Subcontratação de suboperadores: autorizar sem perder o controle da cadeia
O fornecedor de folha de pagamento avisa, em uma linha de e-mail, que vai migrar o processamento para um provedor de nuvem estrangeiro e que "não há mudança contratual". Há. A partir da migração, os dados dos empregados passam a ser tratados por uma empresa com a qual o controlador nunca negociou nada. Subcontratar é legítimo e, em tecnologia, quase inevitável. O que não é aceitável é a cadeia crescer sem autorização, sem requisitos que desçam para cada elo e sem alguém conseguindo dizer onde os dados estão.
Autorização prévia específica ou autorização geral: escolha consciente
O operador trata dados segundo as instruções do controlador, e é o próprio controlador que deve verificar a observância dessas instruções e das normas da matéria — assim dispõe o art. 39 da LGPD. Autorizar subcontratação é, portanto, decisão do controlador, e há dois modelos.
No modelo de autorização específica, cada novo suboperador depende de aprovação prévia por escrito. Dá controle máximo e trava projetos. No modelo de autorização geral, o contrato admite subcontratação dentro de uma lista aprovada e obriga o operador a comunicar alterações com antecedência definida, abrindo prazo para objeção fundamentada do controlador — e, se a objeção não for resolvida, direito de rescisão sem penalidade.
O segundo modelo funciona melhor em nuvem, desde que a lista seja pública, atualizada e acompanhada de informação sobre onde o dado será processado.
As obrigações que precisam descer inteiras para o próximo elo
O contrato com o operador deve exigir que ele imponha ao suboperador, no mínimo, o mesmo conjunto de deveres que assumiu: finalidade e instruções limitadas, confidencialidade da equipe, medidas de segurança técnicas e administrativas compatíveis com o art. 46, prazo de notificação de incidente curto o suficiente para o controlador cumprir o art. 48, apoio ao atendimento de pedidos de titulares, restrição a transferência internacional e devolução ou eliminação comprovada ao fim do contrato.
Dois pontos costumam ser esquecidos. O primeiro é o direito de auditoria: sem cláusula, o controlador depende da boa vontade do fornecedor para verificar qualquer coisa. O segundo é a permanência das obrigações de segurança mesmo depois do término, enquanto houver cópia de segurança viva.
O art. 46 exige medidas aptas a proteger os dados de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou tratamento inadequado — e essa exigência não se dilui porque o processamento foi terceirizado duas vezes.
Verificação proporcional ao risco, não checklist uniforme
Nem todo suboperador exige a mesma diligência. Um serviço que trata apenas metadados operacionais e um provedor que hospeda prontuários não podem receber o mesmo tratamento contratual. Classifique por sensibilidade do dado, volume, criticidade do serviço e existência de transferência internacional.
Para os elos críticos, peça evidência real: certificações vigentes com escopo declarado, relatório de teste de segurança, política de retenção, plano de resposta a incidentes e a lista dos próprios subcontratados. Questionário respondido pelo comercial do fornecedor não é evidência.
Registre a avaliação. Se um dia a autoridade perguntar por que aquele provedor foi aprovado, a resposta precisa estar escrita e datada.
Quando o vazamento acontece no terceiro elo
A responsabilidade não segue a cadeia contratual — segue a lei. O art. 42 obriga o controlador ou o operador que causar dano ao titular, no exercício da atividade de tratamento e em violação à legislação de proteção de dados, a repará-lo; e o §1º, I, equipara o operador ao controlador quando ele descumpre as obrigações legais ou deixa de seguir as instruções lícitas recebidas, com responsabilidade solidária.
Para o titular, isso significa poder acionar quem contratou o serviço, ainda que a falha tenha ocorrido três contratos adiante. Para o controlador, significa que a defesa técnica depende de provar diligência: contrato adequado, verificação documentada, instruções claras e reação tempestiva ao incidente.
Exemplo: uma clínica contrata sistema de agendamento que subcontrata um serviço de mensagens; o serviço de mensagens expõe uma base com nomes e horários de consulta. A clínica responde perante os pacientes e, depois, discute regresso com o fornecedor direto — que, por sua vez, discute com o próprio subcontratado. Quem tem contrato e evidência atravessa essa fila em posição muito melhor.
Revisar essa cadeia antes da migração, e não depois do incidente, é serviço jurídico de contratos e privacidade que se conduz integralmente por canais digitais, com análise dos instrumentos enviados pela própria empresa.
Perguntas frequentes
O controlador precisa aprovar cada data center usado pelo fornecedor?
Não necessariamente, mas precisa saber em que países os dados serão processados, porque isso ativa as regras de transferência internacional e afeta a avaliação de risco da contratação.
Contrato antigo sem cláusula de subcontratação impede o fornecedor de terceirizar?
O silêncio não é autorização. Sem previsão, a subcontratação que amplia o acesso aos dados extrapola as instruções do controlador e expõe o operador ao regime do art. 42, §1º, I.
Proveniência
Conteúdo informativo; não substitui a análise individual de um advogado sobre o seu caso.
Links internos
Conteúdo informativo. Não substitui a análise individual de um advogado ou da Defensoria Pública sobre o seu caso.