenhadas por cada agente, e não exclusivamente à denominação utilizada em contratos ou à posição comercial ocupada na relação entre as partes.

Nesse sentido, a identificação dos agentes de tratamento deve considerar quem determina as finalidades e os elementos essenciais das operações, quem estabelece as instruções para sua realização e qual é o grau de autonomia de cada participante. O Controlador possui competência decisória sobre o tratamento, enquanto o Operador executa as atividades em seu nome, observando as instruções lícitas recebidas e as obrigações legais aplicáveis. Conforme previsto no art. 39 da LGPD, o Operador deve realizar o tratamento segundo as instruções fornecidas pelo Controlador, a quem compete verificar a observância dessas instruções e das normas relacionadas à matéria.

Entretanto, nem todo fornecedor contratado por uma organização atua, necessariamente, como Operador de dados pessoais. A existência de uma relação comercial, a prestação de serviços ou mesmo o recebimento de determinadas informações não são elementos suficientes, isoladamente, para caracterizar essa condição. Um escritório de contabilidade, uma instituição financeira, uma consultoria especializada ou uma empresa de tecnologia, por exemplo, pode desempenhar diferentes papéis conforme as características do serviço prestado, as finalidades envolvidas e a autonomia existente sobre as operações de tratamento.

Uma empresa contratada para hospedar uma plataforma corporativa e armazenar dados pessoais conforme as instruções de sua contratante poderá atuar como Operadora em relação a essas atividades. Por outro lado, um fornecedor que trata dados pessoais para cumprir obrigações legais próprias ou para desenvolver finalidades determinadas autonomamente poderá atuar como Controlador independente em relação a essas operações. Também é possível que uma mesma organização exerça papéis distintos em diferentes atividades, sendo Operadora em determinados tratamentos e Controladora em outros.

Essa diferenciação possui consequências práticas para a elaboração dos contratos e para a definição das responsabilidades. A classificação inadequada de um fornecedor como Operador, quando ele efetivamente determina finalidades próprias de tratamento, pode resultar em instrumentos contratuais incompatíveis com a realidade das operações. Da mesma forma, a ausência de identificação de um fornecedor que atua como Operador pode comprometer a formalização das instruções, dos controles e dos mecanismos de acompanhamento necessários à execução dos serviços.

Durante a execução contratual, as responsabilidades devem ser estabelecidas de maneira compatível com os papéis efetivamente exercidos. Ao Controlador compete, entre outras atribuições, identificar as finalidades e bases legais aplicáveis, assegurar a observância dos princípios da LGPD, estabelecer instruções adequadas para as operações realizadas em seu nome e organizar os procedimentos necessários ao atendimento dos direitos dos titulares. Ao Operador, por sua vez, cabe observar as instruções lícitas recebidas, cumprir as obrigações legais que lhe sejam aplicáveis e adotar as medidas técnicas e administrativas necessárias à proteção das informações tratadas.

A definição contratual dessas responsabilidades também deve contemplar mecanismos de comunicação e cooperação entre as partes. Em situações envolvendo requisições de titulares, por exemplo, o fornecedor que atua como Operador deve observar os procedimentos estabelecidos com o respectivo Controlador, permitindo que as solicitações sejam direcionadas e tratadas de maneira adequada. Da mesma forma, a identificação de um incidente de segurança envolvendo dados pessoais tratados em nome de terceiros exige fluxos de comunicação previamente definidos, de modo que o Controlador tenha condições de avaliar os impactos, adotar as providências necessárias e cumprir eventuais obrigações de comunicação perante a Agência Nacional de Proteção de Dados (ANPD) e os titulares, quando aplicável.

É importante observar que a responsabilidade pelo tratamento não pode ser definida exclusivamente por disposições contratuais. O art. 42 da LGPD estabelece hipóteses de responsabilização dos agentes de tratamento por danos decorrentes de violações à legislação, enquanto o art. 42, § 1º, inciso I, prevê situações em que o Operador poderá responder solidariamente pelos danos causados quando descumprir as obrigações legais ou deixar de seguir as instruções lícitas do Controlador. Portanto, a condição de Operador não representa uma exclusão automática de responsabilidade, assim como a contratação de terceiros não afasta os deveres legais atribuídos ao Controlador.

A complexidade dessas relações aumenta quando o fornecedor principal contrata outras empresas para auxiliá-lo na execução dos serviços. Nessas situações, surge a figura do suboperador, compreendido como o terceiro contratado pelo Operador para realizar, em seu auxílio, operações de tratamento de dados pessoais em nome do Controlador. Embora a LGPD não apresente uma definição expressa de suboperador, a ANPD reconhece essa figura em seu Guia Orientativo para Definições dos Agentes de Tratamento de Dados Pessoais e do Encarregado, destacando sua relevância para a compreensão de cadeias mais complexas de tratamento. A Agência também esclarece que, conforme as circunstâncias concretas, tanto o Operador principal quanto o suboperador podem exercer funções de Operador e estar sujeitos às responsabilidades previstas na legislação.

Na prática, essa situação pode ocorrer quando uma empresa contratada para disponibilizar uma plataforma de gestão utiliza serviços de armazenamento em nuvem fornecidos por outra organização, ou quando um prestador de serviços terceiriza determinadas atividades que envolvem acesso a dados pessoais. Nesses casos, a organização contratante pode não manter uma relação contratual direta com todos os participantes da cadeia, embora seus dados pessoais sejam tratados por diferentes empresas. Essa estrutura exige atenção, pois a ausência de visibilidade sobre os terceiros envolvidos pode dificultar a identificação dos ambientes de armazenamento, das medidas de segurança aplicadas e das responsabilidades relacionadas a eventuais incidentes.

Por essa razão, recomenda-se que os contratos estabeleçam critérios para a contratação de suboperadores, incluindo mecanismos de autorização, comunicação de alterações relevantes e definição das obrigações de proteção de dados que deverão ser observadas pelos terceiros envolvidos. A própria ANPD orienta que o Operador obtenha autorização formal do Controlador para a contratação de suboperadores, podendo essa autorização ser genérica ou específica, conforme as características da relação estabelecida. Também é recomendável assegurar que as obrigações assumidas pelo Operador principal sejam adequadamente refletidas nos instrumentos firmados com os suboperadores, especialmente quanto à confidencialidade, segurança, finalidade do tratamento e cooperação em situações que demandem providências relacionadas à proteção de dados pessoais.

Outro aspecto relevante envolve a identificação dos compartilhamentos de dados pessoais realizados ao longo da cadeia de fornecedores. A organização deve compreender quais terceiros terão acesso às informações, quais categorias de dados serão disponibilizadas, para quais finalidades serão utilizadas e quais mecanismos de proteção serão empregados. Esse mapeamento contribui para a elaboração e atualização do Registro das Operações de Tratamento de Dados Pessoais (ROPA), para a avaliação dos riscos e para a definição das responsabilidades contratuais. Além disso, permite identificar situações em que dados pessoais inicialmente compartilhados com um fornecedor passam a ser tratados por outros participantes da cadeia, ampliando a necessidade de acompanhamento e controle.

A utilização de fornecedores internacionais ou de serviços tecnológicos com infraestrutura distribuída também exige atenção às possíveis transferências internacionais de dados pessoais. Uma organização pode contratar um fornecedor estabelecido no Brasil e, ainda assim, realizar operações que envolvam transferências internacionais, especialmente quando os serviços dependem de plataformas estrangeiras, infraestrutura em nuvem ou suboperadores localizados em outros países. Entretanto, a simples utilização de tecnologia estrangeira não caracteriza, necessariamente, uma transferência internacional, sendo indispensável analisar os fluxos efetivos de dados e as circunstâncias da operação.

Nesse contexto, o art. 33 da LGPD estabelece as hipóteses que permitem a realização de transferências internacionais de dados pessoais. A matéria também é disciplinada pela Resolução CD/ANPD nº 19/2024, que aprovou o Regulamento de Transferência Internacional de Dados e as cláusulas-padrão contratuais brasileiras. Entre os mecanismos previstos estão as decisões de adequação, as cláusulas-padrão contratuais, as cláusulas contratuais específicas e as normas corporativas globais, observadas as condições legais e regulamentares aplicáveis. Assim, quando a contratação envolver transferência internacional, será necessário identificar o mecanismo jurídico adequado, além de verificar a hipótese legal que fundamenta a operação de tratamento e as medidas de proteção correspondentes.

A ausência dessas verificações pode resultar em relações contratuais nas quais a organização desconhece parte dos agentes envolvidos no tratamento, os países para os quais as informações são transferidas ou os mecanismos utilizados para assegurar sua proteção. Por isso, a identificação de Controladores, Operadores e suboperadores deve integrar os procedimentos de homologação, Due Diligence e gestão contratual, permitindo que as responsabilidades sejam estabelecidas antes do início da prestação dos serviços e acompanhadas durante sua execução.

Dessa forma, a definição dos papéis dos agentes de tratamento não deve ser considerada uma formalidade contratual, mas uma etapa essencial da governança de fornecedores e da conformidade com a LGPD. Compreender quem determina as finalidades, quem executa as operações, quais terceiros participam da cadeia e onde os dados pessoais são tratados contribui para estabelecer obrigações proporcionais aos riscos, aprimorar os mecanismos de fiscalização contratual e assegurar maior transparência sobre as atividades desenvolvidas. No contexto de Compras e Supply Chain, essa compreensão permite que as decisões de contratação sejam acompanhadas de uma avaliação mais consistente das responsabilidades e dos riscos associados ao tratamento de dados pessoais.

Cláusulas contratuais de proteção de dados: o que deve ser previsto?

A formalização de contratos com fornecedores e prestadores de serviços representa uma etapa fundamental para a definição das responsabilidades relacionadas ao tratamento de dados pessoais. No contexto de Compras e Supply Chain, os instrumentos contratuais não devem se limitar às condições comerciais, aos prazos de execução e às obrigações operacionais, especialmente quando a prestação dos serviços envolve acesso, armazenamento, compartilhamento ou outras operações de tratamento de informações pessoais. Nesses casos, a inclusão de disposições específicas sobre privacidade e proteção de dados contribui para estabelecer critérios de atuação, delimitar responsabilidades e definir mecanismos de prevenção e resposta a riscos durante a relação contratual.

Embora a Lei Geral de Proteção de Dados Pessoais (LGPD) não estabeleça um conjunto único e padronizado de cláusulas obrigatórias para todos os contratos celebrados com Operadores, a legislação prevê deveres e responsabilidades que devem ser observados pelos agentes de tratamento. Nesse sentido, a elaboração de cláusulas contratuais adequadas constitui uma importante medida de governança, permitindo que as organizações formalizem as condições sob as quais os dados pessoais poderão ser tratados, bem como os procedimentos que deverão ser adotados em situações que envolvam incidentes de segurança, requisições de titulares, subcontratações e encerramento da prestação dos serviços.

Um dos primeiros aspectos a serem considerados é a definição dos papéis e das responsabilidades das partes. O contrato deve refletir a realidade das operações de tratamento, identificando se o fornecedor atua como Controlador independente, Operador ou, conforme as características das atividades, desempenha papéis distintos em diferentes operações. Essa classificação deve considerar as decisões efetivamente exercidas sobre as finalidades e os elementos essenciais do tratamento, não sendo suficiente atribuir determinada condição por meio de uma disposição contratual. Quando o fornecedor atuar como Operador, recomenda-se estabelecer expressamente sua obrigação de realizar o tratamento em nome do Controlador, observando as instruções lícitas recebidas, nos termos do art. 39 da LGPD.

Além da definição dos papéis, é importante que o instrumento contratual apresente, de maneira clara, as finalidades e os limites das operações de tratamento autorizadas. Isso inclui identificar as categorias de dados pessoais envolvidas, os grupos de titulares afetados, as atividades que poderão ser realizadas e as condições de utilização das informações. Uma empresa contratada para prestar serviços de atendimento ao cliente, por exemplo, poderá necessitar de acesso a dados cadastrais, históricos de solicitações e registros de comunicação para executar suas atividades. Entretanto, esse acesso não deve ser interpretado como autorização para utilizar as informações em finalidades próprias, como campanhas comerciais, desenvolvimento de produtos ou treinamento de sistemas de inteligência artificial, quando tais operações não estiverem devidamente fundamentadas e autorizadas no contexto da relação estabelecida.

A confidencialidade e a Segurança da Informação também devem ocupar posição relevante nas disposições contratuais. Recomenda-se que os fornecedores assumam compromissos relacionados à proteção das informações recebidas, à restrição de acesso por profissionais autorizados e à adoção de medidas técnicas e administrativas compatíveis com os riscos das operações. Essas medidas podem abranger autenticação, gestão de identidades e permissões, criptografia, registros de acesso, proteção dos ambientes tecnológicos, gestão de vulnerabilidades e procedimentos de continuidade de negócios. A definição dessas obrigações deve considerar a natureza dos dados pessoais, a criticidade dos serviços e as características da infraestrutura utilizada, evitando exigências genéricas que não permitam verificar objetivamente o cumprimento dos controles estabelecidos.

Outro elemento relevante envolve a comunicação de incidentes de segurança que possam comprometer dados pessoais. Os contratos devem estabelecer procedimentos claros para que o fornecedor informe ao Controlador, em prazo compatível com a gravidade e a urgência da situação, a identificação de incidentes que afetem ou possam afetar as informações tratadas em seu nome. Essa comunicação deve contemplar, sempre que disponíveis, informações sobre a natureza do incidente, as categorias de dados envolvidas, os possíveis impactos, as medidas de contenção adotadas e as providências previstas para mitigar os riscos. Também é recomendável estabelecer obrigações de cooperação durante a investigação, preservação de evidências e fornecimento de informações complementares, considerando que a avaliação da necessidade de comunicação à Agência Nacional de Proteção de Dados (ANPD) e aos titulares, nos termos da legislação e da regulamentação aplicável, compete ao Controlador.

Nesse contexto, é importante observar que a regulamentação brasileira estabelece prazo de três dias úteis para a comunicação à ANPD e aos titulares dos incidentes de segurança que possam acarretar risco ou dano relevante, ressalvadas as hipóteses específicas previstas na regulamentação. Por essa razão, o prazo contratual de comunicação do Operador ao Controlador deve ser suficientemente célere para permitir a avaliação do incidente e a adoção das providências necessárias dentro dos prazos regulatórios. A definição de um prazo contratual excessivamente longo pode comprometer a capacidade de resposta da organização, mesmo quando o fornecedor tenha cumprido formalmente a obrigação estabelecida no instrumento.

O atendimento às requisições dos titulares de dados pessoais também deve ser contemplado nas relações contratuais que envolvam operações realizadas por Operadores. Considerando que os direitos previstos no art. 18 da LGPD são exercidos perante o Controlador, recomenda-se que o contrato estabeleça mecanismos para o encaminhamento tempestivo das solicitações eventualmente recebidas pelo fornecedor, bem como procedimentos de cooperação para localização, acesso, correção, bloqueio, anonimização ou eliminação de dados pessoais, quando cabíveis. A depender da natureza do serviço, o Operador poderá ser responsável por executar determinadas providências técnicas necessárias ao atendimento da requisição, sempre observando as instruções do Controlador e os limites de sua atuação.

A ausência de procedimentos contratuais claros pode gerar dificuldades operacionais, especialmente quando os dados pessoais estão armazenados em plataformas externas ou distribuídos entre diferentes sistemas. Por exemplo, caso um titular solicite a eliminação de determinadas informações, o Controlador poderá depender da atuação de seu fornecedor para identificar os registros, verificar as possibilidades técnicas de exclusão e executar as providências juridicamente cabíveis. Dessa forma, a definição prévia dos canais de comunicação, das responsabilidades e dos prazos internos de resposta contribui para evitar atrasos e assegurar maior eficiência no atendimento aos direitos dos titulares.

As regras relacionadas à subcontratação de terceiros e à utilização de suboperadores também merecem atenção. Em determinadas relações comerciais, o fornecedor principal pode depender de outras empresas para executar atividades que envolvam tratamento de dados pessoais, como serviços de hospedagem, armazenamento em nuvem, suporte técnico e processamento de informações. Nesses casos, recomenda-se que o contrato estabeleça critérios para a contratação de suboperadores, incluindo a necessidade de autorização prévia, específica ou geral, conforme as características da relação, mecanismos de comunicação sobre alterações na cadeia de terceiros e obrigações de proteção de dados que deverão ser observadas pelos subcontratados.

Também é importante que o fornecedor principal assuma compromissos relacionados à supervisão das atividades realizadas por seus suboperadores e à adoção de instrumentos que estabeleçam obrigações compatíveis com aquelas assumidas perante o Controlador. Isso contribui para reduzir situações em que dados pessoais são compartilhados sucessivamente com diferentes empresas sem que a organização contratante tenha visibilidade adequada sobre os agentes envolvidos, as finalidades das operações e as medidas de proteção aplicadas.

No caso de transferências internacionais de dados pessoais, os contratos devem considerar as exigências previstas nos arts. 33 a 36 da LGPD e na regulamentação da ANPD. Quando a prestação dos serviços envolver operações caracterizadas como transferência internacional, será necessário identificar a hipótese legal aplicável e o mecanismo de transferência correspondente, observando as condições específicas exigidas pela legislação. A Resolução CD/ANPD nº 19/2024, por exemplo, estabelece regras para a utilização de cláusulas-padrão contratuais, cláusulas contratuais específicas e outros mecanismos de transferência internacional. Assim, cláusulas genéricas de confidencialidade ou proteção de dados não substituem, por si só, os instrumentos e requisitos regulatórios aplicáveis às transferências internacionais.

Outro aspecto que deve ser previsto contratualmente é a retenção, devolução e eliminação dos dados pessoais, especialmente após o encerramento da prestação dos serviços. O instrumento deve estabelecer critérios para a destinação das informações tratadas, considerando as finalidades da contratação, as instruções do Controlador e as hipóteses legais que autorizem sua conservação. Em determinadas situações, poderá ser necessária a devolução dos dados à organização contratante, seguida da eliminação das cópias mantidas pelo Operador. Em outras, a conservação de informações poderá ser justificada por obrigações legais, regulatórias ou outras hipóteses previstas na LGPD, desde que observados os limites aplicáveis.

Essa previsão é particularmente relevante em contratos que envolvam plataformas tecnológicas, sistemas de gestão e serviços de armazenamento, nos quais dados pessoais podem permanecer em bases de produção, ambientes de testes, registros de acesso e backups mesmo após o encerramento da relação comercial. Por essa razão, recomenda-se que os contratos estabeleçam procedimentos de encerramento, prazos para devolução ou eliminação, tratamento das cópias de segurança e, quando aplicável, mecanismos de comprovação das providências adotadas. Também devem ser consideradas as medidas necessárias à revogação de acessos e à interrupção de integrações tecnológicas utilizadas durante a prestação dos serviços.

Por fim, a previsão de mecanismos de auditoria, fiscalização contratual e consequências do descumprimento contribui para tornar verificáveis as obrigações estabelecidas. A depender da natureza e da criticidade dos serviços, os contratos podem prever o direito de solicitar documentos, relatórios, certificações, evidências de implementação de controles e esclarecimentos sobre as operações de tratamento. Também podem ser estabelecidos procedimentos de auditoria, observadas condições proporcionais de confidencialidade, segurança e proteção das informações do fornecedor.

Quando forem identificadas não conformidades, o instrumento poderá prever a elaboração de planos de ação, a definição de prazos para adequação e o acompanhamento das medidas corretivas. Em situações mais graves, poderão ser estabelecidas consequências contratuais proporcionais à natureza do descumprimento, como aplicação de penalidades, suspensão de determinadas atividades ou rescisão contratual, sem prejuízo das responsabilidades legais eventualmente aplicáveis. Entretanto, é importante que essas disposições sejam compatíveis com a legislação e com as características da relação comercial, evitando cláusulas que pretendam afastar responsabilidades legais ou transferir integralmente a uma das partes obrigações que decorrem de sua efetiva atuação no tratamento de dados pessoais.

Nesse sentido, a elaboração de cláusulas contratuais de proteção de dados deve ser compreendida como parte de um processo mais amplo de governança de fornecedores, e não como uma medida isolada de conformidade. A simples inclusão de disposições genéricas sobre LGPD não assegura, por si só, que as operações de tratamento estejam adequadamente protegidas, especialmente quando não existem procedimentos internos, controles técnicos e mecanismos de acompanhamento capazes de demonstrar o cumprimento das obrigações assumidas. Para o departamento de Compras e Supply Chain, a integração entre avaliação prévia, formalização contratual e monitoramento contínuo permite estabelecer relações comerciais com maior clareza sobre responsabilidades, reduzir riscos relacionados ao compartilhamento de informações e fortalecer a conformidade das operações de tratamento de dados pessoais ao longo de toda a cadeia de fornecedores.Parte superior do formulárioParte inferior do formulário

Compartilhamento de dados pessoais com fornecedores: quais são os riscos?

O compartilhamento de dados pessoais com fornecedores e prestadores de serviços constitui uma atividade recorrente nas organizações, especialmente em processos que envolvem a contratação de soluções tecnológicas, serviços administrativos, consultorias especializadas, operações logísticas e atividades terceirizadas. No contexto de Compras e Supply Chain, essas operações podem ocorrer desde as etapas iniciais de seleção e homologação até a execução contratual, envolvendo diferentes categorias de informações e múltiplos agentes de tratamento. Embora o compartilhamento seja frequentemente necessário para viabilizar a prestação dos serviços, sua realização sem critérios adequados de governança e segurança pode ampliar a exposição das organizações a acessos indevidos, utilização incompatível com as finalidades originalmente estabelecidas, incidentes de segurança e outras situações de desconformidade com a Lei Geral de Proteção de Dados Pessoais (LGPD).

Na prática, a circulação dessas informações ocorre por diferentes meios, incluindo e-mails corporativos, planilhas eletrônicas, sistemas de gestão empresarial, plataformas de homologação de fornecedores, ferramentas de armazenamento em nuvem e ambientes digitais disponibilizados por terceiros. Durante a contratação de um prestador de serviços, por exemplo, documentos pessoais, informações bancárias e registros contratuais podem ser encaminhados por e-mail para análise e formalização. Da mesma forma, fornecedores de tecnologia podem receber acesso a sistemas internos para realizar atividades de suporte, manutenção, integração ou processamento de informações. Cada um desses mecanismos apresenta características próprias e exige medidas de proteção compatíveis com a natureza dos dados pessoais envolvidos e os riscos decorrentes de sua utilização.

O compartilhamento por e-mail, embora amplamente utilizado nas rotinas corporativas, merece atenção especial em razão da facilidade de encaminhamento, replicação e armazenamento das informações. O envio de documentos para destinatários incorretos, a inclusão indevida de terceiros em cópia, a utilização de endereços pessoais para assuntos profissionais e a circulação de anexos sem medidas adequadas de proteção podem resultar na exposição não autorizada de dados pessoais. Além disso, uma mesma informação pode permanecer armazenada em diferentes caixas de entrada, pastas e dispositivos, dificultando o controle sobre sua utilização, retenção e eventual eliminação. Por essa razão, recomenda-se que o compartilhamento de documentos contendo dados pessoais seja realizado, sempre que possível, por canais corporativos autorizados, com mecanismos de controle de acesso e medidas de segurança proporcionais à criticidade das informações.

As planilhas eletrônicas também representam um ponto de atenção, especialmente quando utilizadas para consolidar cadastros de fornecedores, informações de pagamento, documentos de identificação e registros de homologação. Embora sejam ferramentas práticas para organização e acompanhamento de atividades, sua utilização pode resultar na criação de múltiplas versões de uma mesma base de dados, compartilhadas entre departamentos e terceiros sem critérios uniformes de proteção. A ausência de restrições de acesso, o armazenamento em pastas compartilhadas e a manutenção de arquivos desatualizados podem ampliar os riscos de exposição e dificultar a identificação de quais profissionais possuem acesso às informações. Nesse contexto, a utilização de repositórios corporativos controlados, com permissões individualizadas e mecanismos de rastreabilidade, pode contribuir para reduzir a dispersão de dados pessoais e melhorar a governança documental.

Outro aspecto fundamental envolve a observância dos princípios da finalidade e da necessidade, previstos no art. 6º, incisos I e III, da LGPD. O princípio da finalidade determina que o tratamento seja realizado para propósitos legítimos, específicos, explícitos e informados ao titular, enquanto o princípio da necessidade estabelece que as operações devem ser limitadas ao mínimo necessário para a realização das finalidades pretendidas. Aplicados às relações com fornecedores, esses princípios exigem que as organizações avaliem previamente quais informações precisam ser disponibilizadas, por quais motivos e durante quanto tempo o acesso será necessário.

Considere, por exemplo, a contratação de uma empresa responsável pela manutenção de determinado sistema corporativo. Embora o fornecedor possa necessitar de acesso ao ambiente tecnológico para realizar suas atividades, isso não significa que deva receber acesso irrestrito a todas as bases de dados armazenadas na plataforma. Dependendo da natureza do serviço, as atividades poderão ser executadas em ambientes de testes, com dados fictícios ou anonimizados, ou mediante permissões limitadas a funcionalidades específicas. Quando o acesso a dados pessoais reais for indispensável, deverão ser estabelecidos mecanismos de proteção e restrições compatíveis com as operações autorizadas.

O fornecimento de acessos excessivos ou de bases completas de dados pessoais representa um dos principais riscos relacionados à gestão de terceiros, especialmente quando não existe uma avaliação prévia da efetiva necessidade das informações. Em determinadas situações, organizações disponibilizam bases integrais de clientes, empregados ou parceiros comerciais para fornecedores que necessitariam apenas de registros específicos ou de um conjunto limitado de informações. Essa prática amplia desnecessariamente a quantidade de dados expostos e pode aumentar os impactos de eventuais incidentes de segurança, além de dificultar o controle sobre as finalidades e os limites de utilização das informações compartilhadas.

Esse risco também está associado à concessão de permissões administrativas, contas compartilhadas e acessos permanentes a fornecedores que desempenham atividades pontuais. Um prestador contratado para realizar uma integração tecnológica, por exemplo, pode receber credenciais com privilégios superiores aos necessários ou permanecer com acesso ativo após a conclusão do serviço. Caso essas permissões não sejam revisadas e revogadas adequadamente, a organização poderá manter pontos de exposição que não correspondem mais a uma necessidade operacional legítima. Por essa razão, a gestão de acessos de terceiros deve considerar critérios de privilégio mínimo, segregação de funções, autenticação adequada, concessão temporária de permissões e revisão periódica dos acessos autorizados.

A adoção de medidas técnicas e administrativas de Segurança da Informação constitui outro elemento essencial para a proteção dos dados pessoais compartilhados. O art. 46 da LGPD estabelece que os agentes de tratamento devem adotar medidas de segurança aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito. No contexto das relações com fornecedores, essas medidas podem envolver criptografia, autenticação multifator, restrições de acesso, proteção dos dispositivos utilizados, monitoramento de atividades, mecanismos de prevenção contra vazamentos e procedimentos de resposta a incidentes.

Além da implementação desses controles, é importante estabelecer mecanismos de rastreabilidade que permitam identificar quais informações foram acessadas, por quais usuários, em quais períodos e, quando tecnicamente viável, quais operações foram realizadas. A manutenção de registros de acesso e de atividades relevantes contribui para a identificação de comportamentos incompatíveis com as permissões concedidas, a investigação de possíveis incidentes e a demonstração das medidas de governança adotadas. Entretanto, a coleta e a conservação desses registros também devem observar critérios de finalidade, necessidade, segurança e retenção, considerando que os próprios logs podem conter dados pessoais.

A utilização de ferramentas tecnológicas e serviços em nuvem por fornecedores acrescenta outras dimensões à gestão dos riscos. Atualmente, diversas atividades terceirizadas dependem de plataformas de armazenamento, soluções de gestão empresarial, sistemas de atendimento, ferramentas colaborativas e aplicações disponibilizadas no modelo Software as a Service (SaaS). Embora essas tecnologias possam proporcionar eficiência operacional, escalabilidade e maior integração entre processos, sua utilização também pode envolver o tratamento de dados pessoais em infraestruturas administradas por terceiros, com diferentes mecanismos de armazenamento, processamento, suporte e compartilhamento.

Nesse cenário, é importante que as organizações compreendam quais ferramentas serão utilizadas pelos fornecedores, quais categorias de dados pessoais serão inseridas nesses ambientes e quais terceiros poderão participar das operações. A contratação de uma consultoria que utiliza plataformas externas para armazenar documentos recebidos de seus clientes, por exemplo, pode resultar na participação de outros prestadores de serviços na cadeia de tratamento, mesmo quando não existe uma relação contratual direta entre esses terceiros e a organização contratante. Essa circunstância reforça a necessidade de avaliar a utilização de suboperadores, as condições de segurança, os mecanismos de controle de acesso e a existência de eventuais transferências internacionais de dados pessoais.

Também merece atenção a utilização de ferramentas de inteligência artificial, automação e análise de dados por fornecedores. A inserção de documentos contratuais, bases cadastrais, informações de clientes ou registros internos em plataformas de inteligência artificial generativa, por exemplo, pode envolver operações adicionais de tratamento, dependendo das funcionalidades, das configurações e das condições contratuais do serviço utilizado. Nessas situações, é necessário verificar se o uso da ferramenta está autorizado, quais dados serão processados, se as informações poderão ser utilizadas para treinamento ou aperfeiçoamento de modelos, quais são os critérios de retenção e quais mecanismos de proteção são disponibilizados pelo provedor. A utilização dessas tecnologias deve observar as finalidades legítimas da contratação e não pode representar uma ampliação indiscriminada das operações de tratamento originalmente previstas.

Outro ponto relevante é a necessidade de manter procedimentos claros para o compartilhamento e a utilização de dados pessoais ao longo da execução contratual. A organização deve estabelecer orientações sobre os canais autorizados, as categorias de informações que podem ser disponibilizadas, os profissionais responsáveis pela autorização dos acessos e os mecanismos de acompanhamento das atividades realizadas. Sempre que possível, os compartilhamentos devem ser documentados e vinculados às finalidades contratuais, permitindo que eventuais alterações na prestação dos serviços sejam avaliadas antes da ampliação dos acessos ou da disponibilização de novas categorias de dados pessoais.

Essa governança também deve contemplar situações em que o fornecedor solicita informações adicionais durante a execução dos serviços. A existência de um contrato vigente não significa que qualquer solicitação de dados pessoais esteja automaticamente autorizada. Caso um prestador solicite acesso a novas bases, documentos ou sistemas, a organização deverá avaliar a necessidade operacional, a compatibilidade com as finalidades estabelecidas, os riscos envolvidos e a eventual necessidade de atualização das instruções, dos controles ou dos instrumentos contratuais. Essa avaliação é particularmente importante quando a ampliação do escopo envolve dados pessoais sensíveis, informações de crianças e adolescentes ou outras categorias de dados cujo tratamento possa representar riscos mais elevados aos titulares.

Por fim, a gestão dos compartilhamentos deve considerar não apenas o momento em que as informações são disponibilizadas, mas também sua utilização posterior, eventual reprodução em outros ambientes e destinação após a conclusão das atividades. Dados pessoais encaminhados a fornecedores podem permanecer armazenados em sistemas, caixas de e-mail, arquivos locais, plataformas colaborativas e cópias de segurança, mesmo quando sua utilização já não é necessária. Por essa razão, recomenda-se que os procedimentos de compartilhamento estejam integrados às políticas de retenção e descarte, às regras de encerramento contratual e aos mecanismos de revogação de acessos, evitando a manutenção desnecessária de informações em ambientes externos.

Dessa forma, o compartilhamento de dados pessoais com fornecedores deve ser compreendido como uma operação que exige avaliação, controle e acompanhamento contínuo, e não apenas como uma atividade administrativa necessária à execução contratual. A aplicação dos princípios da finalidade e da necessidade, a limitação dos acessos, a adoção de medidas de Segurança da Informação e a rastreabilidade das operações contribuem para reduzir riscos e fortalecer a governança sobre os dados pessoais compartilhados. No contexto de Compras e Supply Chain, essas medidas permitem que a colaboração com terceiros ocorra de maneira mais segura, proporcional e alinhada às exigências da LGPD, preservando a eficiência operacional sem comprometer a proteção das informações e os direitos dos titulares.

A Due Diligence foi concluída: o fornecedor está automaticamente adequado à LGPD?

A conclusão de um procedimento de Due Diligence de Privacidade e Proteção de Dados representa uma etapa importante na avaliação de fornecedores e prestadores de serviços, mas não significa, necessariamente, que a organização avaliada esteja integralmente adequada às exigências da Lei Geral de Proteção de Dados Pessoais (LGPD). No contexto de Compras e Supply Chain, é fundamental compreender que a finalização de uma análise documental, o preenchimento de questionários ou a atribuição de uma classificação de risco não constituem, isoladamente, comprovação de conformidade. A Due Diligence deve ser compreendida como um instrumento de identificação, avaliação e gestão de riscos, cujos resultados fornecem subsídios para a tomada de decisões comerciais e para o acompanhamento das medidas de proteção de dados adotadas pelos fornecedores.

Essa distinção é especialmente relevante porque os procedimentos de avaliação podem apresentar resultados distintos, dependendo da maturidade dos controles implementados, da qualidade das evidências disponibilizadas e das características dos serviços contratados. Um fornecedor pode concluir todas as etapas de um questionário de privacidade e Segurança da Informação, por exemplo, e ainda apresentar pendências relacionadas à formalização de políticas internas, à definição de procedimentos de resposta a incidentes, à implementação de controles de acesso ou à documentação das operações de tratamento. Da mesma forma, a existência de documentos corporativos não significa, necessariamente, que os procedimentos descritos estejam sendo efetivamente observados nas atividades operacionais.

Nesse sentido, é importante diferenciar a conclusão administrativa da Due Diligence, a classificação de risco atribuída e a efetiva comprovação de implementação das medidas de conformidade. A conclusão administrativa indica que as etapas previstas para a avaliação foram realizadas e que os resultados disponíveis foram consolidados. A classificação de risco representa a análise das vulnerabilidades, fragilidades e possíveis impactos associados à prestação dos serviços. Já a comprovação de conformidade depende da verificação das medidas efetivamente adotadas pelo fornecedor, considerando as obrigações legais aplicáveis e as características das operações de tratamento. Portanto, essas três dimensões não devem ser interpretadas como equivalentes.

A classificação de riscos constitui um dos principais resultados da Due Diligence, permitindo que as organizações identifiquem o nível de exposição associado à contratação e estabeleçam prioridades para o tratamento das fragilidades encontradas. Essa classificação pode considerar fatores como a natureza e a sensibilidade dos dados pessoais tratados, o volume de informações envolvidas, a criticidade dos serviços, a existência de suboperadores, os mecanismos de segurança implementados e os possíveis impactos aos direitos dos titulares. A partir desses elementos, os fornecedores podem ser enquadrados em diferentes níveis de risco, conforme a metodologia adotada pela organização, como muito baixo, baixo, médio, alto ou muito alto.

Entretanto, a atribuição de uma classificação de risco considerada baixa não significa, necessariamente, a inexistência de não conformidades. Um fornecedor pode apresentar controles satisfatórios em grande parte dos critérios avaliados e, ainda assim, possuir pendências documentais ou operacionais que demandem adequação. Da mesma forma, uma classificação de risco elevado não representa, automaticamente, a impossibilidade de contratação, embora possa indicar a necessidade de medidas adicionais, aprofundamento das avaliações ou revisão das condições inicialmente previstas. O aspecto fundamental consiste em compreender quais fatores contribuíram para o resultado e quais providências são necessárias para reduzir os riscos identificados.

Outro ponto relevante envolve a elaboração de recomendações e planos de ação para o tratamento das não conformidades. Quando a avaliação identifica fragilidades, é recomendável que os apontamentos sejam formalizados de maneira objetiva, acompanhados das medidas sugeridas, dos responsáveis por sua implementação e dos prazos previstos para conclusão. Essas recomendações podem envolver a elaboração ou atualização de políticas, a implementação de controles técnicos, a revisão de procedimentos internos, a adequação de cláusulas contratuais ou a definição de mecanismos de governança relacionados ao tratamento de dados pessoais.

Os planos de ação permitem organizar essas providências e estabelecer parâmetros para o acompanhamento das melhorias propostas. Entretanto, a apresentação de um cronograma de adequação não deve ser confundida com a comprovação de que as medidas foram efetivamente implementadas. Um fornecedor que informa que desenvolverá uma Política de Retenção e Descarte nos próximos meses, por exemplo, demonstra a intenção de tratar determinada pendência, mas essa previsão não comprova a existência ou a aplicação do procedimento. Da mesma forma, a indicação de que serão implementados mecanismos de autenticação multifator, revisões periódicas de acesso ou treinamentos de conscientização não representa, por si só, a eliminação dos riscos associados à ausência desses controles.

Por essa razão, o acompanhamento dos planos de ação deve considerar a apresentação de evidências que demonstrem a efetiva implementação das medidas recomendadas. Dependendo da natureza da pendência, essas evidências podem incluir políticas formalizadas e aprovadas, registros de treinamentos realizados, relatórios de testes de segurança, documentos que comprovem a revisão de permissões, procedimentos operacionais implementados ou registros de execução de controles. A análise dessas informações deve observar critérios de proporcionalidade e confidencialidade, considerando que determinadas evidências podem conter informações sensíveis sobre a infraestrutura ou os processos internos do fornecedor.

Também é importante distinguir as pendências que podem ser acompanhadas durante a execução contratual daquelas que exigem providências antes do início das operações de tratamento. A ausência de uma atualização documental pontual, por exemplo, pode representar um cenário distinto da inexistência de controles essenciais para proteger dados pessoais sensíveis que serão disponibilizados ao fornecedor. Nessa segunda hipótese, o início da prestação dos serviços sem a implementação das medidas necessárias poderá representar uma exposição incompatível com os riscos envolvidos e com as obrigações legais aplicáveis. Dessa forma, a definição de prazos e prioridades deve considerar a gravidade das fragilidades identificadas, a criticidade das informações e os possíveis impactos aos titulares.

Nesse contexto, surge a importância da avaliação dos riscos residuais, compreendidos como aqueles que permanecem após a consideração dos controles existentes e das medidas de mitigação efetivamente implementadas. A identificação desses riscos permite que a organização compreenda quais exposições ainda estarão presentes caso a contratação seja realizada ou mantida. É importante observar que medidas apenas planejadas, sem comprovação de implementação, não devem ser tratadas como controles já existentes para fins de redução do risco residual. Elas podem ser consideradas na elaboração de cenários futuros de adequação, mas não substituem a avaliação das condições efetivamente verificadas no momento da análise.

A eventual aceitação de riscos residuais deve ocorrer de maneira fundamentada e documentada, observando os critérios de governança e as competências estabelecidas internamente. Essa decisão pode considerar a criticidade do serviço, a necessidade operacional da contratação, a existência de alternativas disponíveis, as medidas compensatórias adotadas e os compromissos de adequação assumidos pelo fornecedor. Entretanto, a aceitação interna de riscos não afasta as obrigações previstas na LGPD, tampouco autoriza a manutenção de práticas incompatíveis com a legislação. A decisão deve estar limitada a riscos que possam ser legitimamente administrados pela organização, sem representar uma autorização para o descumprimento de exigências legais.

A definição das responsabilidades pela decisão de contratação também merece atenção. Embora a área de Privacidade e Proteção de Dados desempenhe papel relevante na identificação de riscos, na avaliação de evidências e na elaboração de recomendações, sua atuação não deve ser confundida, necessariamente, com a competência para aprovar ou impedir relações comerciais. Em estruturas organizacionais que adotam essa segregação de responsabilidades, cabe às áreas de Compras, à gestão responsável pela contratação e às demais instâncias competentes deliberar sobre a continuidade do processo, considerando os resultados das avaliações e as recomendações apresentadas.

Nesse cenário, a equipe de Privacidade pode atuar de maneira consultiva e técnica, apontando fragilidades, recomendando medidas de adequação e esclarecendo os possíveis impactos relacionados ao tratamento de dados pessoais. A área de Segurança da Informação, por sua vez, poderá avaliar a suficiência dos controles tecnológicos, enquanto o Jurídico poderá analisar as responsabilidades contratuais e os riscos legais associados. Já a área requisitante e os responsáveis pela contratação deverão considerar a necessidade operacional do serviço e as condições para sua execução. Essa divisão de atribuições contribui para que as decisões sejam tomadas de maneira integrada, sem que a responsabilidade pela gestão dos riscos seja atribuída exclusivamente a uma única área.

É igualmente relevante que a decisão de prosseguir com a contratação, especialmente quando existirem pendências ou riscos residuais, seja devidamente registrada. A documentação pode contemplar os resultados da Due Diligence, as não conformidades identificadas, as recomendações formuladas, os compromissos assumidos pelo fornecedor, os prazos estabelecidos e a justificativa para a decisão adotada. Esse registro contribui para a rastreabilidade das decisões, para a definição das responsabilidades internas e para o acompanhamento posterior das providências necessárias, além de constituir elemento relevante para a demonstração das práticas de governança adotadas pela organização.

Entretanto, a conclusão da avaliação e a formalização da decisão de contratação não encerram as responsabilidades relacionadas à gestão de fornecedores. Durante a execução contratual, podem ocorrer alterações relevantes nas operações de tratamento, incluindo ampliação dos serviços, utilização de novas plataformas tecnológicas, contratação de suboperadores, mudanças na infraestrutura de armazenamento e realização de transferências internacionais de dados pessoais. Além disso, a ocorrência de incidentes de segurança, a identificação de novas vulnerabilidades ou o descumprimento de compromissos anteriormente assumidos podem modificar significativamente o nível de risco inicialmente atribuído ao fornecedor.

Por essa razão, recomenda-se que os procedimentos de Due Diligence estejam integrados a mecanismos de monitoramento contínuo e reavaliação periódica, considerando a criticidade dos serviços e os riscos associados ao tratamento de dados pessoais. Fornecedores classificados em níveis de risco mais elevados podem demandar acompanhamento mais frequente, enquanto aqueles que apresentam menor exposição podem ser submetidos a revisões proporcionais às suas características. Independentemente da periodicidade estabelecida, mudanças relevantes na prestação dos serviços ou nas condições de segurança devem ser consideradas como possíveis fatores para uma nova avaliação.

O monitoramento também deve contemplar o acompanhamento dos planos de ação e dos prazos de adequação acordados. A ausência de retorno do fornecedor, o descumprimento recorrente de cronogramas ou a apresentação de evidências insuficientes podem indicar a necessidade de reavaliar os riscos e adotar providências adicionais. Nesses casos, a organização poderá solicitar esclarecimentos, estabelecer novas condições de acompanhamento, revisar medidas contratuais ou submeter a continuidade da relação comercial à avaliação das instâncias responsáveis, conforme a gravidade da situação e as obrigações legais aplicáveis.

Dessa forma, a conclusão de uma Due Diligence de Privacidade não deve ser interpretada como uma certificação automática de conformidade com a LGPD, mas como o encerramento de uma etapa de avaliação que fornece subsídios para a gestão contínua dos riscos associados à contratação. A efetividade desse processo depende não apenas da identificação das fragilidades, mas também da qualidade das evidências analisadas, da implementação das medidas recomendadas, da formalização das decisões e do acompanhamento das condições verificadas ao longo da prestação dos serviços. Para o departamento de Compras e Supply Chain, compreender essa distinção é fundamental para assegurar que a seleção e a gestão de fornecedores considerem não apenas critérios comerciais e operacionais, mas também a proteção dos dados pessoais e a manutenção de relações contratuais compatíveis com as exigências legais.

Encerramento contratual: o que acontece com os dados pessoais após o fim da prestação de serviços?

O encerramento de uma relação contratual com fornecedores e prestadores de serviços representa uma etapa relevante para a governança de privacidade e proteção de dados pessoais, especialmente quando a execução das atividades contratadas envolveu acesso, armazenamento, compartilhamento ou outras operações de tratamento de informações. No contexto de Compras e Supply Chain, a finalização de um contrato não deve ser compreendida apenas como o término das obrigações comerciais e financeiras, mas também como um momento que exige a verificação das condições de tratamento dos dados pessoais disponibilizados ao fornecedor durante a prestação dos serviços. A ausência de procedimentos adequados nessa etapa pode resultar na manutenção desnecessária de informações, na permanência de acessos ativos e na continuidade de operações de tratamento sem finalidade ou fundamento jurídico que as justifique.

Durante a execução contratual, fornecedores podem receber credenciais de acesso a sistemas corporativos, utilizar plataformas internas, armazenar documentos, consultar bases de dados ou realizar integrações tecnológicas necessárias à prestação dos serviços. Entretanto, quando a relação comercial é encerrada, essas permissões devem ser reavaliadas e, quando não houver justificativa para sua manutenção, revogadas de maneira tempestiva. A permanência de acessos concedidos a prestadores que não possuem mais vínculo contratual pode ampliar a exposição da organização a consultas não autorizadas, alterações indevidas de informações, utilização incompatível com as finalidades originalmente estabelecidas e incidentes de segurança.

Nesse sentido, a revogação de acessos deve integrar os procedimentos formais de encerramento contratual, contemplando não apenas contas de usuários individuais, mas também credenciais administrativas, acessos remotos, integrações entre sistemas, chaves de autenticação, permissões em plataformas corporativas e outros mecanismos utilizados pelo fornecedor. Em determinadas situações, prestadores de serviços podem possuir acessos compartilhados entre diferentes profissionais ou credenciais utilizadas por aplicações automatizadas, o que exige atenção adicional para assegurar que todas as permissões relacionadas à contratação sejam devidamente identificadas e desativadas.

A execução dessas providências demanda atuação integrada entre o departamento de Compras, a área responsável pela contratação, a Tecnologia da Informação e a Segurança da Informação. Enquanto Compras pode formalizar o encerramento da relação comercial e comunicar as áreas envolvidas, as equipes técnicas devem verificar os acessos concedidos e adotar as medidas necessárias para sua revogação. Também é recomendável que essas atividades sejam documentadas, permitindo demonstrar quais permissões foram encerradas, quando as providências foram realizadas e quais responsáveis participaram do procedimento. Essa rastreabilidade contribui para reduzir riscos operacionais e evitar situações em que fornecedores permaneçam com acesso a informações corporativas após o término da prestação dos serviços.

Além da revogação de acessos, o encerramento contratual exige atenção à destinação dos dados pessoais tratados durante a execução dos serviços. A Lei Geral de Proteção de Dados Pessoais (LGPD), em seu art. 15, estabelece hipóteses para o término do tratamento de dados pessoais, incluindo a verificação de que a finalidade foi alcançada ou de que os dados deixaram de ser necessários ou pertinentes ao alcance da finalidade específica almejada. Por sua vez, o art. 16 prevê que os dados pessoais deverão ser eliminados após o término do tratamento, no âmbito e nos limites técnicos das atividades, autorizando sua conservação em determinadas hipóteses legalmente previstas.

É importante observar, entretanto, que o encerramento de um contrato não determina, automaticamente, a eliminação imediata de todas as informações relacionadas à prestação dos serviços. Em determinadas circunstâncias, a conservação de dados pessoais poderá ser necessária para o cumprimento de obrigações legais ou regulatórias, para o exercício regular de direitos ou para outras finalidades amparadas por hipóteses legais aplicáveis, observadas as condições previstas na LGPD. Documentos fiscais, registros contábeis e determinados instrumentos contratuais, por exemplo, podem estar sujeitos a prazos específicos de guarda, enquanto outras informações utilizadas exclusivamente para a execução de atividades já concluídas poderão deixar de possuir justificativa para sua manutenção.

Nesse contexto, é fundamental distinguir os dados pessoais tratados pelo fornecedor em nome do Controlador daqueles utilizados pelo próprio fornecedor para finalidades legítimas e juridicamente fundamentadas, quando atuar como Controlador independente. Nas operações realizadas na condição de Operador, a destinação das informações deverá observar as instruções lícitas do respectivo Controlador, as disposições contratuais e as obrigações legais aplicáveis. Já nas atividades em que o fornecedor atuar como Controlador, caberá a ele avaliar as condições de conservação e eliminação das informações sob sua responsabilidade, considerando as finalidades e bases legais correspondentes.

A devolução dos dados pessoais ao término da prestação dos serviços também deve ser considerada, especialmente em contratações que envolvam plataformas tecnológicas, serviços de armazenamento, processamento de informações e sistemas de gestão. Quando o fornecedor mantém bases de dados em nome da organização contratante, pode ser necessário estabelecer procedimentos para a exportação e transferência segura das informações antes da descontinuidade do serviço. Essas providências devem considerar formatos adequados, integridade dos registros, mecanismos de autenticação e proteção durante a transmissão, evitando que o encerramento contratual resulte em perda de informações necessárias à continuidade das atividades da organização.

Após a devolução, deverá ser avaliada a necessidade de eliminação das cópias mantidas pelo fornecedor, respeitadas as hipóteses legais de conservação e as limitações técnicas justificáveis. Essa avaliação deve abranger não apenas os ambientes principais de armazenamento, mas também bases auxiliares, arquivos temporários, documentos compartilhados, registros utilizados em atividades de suporte e outros repositórios que possam conter informações pessoais. A ausência de um inventário adequado desses ambientes pode dificultar a identificação de todas as cópias existentes e comprometer a efetividade das providências de encerramento.

Outro ponto relevante envolve o tratamento das informações mantidas em sistemas, plataformas externas e cópias de segurança (backups). Em ambientes tecnológicos, dados pessoais podem ser replicados automaticamente para assegurar disponibilidade, continuidade de negócios e recuperação em situações de falha. Por essa razão, a eliminação de informações em uma base de produção não significa, necessariamente, que todas as cópias tenham sido imediatamente removidas dos demais ambientes utilizados pelo fornecedor.

A gestão dessas informações exige critérios específicos, considerando os períodos de retenção dos backups, os ciclos de sobrescrita, os mecanismos de recuperação e as possibilidades técnicas de eliminação. Em determinadas arquiteturas, a exclusão individualizada de registros em cópias de segurança pode apresentar limitações operacionais, sendo necessário estabelecer controles que impeçam sua utilização para finalidades incompatíveis e assegurem sua eliminação conforme os ciclos de retenção definidos. Caso ocorra a restauração de um backup que contenha dados anteriormente eliminados, também devem existir procedimentos para reaplicar as exclusões cabíveis e evitar que informações sem justificativa para conservação retornem aos ambientes ativos.

Essa circunstância não deve ser interpretada como autorização para a manutenção indefinida de dados pessoais em cópias de segurança. Os períodos de retenção devem ser justificados, proporcionais às necessidades operacionais e compatíveis com as obrigações legais aplicáveis. Além disso, as informações mantidas nesses ambientes devem permanecer protegidas por medidas adequadas de Segurança da Informação, incluindo restrições de acesso, mecanismos de proteção contra alterações indevidas e procedimentos de descarte seguro ao término dos prazos estabelecidos.

A comprovação das providências adotadas pelo fornecedor também constitui um aspecto importante da governança contratual. A simples declaração de que os dados pessoais foram eliminados ou de que os acessos foram revogados pode não ser suficiente em determinadas situações, especialmente quando a contratação envolveu informações sensíveis, grandes volumes de dados ou operações consideradas críticas. Nesses casos, recomenda-se que a organização estabeleça mecanismos proporcionais de verificação, como solicitações de declarações formais de eliminação, relatórios de encerramento, registros de revogação de acessos ou outras evidências que demonstrem a execução das providências acordadas.

Essas evidências devem apresentar informações suficientes para identificar quais medidas foram adotadas, quais categorias de dados foram abrangidas, a data de execução e a existência de eventuais informações que permanecerão conservadas mediante justificativa. Quando aplicável, também poderão ser solicitados esclarecimentos sobre o tratamento das cópias de segurança e sobre os prazos previstos para eliminação definitiva. Entretanto, a verificação deve respeitar critérios de proporcionalidade, confidencialidade e segurança, evitando a exigência de documentos que exponham desnecessariamente informações sobre a infraestrutura tecnológica do fornecedor.

A formalização dessas providências pode ser realizada por meio de procedimentos internos de encerramento contratual, registros em plataformas de gestão de fornecedores ou documentos específicos de conclusão das operações de tratamento. O objetivo é assegurar que a organização possua rastreabilidade sobre a destinação das informações e possa demonstrar a adoção de medidas compatíveis com suas responsabilidades. Essa documentação também contribui para futuras auditorias, avaliações de conformidade e investigações relacionadas a eventuais incidentes de segurança.

Os riscos decorrentes da manutenção indevida de dados pessoais após o encerramento contratual não se limitam à possibilidade de acessos não autorizados. A conservação de informações sem finalidade legítima pode ampliar a superfície de exposição da organização, dificultar o atendimento às requisições dos titulares, gerar inconsistências entre diferentes bases de dados e comprometer a observância dos princípios da finalidade, necessidade e segurança previstos na LGPD. Além disso, a ausência de critérios claros para a destinação das informações pode resultar em dificuldades na identificação dos agentes responsáveis por determinados tratamentos, especialmente quando fornecedores deixam de prestar serviços, alteram sua estrutura operacional ou encerram suas atividades.

Considere, por exemplo, uma organização que substitui sua plataforma de gestão de fornecedores por uma nova solução tecnológica. Embora os registros necessários sejam migrados para o novo ambiente, o fornecedor anterior pode permanecer com cópias das bases de dados, credenciais de integração ou informações armazenadas em ambientes auxiliares. Caso não existam procedimentos específicos para a descontinuidade do serviço, esses registros poderão permanecer sob tratamento por período superior ao necessário, sem que a organização contratante possua visibilidade adequada sobre sua conservação e utilização. Essa situação demonstra que a migração operacional e o encerramento comercial não substituem a necessidade de verificar a destinação dos dados pessoais envolvidos.

Por essa razão, recomenda-se que os procedimentos de encerramento sejam planejados desde a formalização contratual, mediante disposições que estabeleçam responsabilidades, prazos e condições para devolução, eliminação ou conservação justificada das informações. A definição antecipada dessas regras contribui para evitar divergências entre as partes e permite que o departamento de Compras acompanhe as providências necessárias antes de considerar a relação comercial integralmente encerrada. Também é importante que as áreas de Privacidade, Jurídico, Tecnologia da Informação e Segurança da Informação participem das etapas pertinentes, conforme suas competências e a criticidade dos serviços contratados.

Dessa forma, o encerramento de um contrato não representa, necessariamente, o encerramento automático de todas as operações de tratamento de dados pessoais relacionadas à prestação dos serviços. A revogação de acessos, a devolução ou eliminação das informações, a avaliação das hipóteses legais de retenção, a gestão das cópias de segurança e a obtenção de evidências das providências adotadas são medidas que contribuem para assegurar uma descontinuidade contratual mais segura e alinhada às exigências da LGPD. No contexto de Compras e Supply Chain, incorporar essas verificações aos procedimentos de gestão de fornecedores permite reduzir riscos decorrentes da manutenção indevida de informações e reforça a importância de uma governança que acompanhe todo o ciclo de vida dos dados pessoais, inclusive após o término das relações comerciais.

Como estruturar um processo de contratação de fornecedores alinhado à LGPD?

A estruturação de um processo de contratação de fornecedores alinhado à Lei Geral de Proteção de Dados Pessoais (LGPD) exige a integração de critérios de privacidade e proteção de dados às diferentes etapas de seleção, homologação, contratação e gestão de terceiros. No contexto de Compras e Supply Chain, essa abordagem permite que as organizações identifiquem previamente os riscos associados às operações de tratamento, estabeleçam responsabilidades entre as áreas envolvidas e adotem mecanismos de acompanhamento compatíveis com a natureza dos serviços contratados. Mais do que incorporar exigências documentais aos procedimentos de homologação, trata-se de desenvolver um modelo de governança que considere a proteção de dados pessoais como parte integrante das decisões comerciais e operacionais.

O primeiro passo consiste na identificação prévia das operações de tratamento de dados pessoais envolvidas na contratação. Antes de iniciar a seleção ou formalização de um fornecedor, é importante compreender se a prestação dos serviços exigirá acesso, coleta, armazenamento, compartilhamento, consulta ou qualquer outra forma de tratamento de informações pessoais. Essa avaliação deve considerar quais categorias de dados estarão envolvidas, quem são os titulares, quais finalidades justificam sua utilização e quais sistemas ou ambientes tecnológicos serão utilizados durante a execução contratual. Também é necessário verificar se o fornecedor terá acesso direto às informações ou se realizará operações de tratamento em nome da organização contratante.

Essa identificação inicial permite diferenciar contratações que envolvem riscos distintos. A aquisição de materiais de escritório, por exemplo, geralmente não exige que o fornecedor tenha acesso a bases de dados de clientes ou empregados, embora possa envolver o tratamento de informações pessoais de representantes e contatos comerciais. Por outro lado, a contratação de uma plataforma de gestão de Recursos Humanos, de uma empresa de atendimento ao cliente ou de um prestador de serviços de tecnologia pode envolver grandes volumes de dados pessoais, informações sensíveis e acessos a sistemas corporativos. Essas diferenças demonstram que os procedimentos de avaliação devem considerar as características concretas de cada contratação, evitando a aplicação indiscriminada das mesmas exigências a fornecedores com níveis de exposição significativamente distintos.

A partir dessa identificação, recomenda-se realizar a classificação do fornecedor e a avaliação proporcional dos riscos relacionados ao tratamento de dados pessoais. Essa etapa deve considerar fatores como a natureza e a sensibilidade das informações, o volume de dados tratados, as categorias de titulares envolvidos, a criticidade dos serviços, a utilização de suboperadores, a existência de transferências internacionais e os possíveis impactos aos direitos e liberdades dos titulares. Também devem ser avaliados os mecanismos de segurança existentes e o grau de dependência operacional da organização em relação ao fornecedor. A combinação desses elementos permite estabelecer critérios de priorização e definir a profundidade das avaliações necessárias.

Nesse contexto, a classificação de risco pode ser estruturada por meio de metodologias internas que considerem a probabilidade de ocorrência de eventos adversos e a gravidade de seus possíveis impactos. Fornecedores que realizam operações limitadas, com baixo volume de dados e sem acesso a sistemas críticos, podem demandar procedimentos simplificados de avaliação. Em contrapartida, aqueles que tratam dados pessoais sensíveis, possuem acesso privilegiado a ambientes tecnológicos ou executam atividades essenciais ao funcionamento da organização podem exigir análises mais aprofundadas, apresentação de evidências adicionais e mecanismos específicos de acompanhamento. Essa abordagem contribui para direcionar os recursos de governança de maneira proporcional aos riscos efetivamente identificados.

Após a classificação inicial, deve ser conduzida a Due Diligence de Privacidade e Proteção de Dados, destinada a avaliar as práticas, políticas, procedimentos e controles adotados pelo fornecedor. Essa análise pode envolver questionários estruturados, entrevistas, avaliações documentais e verificação de evidências relacionadas à governança de dados pessoais, Segurança da Informação, gestão de incidentes, atendimento aos direitos dos titulares, retenção e descarte de informações e utilização de terceiros. A profundidade da avaliação deve ser compatível com a criticidade da contratação, considerando que a finalidade do procedimento não é apenas reunir documentos, mas identificar se o fornecedor possui condições adequadas para realizar as operações de tratamento previstas.

A análise das evidências constitui um elemento essencial dessa etapa. Embora questionários e declarações de conformidade possam fornecer informações relevantes sobre as práticas adotadas, é importante verificar, sempre que necessário, se os controles informados estão efetivamente implementados. A existência de uma Política de Segurança da Informação, por exemplo, pode ser demonstrada mediante apresentação do documento correspondente, enquanto a realização de treinamentos periódicos pode ser evidenciada por registros de capacitação. Da mesma forma, controles de acesso, procedimentos de backup e mecanismos de resposta a incidentes podem demandar evidências específicas, observados os critérios de proporcionalidade, confidencialidade e segurança.

Quando forem identificadas fragilidades ou não conformidades, os resultados devem ser formalizados de maneira objetiva, permitindo que as áreas responsáveis compreendam os riscos envolvidos e as providências recomendadas. Essa documentação pode contemplar a descrição dos apontamentos, sua criticidade, as medidas de adequação sugeridas, os prazos estimados e os responsáveis pelo acompanhamento. É importante que os resultados da Due Diligence sejam apresentados de forma suficientemente clara para subsidiar decisões de contratação, distinguindo situações que exigem adequação prévia daquelas cujas melhorias podem ser acompanhadas durante a execução contratual, desde que isso seja juridicamente admissível e compatível com os riscos envolvidos.

Outro aspecto fundamental para a estruturação desse processo é a definição das responsabilidades entre Compras, Jurídico, Privacidade e Segurança da Informação. Embora essas áreas possuam atribuições distintas, sua atuação integrada contribui para assegurar que os riscos sejam avaliados sob diferentes perspectivas e que as decisões comerciais considerem as exigências legais e operacionais aplicáveis. O departamento de Compras pode atuar na condução dos procedimentos de seleção e homologação, na interlocução com fornecedores e no acompanhamento das pendências identificadas. A área de Privacidade e Proteção de Dados, por sua vez, pode contribuir com a avaliação das operações de tratamento, identificação de riscos e elaboração de recomendações relacionadas à conformidade com a LGPD.

A área de Segurança da Informação possui papel relevante na avaliação dos controles técnicos e administrativos adotados pelo fornecedor, incluindo mecanismos de autenticação, gestão de acessos, proteção de ambientes tecnológicos, prevenção de incidentes e continuidade de negócios. Já o Jurídico pode atuar na análise das responsabilidades legais, na elaboração e revisão de instrumentos contratuais e na avaliação das consequências jurídicas associadas às condições da contratação. Além dessas áreas, a participação do setor requisitante é importante para esclarecer as necessidades operacionais, os requisitos técnicos e as características dos serviços pretendidos, permitindo que as avaliações considerem a realidade da atividade que será executada.

Essa distribuição de responsabilidades deve ser formalizada por meio de procedimentos internos, evitando sobreposições, lacunas de atuação e indefinições quanto à competência para aprovar contratações ou aceitar riscos residuais. A atuação da área de Privacidade na identificação de riscos e elaboração de recomendações não implica, necessariamente, responsabilidade pela decisão comercial de contratar ou manter determinado fornecedor, que deverá observar as competências estabelecidas pela governança interna da organização. Da mesma forma, a decisão de prosseguir com uma contratação não deve afastar a necessidade de tratamento das fragilidades identificadas, tampouco representar autorização para o descumprimento de obrigações legais.

Concluídas as avaliações pertinentes, a formalização contratual deve refletir os riscos e as responsabilidades identificados durante o processo de homologação. Quando a prestação dos serviços envolver tratamento de dados pessoais, recomenda-se que os instrumentos contratuais contemplem disposições compatíveis com os papéis efetivamente exercidos pelas partes, as finalidades das operações, os mecanismos de segurança, as condições de compartilhamento, os procedimentos de comunicação de incidentes e as regras aplicáveis à contratação de suboperadores. Também devem ser considerados critérios de retenção, devolução e eliminação de informações, além de mecanismos de acompanhamento e verificação do cumprimento das obrigações estabelecidas.

A formalização contratual deve ser acompanhada do registro das decisões relacionadas à contratação, especialmente quando a Due Diligence identificar pendências, recomendações de melhoria ou riscos residuais. Nesses casos, é importante documentar os resultados da avaliação, as medidas compensatórias eventualmente adotadas, os compromissos assumidos pelo fornecedor e as justificativas que fundamentaram a decisão das instâncias competentes. Essa documentação contribui para a rastreabilidade das decisões e permite demonstrar que os riscos foram considerados de maneira estruturada, sem que a existência de uma aprovação interna seja interpretada como comprovação automática de conformidade com a LGPD.

Entretanto, a estruturação de um processo de contratação alinhado à legislação não deve se encerrar com a assinatura do contrato ou com a liberação do fornecedor para iniciar suas atividades. A gestão de pendências, planos de ação e alterações relevantes durante a execução contratual constitui uma etapa indispensável para a manutenção dos controles de governança. Quando forem estabelecidos compromissos de adequação, recomenda-se que a organização mantenha registros dos prazos acordados, acompanhe o andamento das providências e solicite evidências que demonstrem sua efetiva implementação. A ausência de acompanhamento pode resultar na manutenção prolongada de fragilidades identificadas durante a avaliação inicial, comprometendo a finalidade preventiva da Due Diligence.

O monitoramento também deve considerar mudanças que possam modificar o cenário de riscos originalmente avaliado. A ampliação do escopo dos serviços, a inclusão de novas categorias de dados pessoais, a contratação de suboperadores, a utilização de plataformas tecnológicas adicionais ou a realização de transferências internacionais são exemplos de situações que podem exigir revisão das condições inicialmente estabelecidas. Da mesma forma, incidentes de segurança, alterações relevantes na estrutura operacional do fornecedor e descumprimentos contratuais podem justificar novas avaliações, atualização de recomendações e adoção de medidas adicionais de proteção.

Nesse sentido, recomenda-se que as organizações estabeleçam critérios para a realização de reavaliações periódicas, considerando o nível de risco atribuído ao fornecedor e a criticidade das operações de tratamento. Essas revisões podem envolver a atualização de questionários, a solicitação de novas evidências, a verificação de pendências anteriormente identificadas e a análise de alterações nas práticas de governança e Segurança da Informação. A periodicidade deve ser definida de maneira proporcional, evitando tanto a ausência de acompanhamento quanto a imposição de procedimentos excessivos para contratações que apresentem riscos reduzidos.

Por fim, a integração dos fornecedores ao programa de governança em privacidade da organização permite que as atividades de contratação e gestão de terceiros sejam acompanhadas de maneira consistente ao longo de todo o ciclo de vida dos dados pessoais. Essa integração pode envolver a manutenção de inventários de fornecedores que realizam operações de tratamento, a vinculação das atividades ao Registro das Operações de Tratamento de Dados Pessoais (ROPA), a definição de procedimentos de comunicação de incidentes, o estabelecimento de canais para atendimento às requisições dos titulares e a adoção de critérios de retenção e descarte aplicáveis às informações compartilhadas.

A consolidação dessas informações em procedimentos e ferramentas de gestão também contribui para ampliar a visibilidade sobre a cadeia de fornecedores, permitindo identificar quais terceiros possuem acesso a dados pessoais, quais operações executam, quais riscos foram identificados e quais medidas de proteção estão implementadas ou pendentes. Essa visão integrada facilita a atuação das áreas responsáveis e reduz a possibilidade de que contratações sejam realizadas sem o conhecimento ou a participação dos setores competentes, especialmente quando envolvem serviços tecnológicos, tratamento de dados sensíveis ou acesso a informações consideradas críticas.

Além disso, a incorporação de critérios de privacidade aos procedimentos internos de Compras pode ser fortalecida por meio de treinamentos e ações de conscientização direcionados aos profissionais envolvidos na contratação e gestão de terceiros. Compreender quando uma contratação exige avaliação de privacidade, quais informações podem ser compartilhadas e em quais situações as áreas especializadas devem ser acionadas contribui para a identificação antecipada de riscos e para a adoção de medidas preventivas. Dessa forma, a proteção de dados deixa de ser tratada exclusivamente como uma exigência documental e passa a integrar as práticas operacionais e os mecanismos de tomada de decisão da organização.

Portanto, estruturar um processo de contratação de fornecedores alinhado à LGPD significa incorporar a proteção de dados pessoais a todas as etapas da relação comercial, desde a identificação da necessidade de contratação até o encerramento dos serviços. A classificação proporcional dos riscos, a realização de Due Diligence baseada em evidências, a definição de responsabilidades, a formalização contratual e o monitoramento contínuo constituem elementos complementares de um modelo de governança mais consistente. No contexto de Compras e Supply Chain, essa abordagem contribui para que as decisões comerciais sejam acompanhadas de critérios técnicos e jurídicos adequados, fortalecendo a gestão de terceiros e promovendo relações contratuais mais transparentes, seguras e compatíveis com as exigências da legislação de proteção de dados pessoais.

Conclusão

A aplicação da Lei Geral de Proteção de Dados Pessoais (LGPD) às atividades de Compras e Supply Chain demonstra que a proteção de dados deve ser considerada em todas as etapas da relação com fornecedores e prestadores de serviços, desde a identificação da necessidade de contratação até o encerramento contratual e a destinação adequada das informações tratadas. Embora essas áreas estejam tradicionalmente associadas à eficiência operacional, à negociação comercial e à gestão de recursos, suas atividades também envolvem decisões que podem impactar diretamente a segurança das informações, os direitos dos titulares e a conformidade das organizações com a legislação de proteção de dados pessoais.

Nesse contexto, a gestão de fornecedores assume um papel estratégico na governança corporativa, especialmente diante da crescente utilização de serviços terceirizados, plataformas tecnológicas, soluções em nuvem e cadeias de fornecimento compostas por diferentes agentes de tratamento. A contratação de terceiros que realizam operações com dados pessoais exige que as organizações compreendam quais informações serão compartilhadas, para quais finalidades serão utilizadas, quais agentes participarão do tratamento e quais mecanismos de proteção serão adotados. Essa compreensão é fundamental para reduzir a exposição a riscos e evitar que decisões comerciais sejam tomadas sem a devida avaliação de seus impactos sobre a privacidade e a proteção de dados.

A realização de procedimentos de Due Diligence de Privacidade e Proteção de Dados constitui um importante instrumento de prevenção e gestão desses riscos, permitindo avaliar previamente as práticas de governança, os controles de Segurança da Informação e a maturidade dos fornecedores em relação às exigências da LGPD. Entretanto, conforme abordado ao longo deste artigo, a conclusão de uma Due Diligence não representa, necessariamente, a comprovação de conformidade do fornecedor, sendo indispensável considerar a qualidade das evidências apresentadas, as fragilidades identificadas, as recomendações formuladas e o acompanhamento das medidas de adequação necessárias.

Da mesma forma, a formalização de contratos com disposições específicas sobre proteção de dados deve ser compreendida como parte de um conjunto mais amplo de medidas de governança. A definição adequada dos papéis de Controlador, Operador e suboperadores, o estabelecimento de responsabilidades proporcionais às operações realizadas, a previsão de mecanismos de comunicação de incidentes e a definição de critérios para compartilhamento, retenção e eliminação de informações contribuem para proporcionar maior clareza e segurança jurídica às relações contratuais. Contudo, a existência dessas cláusulas não substitui a necessidade de verificar sua aplicação prática durante a execução dos serviços.

Outro aspecto fundamental é reconhecer que os riscos associados ao tratamento de dados pessoais não permanecem necessariamente inalterados ao longo da relação comercial. Mudanças na infraestrutura tecnológica, ampliação do escopo contratual, inclusão de novos suboperadores, utilização de ferramentas de inteligência artificial e ocorrência de incidentes de segurança podem modificar significativamente as condições inicialmente avaliadas. Por essa razão, o monitoramento contínuo, a realização de reavaliações proporcionais aos riscos e o acompanhamento dos planos de ação são medidas essenciais para assegurar que a governança de fornecedores acompanhe a evolução das operações de tratamento.

A efetividade dessas medidas também depende da integração entre as áreas de Compras, Jurídico, Privacidade, Segurança da Informação e os setores responsáveis pela contratação. Cada uma dessas áreas possui atribuições específicas, mas sua atuação coordenada permite que os riscos sejam identificados e considerados de maneira abrangente, contribuindo para decisões fundamentadas e devidamente documentadas. Nesse cenário, a proteção de dados não deve ser interpretada como um obstáculo às relações comerciais, mas como um componente necessário para a contratação responsável de fornecedores e para a sustentabilidade das operações organizacionais.

É igualmente importante compreender que a contratação de um terceiro não representa a transferência automática das responsabilidades legais relacionadas ao tratamento de dados pessoais. As obrigações de cada agente decorrem de sua efetiva atuação nas operações de tratamento e das disposições aplicáveis da LGPD. Assim, a seleção de fornecedores deve considerar não apenas aspectos financeiros, técnicos e operacionais, mas também sua capacidade de observar as exigências legais, implementar medidas de segurança adequadas e cooperar com os procedimentos de governança estabelecidos pela organização contratante.

Dessa forma, a proteção de dados pessoais deve integrar os critérios utilizados nas decisões de contratação, na definição das condições comerciais e na gestão contínua dos relacionamentos com terceiros. Uma proposta economicamente vantajosa ou uma solução tecnologicamente eficiente não representa, necessariamente, a alternativa mais adequada quando os riscos relacionados ao tratamento de dados pessoais não foram devidamente identificados, avaliados e tratados. A adoção de mecanismos preventivos contribui para que as organizações estabeleçam relações comerciais mais transparentes, fortaleçam seus controles internos e reduzam a possibilidade de incidentes e desconformidades.

A proteção de dados, portanto, começa antes da assinatura do contrato e deve permanecer presente durante toda a relação com o fornecedor. Ao incorporar critérios de privacidade à seleção, homologação, contratação, monitoramento e encerramento dos serviços, o departamento de Compras e Supply Chain assume um papel relevante na construção de uma cadeia de fornecedores mais segura, responsável e alinhada às exigências da LGPD. Mais do que verificar documentos ou cumprir etapas formais de avaliação, trata-se de estabelecer uma cultura de governança na qual as decisões comerciais considerem, de maneira contínua, a proteção das informações e os direitos dos titulares.

Nesse contexto, a DPO Expert apoia organizações na estruturação e no aprimoramento de processos de governança de privacidade aplicados às atividades de Compras e Supply Chain, considerando todo o ciclo de vida das relações com fornecedores e prestadores de serviços. Essa atuação envolve o mapeamento das operações de tratamento de dados pessoais, a identificação dos papéis e responsabilidades dos agentes envolvidos, a realização de Due Diligence de Privacidade e Proteção de Dados, a avaliação de riscos e evidências de conformidade, a elaboração de recomendações e planos de ação, o apoio à definição de requisitos contratuais e o acompanhamento das medidas de adequação. Por meio de uma abordagem preventiva, técnica e integrada às necessidades operacionais de cada organização, a DPO Expert contribui para o fortalecimento da gestão de terceiros, a redução dos riscos associados ao compartilhamento de informações e a consolidação de práticas de contratação mais seguras, transparentes e alinhadas à LGPD.

Referências

https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm

https://www.gov.br/anpd/pt-br/centrais-de-conteudo/materiais-educativos-e-publicacoes/guia-orientativo-para-definicoes-dos-agentes-de-tratamento-de-dados-pessoais-e-do-encarregado

https://www.gov.br/anpd/pt-br/centrais-de-conteudo/materiais-educativos-e-publicacoes/guia-orientativo-sobre-seguranca-da-informacao-para-agentes-de-tratamento-de-pequeno-porte

https://www.gov.br/anpd/pt-br/acesso-a-informacao/institucional/atos-normativos/regulamentacoes_anpd

https://www.gov.br/anpd/pt-br/acesso-a-informacao/institucional/atos-normativos/regulamentacoes_anpd/resolucao-cd-anpd-no-19-de-23-de-agosto-de-2024https://www.gov.br/anpd/pt-br/acesso-a-informacao/perguntas-frequentes

O Papel da DPO Expert na Governança e Prevenção de Riscos

A DPO Expert apoia organizações na estruturação e no aprimoramento de práticas de privacidade e proteção de dados pessoais aplicadas às atividades de Serviço de Atendimento ao Cliente (SAC) e Customer Success (CS), considerando todo o ciclo de vida das informações tratadas durante o relacionamento com os clientes, desde a coleta e utilização no atendimento até o compartilhamento, armazenamento, retenção e descarte. Essa atuação contempla o mapeamento dos fluxos de dados pessoais e sua adequada inclusão no Registro das Operações de Tratamento de Dados Pessoais (ROPA), a identificação das bases legais aplicáveis, a gestão de acessos e históricos de atendimento, a governança de gravações de chamadas, registros de interações e documentos recebidos pelos diferentes canais, além da avaliação de plataformas de atendimento e fornecedores envolvidos nas operações. Também abrange a definição de critérios de retenção e descarte, a avaliação dos riscos associados ao uso de chatbots e ferramentas de Inteligência Artificial, a estruturação de procedimentos para identificação e atendimento das requisições de titulares e a capacitação das equipes para reconhecer possíveis incidentes de segurança. Com uma atuação especializada e alinhada às necessidades de cada organização, a DPO Expert contribui para transformar as exigências da LGPD em práticas efetivas de governança, prevenção de riscos e melhoria contínua, promovendo operações de atendimento mais seguras, eficientes e transparentes.

Dessa forma, a DPO Expert não apenas viabiliza a conformidade com a LGPD, mas contribui diretamente para o aumento da maturidade organizacional em proteção de dados, posicionando a empresa de forma mais segura, competitiva e preparada para os desafios do ambiente digital.

Clique aqui e veja como a DPO Expert pode proteger sua empresa.

Siga nossa página no LinkedIn