Due Diligence LGPD: como avaliar fornecedores que tratam dados pessoais

Uma due diligence LGPD serve para responder a uma pergunta que o contrato, sozinho, nem sempre consegue responder: este fornecedor consegue tratar dados pessoais de forma compatível com a finalidade, o risco e as responsabilidades da operação? A avaliação precisa acontecer antes da contratação, mas não termina na assinatura. Ao longo da relação, o fornecedor pode mudar subcontratados, arquitetura, local de armazenamento, controles de segurança, equipes autorizadas ou práticas de resposta a incidentes.

Isso significa que compras, jurídico, segurança da informação, DPO, compliance e a área contratante precisam trabalhar com o mesmo contexto. Não basta perguntar se a empresa possui uma certificação ou se respondeu sim a todos os itens de um formulário. É necessário entender quais dados entram no serviço, o que o fornecedor faz com eles, quem pode acessá-los, onde ficam armazenados, por quanto tempo são mantidos e como a organização consegue verificar se os controles continuam funcionando.

O fornecedor pode não ser a empresa que decidiu a finalidade do tratamento, mas frequentemente executa operações essenciais em nome dela. Plataformas de atendimento, serviços de nuvem, sistemas de folha, recrutamento, marketing, cobrança, logística, hospedagem, suporte técnico e análise de dados podem receber informações de clientes, colaboradores, candidatos, parceiros ou visitantes.

A análise de papéis precisa refletir a operação real. Em muitos casos, a organização contratante define a finalidade e as instruções, enquanto o fornecedor atua como operador. Em outros, as partes podem tomar decisões próprias ou compartilhar responsabilidades em determinados fluxos. A existência de um contrato com o título de operador não resolve sozinha a classificação. O que importa é identificar quem decide, quem executa, quais instruções existem e como a cadeia funciona na prática.

Antes de enviar perguntas ao fornecedor, descreva o serviço que será contratado. A avaliação fica fraca quando pergunta sobre segurança sem dizer se o fornecedor receberá apenas um nome e um e-mail ou um conjunto de dados de saúde, biometria, informações financeiras e histórico comportamental. O risco não está apenas no nome da empresa fornecedora. Ele depende do tratamento efetivamente realizado.

Essa descrição deve conversar com o Mapeamento de Dados. Se a atividade já está registrada no inventário, o fornecedor entra como parte da operação, e não como uma informação solta em uma planilha de compras. Se o serviço ainda não existe, a avaliação pode ajudar a preencher lacunas antes do primeiro compartilhamento e a indicar se será necessário um RIPD, uma LIA, uma revisão contratual ou controles adicionais.

Uma due diligence LGPD também deve questionar o desenho da contratação. O fornecedor realmente precisa receber todos os campos enviados pela área? O serviço pode funcionar com identificadores substitutos, dados agregados ou acesso limitado? A empresa contratante consegue separar os dados necessários para a execução dos dados que seriam úteis apenas para análises secundárias?

Segurança não deve ser tratada como uma declaração genérica de que o fornecedor segue boas práticas. A equipe precisa entender quais controles são aplicáveis ao serviço e quais evidências podem ser apresentadas. O nível de profundidade deve acompanhar o risco: um fornecedor que processa dados sensíveis em grande volume exige perguntas e validações diferentes de um prestador que recebe apenas dados de contato para uma tarefa pontual.

Peça evidências proporcionais. Elas podem incluir políticas, relatórios independentes, testes de intrusão, certificações, registros de treinamento, descrição arquitetural, matriz de acesso, plano de resposta a incidentes ou resultados de auditorias. Nenhum documento substitui a análise de escopo. Uma certificação pode ser útil, mas deve ser verificado seu escopo, período de validade, ambiente coberto e relação com o tratamento contratado.

O contrato deve transformar a análise em compromissos verificáveis. A LGPD exige que o operador trate os dados de acordo com as instruções do controlador, e a relação precisa deixar claro quais instruções existem, quem pode alterá-las e como o fornecedor deve demonstrar que as seguiu. O documento também deve ser coerente com o serviço real: não adianta proibir subcontratação se a plataforma depende de infraestrutura, suporte ou processamento de terceiros já incorporados à arquitetura.

Responsabilidades não significam transferir toda a obrigação para o fornecedor. A organização contratante continua precisando governar a finalidade, as instruções, a seleção do terceiro e o acompanhamento da operação. Uma cláusula que afirma que o fornecedor é o único responsável não elimina o risco de uma configuração inadequada, de uma integração excessiva ou de uma decisão de negócio feita pela própria contratante.

Uma empresa pode contratar uma plataforma que, por sua vez, usa provedor de nuvem, ferramenta de envio de mensagens, serviço de monitoramento, suporte terceirizado e empresa especializada em análise. Essa cadeia precisa ser conhecida. O risco pode estar em um terceiro que nunca participou da negociação comercial, mas que mantém acesso administrativo ou recebe cópias dos dados.

Quando houver transferência internacional ou acesso a partir do exterior, a análise deve ser conectada ao fluxo específico e aos mecanismos jurídicos aplicáveis. Não trate a localização do data center como a única resposta. Pessoas de suporte, ferramentas de observabilidade, fornecedores de backup e equipes de atendimento também podem acessar informações a partir de outras jurisdições.

O fornecedor precisa explicar o que acontece quando detecta acesso indevido, perda, indisponibilidade, alteração ou divulgação de dados pessoais. A pergunta não é apenas se ele já sofreu um incidente. O ponto é saber se há capacidade de identificar sinais, preservar evidências, conter o evento, comunicar a contratante e colaborar com a avaliação de riscos e com as providências necessárias.

A resposta do fornecedor deve ser classificada conforme o nível de comprovação. Uma declaração escrita pode ser suficiente para uma pergunta de baixo risco, mas não necessariamente para uma operação com dados sensíveis e acesso privilegiado. A equipe deve definir quais evidências serão aceitas, qual é o prazo de validade e quem fará a análise.

Também é importante proteger as próprias evidências. Questionários podem conter diagramas de infraestrutura, nomes de responsáveis, relatórios de vulnerabilidade e informações contratuais. O repositório de due diligence deve ter acesso controlado, histórico de alterações e regras de retenção. Guardar todos os anexos indefinidamente cria outro acervo sensível sem necessidade.

Aplicar o mesmo questionário a todos os fornecedores pode gerar dois problemas: burocracia excessiva para serviços simples e análise insuficiente para operações críticas. Uma matriz de risco ajuda a definir a profundidade da diligência e a periodicidade da revisão. O risco pode considerar sensibilidade dos dados, volume, duração, acesso privilegiado, impacto na continuidade, transferência internacional, dependência do fornecedor, maturidade dos controles e histórico de incidentes.

A classificação não deve ser permanente. Ela precisa ser revista quando o escopo muda, quando novos dados são adicionados, quando ocorre incidente, quando entra um suboperador, quando há alteração de arquitetura ou quando o fornecedor passa a apoiar uma finalidade diferente. O resultado da avaliação deve indicar se a contratação está aprovada, aprovada com condições, pendente de correção ou não recomendada.

A aprovação inicial é apenas uma fotografia. O fornecedor precisa ser acompanhado por indicadores, revisões periódicas e eventos de mudança. Um contrato renovado automaticamente, sem nova análise, pode manter um tratamento que já não corresponde ao negócio. Da mesma forma, uma pendência aberta durante a contratação não deve desaparecer porque o fornecedor foi aprovado sob pressão de prazo.

Quando cada fornecedor é avaliado em uma planilha diferente, fica difícil comparar respostas, localizar evidências, identificar pendências vencidas e saber quem aprovou uma exceção. A funcionalidade de Due Diligence da LGPD Cloud ajuda a centralizar questionários, respostas, documentos, classificação de risco, responsáveis e planos de ação em um fluxo organizado.

A avaliação pode ser relacionada ao fornecedor e à atividade de tratamento correspondente. Assim, a equipe entende por que aquele terceiro foi avaliado, quais dados estão em jogo, qual risco foi identificado e quais controles foram exigidos. Em uma nova revisão, o histórico ajuda a diferenciar uma resposta antiga de uma evidência atual e a verificar se as pendências anteriores foram realmente encerradas.

Plataforma de recrutamento: o fornecedor recebe currículos, dados de contato, histórico profissional e, eventualmente, informações sensíveis inseridas pelo candidato. A avaliação deve verificar acesso da equipe de suporte, uso para treinamento, retenção após o encerramento da vaga, suboperadores, exportação dos currículos e apoio a solicitações dos titulares.

Serviço de atendimento ao cliente: o fornecedor pode visualizar nome, contato, histórico de pedidos, gravações e conteúdo de conversas. Além da segurança da aplicação, é necessário analisar perfis de acesso, monitoramento de operadores, retenção de gravações, transcrição automática, uso de inteligência artificial e procedimento para localizar e eliminar registros específicos.

Fornecedor de infraestrutura: a nuvem pode não decidir a finalidade do tratamento, mas oferece armazenamento, processamento, backup e suporte privilegiado. A due diligence deve cobrir segregação de clientes, criptografia, logs administrativos, localização, subcontratados, recuperação, eliminação de recursos e acesso do suporte aos ambientes.

Uma due diligence LGPD bem estruturada não busca eliminar todo risco nem transformar cada contratação em uma auditoria interminável. Ela ajuda a tomar uma decisão proporcional e consciente. Ao conhecer a finalidade, o fluxo, os dados, os acessos, os subcontratados, os controles e as evidências, a organização consegue negociar melhor, exigir correções antes do compartilhamento e acompanhar a relação com mais clareza.

Com a LGPD Cloud, questionários, respostas, riscos, pendências e reavaliações podem permanecer centralizados e relacionados às atividades de tratamento. Isso reduz a dependência de e-mails e planilhas, facilita a colaboração entre compras, jurídico, segurança e DPO e cria um histórico útil para decisões, auditorias e renovações. Fale com a LGPD Cloud para organizar a avaliação dos fornecedores que fazem parte do seu ciclo de tratamento.

Consulte o texto compilado da LGPD, especialmente os artigos 5º, 39, 46 e 50, e o guia da ANPD sobre agentes de tratamento, que aborda papéis, responsabilidades e cadeias com suboperadores. A aplicação ao caso concreto deve considerar o contrato, o setor regulado, o fluxo internacional e a orientação profissional adequada.