O vazamento aconteceu no fornecedor. Quem comunica a ANPD?
Sistema terceirizado de folha de pagamento, plataforma de e-mail marketing contratada, provedor de nuvem: quando o incidente parte da infraestrutura de um fornecedor e não da empresa com quem o titular tem relação direta, surge a dúvida de quem exatamente responde pela comunicação obrigatória.
A distinção entre controlador e operador na LGPD
A Lei 13.709/2018 distingue controlador — quem decide sobre o tratamento dos dados — de operador — quem realiza o tratamento em nome do controlador, seguindo suas instruções. O art. 39 estabelece que o operador deve tratar os dados segundo as instruções do controlador, que verifica a observância dessas instruções e das normas aplicáveis.
Quem comunica a ANPD e os titulares
Mesmo quando o incidente ocorre na infraestrutura do operador, o dever de comunicar a ANPD e os titulares continua sendo do controlador, que é quem mantém a relação direta com eles. Cabe ao operador comunicar o controlador tão logo tenha ciência do incidente, viabilizando que o prazo de três dias úteis seja cumprido a partir da cadeia de conhecimento. Isso significa, na prática, que o titular prejudicado direciona a cobrança ao controlador, e não ao operador terceirizado, mesmo quando a falha técnica ocorreu no sistema deste último.
O que deve estar previsto em contrato entre controlador e operador
Contratos bem estruturados entre controlador e operador definem prazo interno para o operador avisar o controlador sobre qualquer incidente, obrigação de cooperação na apuração e cláusulas de responsabilidade em caso de falha do operador em cumprir suas próprias obrigações de segurança. A ausência dessas cláusulas não isenta nenhuma das partes de suas obrigações legais, mas dificulta a coordenação no momento do incidente.
Empresas que dependem de vários fornecedores para tratar dados de clientes costumam se beneficiar de revisão jurídica desses contratos antes que um incidente aconteça, justamente para que o prazo interno de aviso seja compatível com o prazo legal de três dias úteis que corre a partir do conhecimento do controlador.
Perguntas frequentes
O titular pode processar o operador diretamente, ou só o controlador?
O art. 42 da LGPD prevê responsabilidade solidária do operador em determinadas hipóteses, especialmente quando descumpre obrigações da lei ou não segue instruções lícitas do controlador. Ainda assim, na prática, o titular costuma direcionar a cobrança primeiro ao controlador, por ser quem mantém a relação direta com ele.
Proveniência
Conteúdo informativo; não substitui a análise individual de um advogado sobre o seu caso.
Conteúdos relacionados
Links internos
Conteúdo informativo. Não substitui a análise individual de um advogado ou da Defensoria Pública sobre o seu caso.