A decisão de contratar um sistema de gestão costuma se formar em quarenta minutos. A demonstração é boa, a tela é organizada, os relatórios saem prontos, o vendedor responde bem e o preço fecha. Depois disso, a conversa passa a ser sobre implantação, migração e treinamento. Segurança da informação, quando aparece, aparece como uma linha da proposta comercial: ambiente em nuvem, backup diário, conexão criptografada.
Não há nada de irracional nesse roteiro. Ele apenas repousa sobre um pressuposto que a Lei nº 13.709/2018 não confirma — o de que a segurança do sistema é assunto do fornecedor, e não parte daquilo que está sendo contratado.
O que segue não é um roteiro de auditoria técnica, e quem contrata não precisa de um. É um conjunto de perguntas que qualquer gestor pode fazer, e cujas respostas, ou a ausência delas, dizem mais sobre um fornecedor do que qualquer apresentação.
O que não se terceiriza
Quando uma empresa contrata um software de gestão, ela não deixa de tratar dados pessoais. Ela passa a tratá-los por meio de terceiro.
As decisões sobre finalidade e meios continuam sendo dela: que dado coletar, para quê, por quanto tempo, quem acessa. Isso a mantém na posição de controladora, nos termos do art. 5º, VI, da LGPD. O fornecedor, que realiza o tratamento em nome dela, é operador (art. 5º, VII).
A consequência prática está no art. 42. Quem causa dano em violação à legislação de proteção de dados é obrigado a repará-lo, e o § 1º do dispositivo estabelece hipóteses de responsabilidade solidária entre os agentes de tratamento. Para o titular — o cliente final, o empregado, o representante de fornecedor cujos dados estão no sistema — isso significa que ele pode dirigir sua pretensão a quem tem a relação mais próxima com ele. Em regra, não é a empresa de software, de quem ele nunca ouviu falar.
Daí a inversão que interessa a quem decide: escolher fornecedor de software é ato de gestão de risco jurídico próprio. Não se está contratando apenas funcionalidade. Está-se escolhendo com quem se dividirá a responsabilidade num cenário que ninguém planeja.
A pergunta que vale mais do que todas as outras
"Vocês mantêm registro de acesso ao meu ambiente? Por quanto tempo? Com que garantia de integridade?"
Parece pergunta técnica. É pergunta jurídica, e provavelmente a mais importante da lista.
O art. 48 atribui ao controlador — isto é, à empresa contratante — o dever de comunicar à Autoridade Nacional de Proteção de Dados e aos titulares a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante. A Resolução CD/ANPD nº 15/2024 fixou o prazo em três dias úteis, contados do conhecimento do incidente com esse potencial.
O problema é que o conhecimento sobre o que aconteceu dentro do ambiente contratado não está com quem contratou. Está no registro do fornecedor. Se esse registro existe, é íntegro e cobre período suficiente, a empresa consegue responder às perguntas que a autoridade fará: que dados foram alcançados, de quantas pessoas, em que momento, e se houve alteração ou apenas leitura. Se não existe, ela não responde a nenhuma delas.
E o efeito da ausência de registro é pior do que costuma parecer. Ele não reduz o dever de comunicar. Tende a ampliá-lo. Sem saber quem foi afetado, a empresa que agir com prudência comunicará toda a sua base — clientes, ex-clientes, empregados —, com todo o custo comercial e reputacional que isso carrega, apenas porque não consegue demonstrar que a maior parte dela não foi.
Há fundamento direto para a pergunta. O art. 37 impõe a controlador e operador a manutenção de registro das operações de tratamento, e o art. 6º, X consagra a responsabilização e prestação de contas como princípio, exigindo do agente a demonstração da adoção de medidas eficazes. Não se demonstra o que não se registrou.
A cláusula que quase nenhum contrato tem
O prazo de três dias úteis da contratante depende de um evento que está integralmente na mão de terceiro: o momento em que o fornecedor a informa. Pouquíssimos contratos de software dizem alguma coisa a respeito.
Uma cláusula útil precisa fixar, no mínimo:
Prazo máximo para o fornecedor comunicar a contratante, contado da detecção do incidente, e não da conclusão da apuração interna;
Conteúdo mínimo dessa comunicação, alinhado aos elementos do art. 48, § 1º;
Dever de cooperação e de fornecimento de evidência, para que a contratante consiga cumprir a obrigação que é dela;
Canal e destinatário definidos nominalmente, dos dois lados, com substituto.
Sem isso, o prazo legal da empresa fica na agenda de quem não responde por ele.
Papéis, DPA e limitação de responsabilidade
Três verificações no instrumento, que costumam faltar juntas.
Definição de papéis. O contrato diz, com essas palavras, quem é controlador e quem é operador, e em relação a quais tratamentos? A qualificação decorre da lei, e não da vontade das partes, mas a divergência entre o que o contrato diz e o que de fato ocorre é, ela própria, um problema a resolver antes.
Acordo de tratamento de dados. Anexo ou cláusula que registre as instruções da controladora ao operador (art. 39), as finalidades autorizadas, as hipóteses de subcontratação, as medidas de segurança comprometidas e o destino dos dados ao término do contrato.
Limitação de responsabilidade. Muitos contratos de software não têm cláusula alguma sobre o tema. A ausência não protege ninguém: significa apenas que a exposição das duas partes é indeterminada. Convém saber disso antes de assinar, e não depois.
Vale ainda perguntar onde os dados ficam hospedados e quais subcontratados relevantes participam da operação. Se houver titulares residentes na União Europeia na base, a discussão deixa de ser apenas de LGPD.
A armadilha do controle simples
Esta é a parte contraintuitiva da lei, e a que mais deveria orientar quem contrata.
O art. 44 define quando o tratamento é irregular: quando não fornece a segurança que o titular dele pode esperar, consideradas as circunstâncias relevantes, entre as quais, pelo inciso III, as técnicas de tratamento de dados pessoais disponíveis à época em que foi realizado.
A intuição do gestor é a de que a falha grave é a exótica, aquela que exigiria investimento alto para ser evitada. O dispositivo aponta na direção oposta. A ausência de um controle sofisticado e caro comporta discussão sobre proporcionalidade, porte do agente e estado da técnica. A ausência de um controle trivial, disponível há anos, documentado em referências públicas e de implementação barata, não comporta discussão nenhuma. É a banalidade dele que caracteriza a irregularidade.
Some-se a isso o art. 46, § 2º: as medidas de segurança devem ser observadas desde a fase de concepção do produto ou do serviço até a sua execução. Uma fragilidade presente desde a origem de uma funcionalidade não é um defeito descoberto depois. É a hipótese expressa do dispositivo.
Daí um roteiro curto, verificável por quem não é técnico, porque a resposta a cada item é sim ou não:
A autenticação em dois fatores está disponível para as contas dos clientes, e não apenas para as contas internas do fornecedor?
Há política de complexidade e de renovação de senha aplicada às contas de cliente?
A rota de autenticação tem limite de tentativas sucessivas?
Existe expiração de sessão e possibilidade de encerramento remoto de sessões ativas?
Há controle de acesso por perfil, com revisão periódica de permissões e gestão específica de contas privilegiadas?
Os ambientes de produção, homologação e teste são segregados, e o de teste é livre de dado pessoal real?
Contas e acessos são desativados automaticamente ao término do contrato ou do vínculo do usuário?
Os dados estão cifrados em trânsito e em repouso?
O fornecedor adota algum referencial público reconhecido — ISO/IEC 27001 e 27701, CIS Controls, OWASP ASVS — e se submete a auditoria independente?
Nenhuma dessas perguntas é sofisticada. É exatamente por isso que a ausência de uma boa resposta é significativa.
Governança não é só código
Parte relevante do risco não está no software. Está no que as pessoas do fornecedor estão autorizadas a fazer, e a dizer.
Existe canal específico para assuntos de proteção de dados, com responsável identificado? O art. 41 trata da indicação de encarregado, e a Resolução CD/ANPD nº 2/2022 dispensa dessa indicação os agentes de tratamento de pequeno porte, exigindo em contrapartida a manutenção de canal de comunicação com o titular. Não ter encarregado formalmente designado pode ser regular. Não ter canal algum, não.
Como o fornecedor controla o acesso da própria equipe ao ambiente do cliente? Suporte e desenvolvimento acessam dados de produção? Esse acesso fica registrado?
Há processo definido de resposta a incidente, com papéis atribuídos, ou a resposta será improvisada no dia?
Contas de demonstração, treinamento, teste e integração recebem o mesmo tratamento de segurança das contas de produção?
E uma pergunta que quase nunca se faz: em caso de incidente, quem no fornecedor está autorizado a falar com o cliente, e sobre o quê? Fornecedor que não sabe responder isso responderá pela voz de quem estiver ao telefone naquele momento.
O lado de cá
A avaliação do fornecedor não encerra o assunto, porque uma parte das decisões que criam risco é da própria contratante.
Que dado se envia. Todo campo preenchido porque "pode ser útil um dia" é dado que precisará ser protegido, eventualmente comunicado e, algum dia, eliminado. O art. 6º, III limita o tratamento ao mínimo necessário para a finalidade.
Quem acessa. Perfis desenhados por conveniência tendem a dar a todos o acesso de que poucos precisam.
O desligamento. Acesso de ex-empregado que permanece ativo é falha da contratante, não do fornecedor.
Credencial compartilhada. Uma senha usada por várias pessoas elimina a possibilidade de atribuir uma ação a alguém. Do ponto de vista probatório, é o pior cenário: existe registro do que foi feito e nenhuma forma de dizer por quem.
Dado real fora do sistema. O ambiente protegido é o sistema. A planilha paralela, a cópia no computador pessoal e a base de teste não estão nele.
O que sobra depois
O art. 52, § 1º, lista as circunstâncias que a autoridade considera na dosimetria das sanções. Duas interessam diretamente a quem contrata: o inciso IX, que valoriza a adoção de política de boas práticas e governança, e o inciso X, que valoriza a pronta adoção de medidas corretivas.
O detalhe que muda a decisão é o momento da aferição. Esses incisos são avaliados na data em que a conduta é julgada, não na data em que a falha ocorreu. Tudo o que a empresa tiver constituído antes existirá naquele dia. O que ela adiou não existirá, e não há como constituir retroativamente uma diligência que não se fez.
Por isso a avaliação criteriosa na contratação não serve apenas para escolher melhor o fornecedor. Ela constrói uma posição jurídica própria. A empresa que perguntou, registrou as respostas, negociou a cláusula de comunicação de incidente e documentou a decisão chega ao dia ruim com alguma coisa a mostrar.
A empresa que contratou pela tela chega sem nada. E a tela, naquele dia, não terá a menor importância.
Abraço,
Rogério Santos
Santos Advocacia
Se a responsabilidade não se transfere junto com os dados, a pergunta muda:
sua empresa está preparada para ser fiscalizada — ou apenas para ser atendida?
Na Santos Advocacia, assessoramos empresas na contratação e na revisão de fornecedores de tecnologia, estruturando contratos, acordos de tratamento de dados e governança de privacidade — para que a conformidade seja demonstrável, e não apenas declarada.
Deixe o seu comentário: