--- title: "O vazamento aconteceu no fornecedor. Quem comunica a ANPD?" description: "O incidente ocorreu na infraestrutura do operador contratado? Veja como se divide o dever de comunicar autoridade e titulares." url: "https://wikijuridica.com.br/lgpd/incidente-no-operador-quem-comunica/" lang: "pt-BR" page_type: "pergunta" author: name: "Rafael Toledo" legal_name: "Rafael Toledo da Silva Duarte" credential: "OAB/RJ 227191" profile: "https://wikijuridica.com.br/sobre/" same_as: - "https://www.linkedin.com/in/rafaeltoledoadvogado" reviewer: "Rafael Toledo" publisher: name: "Wiki Jurídica" same_as: - "https://www.instagram.com/wiki.juridica/" - "https://www.facebook.com/wikijuridica" date_published: "2026-08-06" date_modified: "2026-08-26" reviewed_at: "2026-08-26" version: "sha256:a002445056f11481d6585142ebcdc67b8fb21cd1c33e7a96f2c733094983068a" license: "CC-BY-4.0" license_url: "https://creativecommons.org/licenses/by/4.0/" usage_policy: "https://wikijuridica.com.br/api/politica-de-uso.json" services: catalog: "https://wikijuridica.com.br/.well-known/ai-catalog.json" mcp: "https://wikijuridica.com.br/mcp" a2a: "https://wikijuridica.com.br/.well-known/agent-card.json" search: "https://wikijuridica.com.br/api/v1/search" openapi: "https://wikijuridica.com.br/openapi.json" citar: "https://wikijuridica.com.br/api/v1/citar" verificar citações: "https://wikijuridica.com.br/api/v1/citacoes" sources: - name: "Lei 13.709/2018 (LGPD)" url: "https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709compilado.htm" verified_at: "2026-07-15" claim: "obrigação do operador de seguir instruções do controlador (art. 39) e responsabilidade solidária do operador em determinadas hipóteses (art. 42)" - name: "ANPD - Comunicado de Incidente de Segurança" url: "https://www.gov.br/anpd/pt-br/canais_atendimento/agente-de-tratamento/comunicado-de-incidente-de-seguranca-cis" verified_at: "2026-07-14" claim: "dever do controlador de comunicar incidente dentro do prazo de três dias úteis, ainda que a origem seja infraestrutura do operador" --- > Índice do acervo > O mapa completo das páginas públicas está em https://wikijuridica.com.br/llms.txt > Consulte-o para descobrir as áreas e as páginas antes de navegar item a item. # O vazamento aconteceu no fornecedor. Quem comunica a ANPD? Por Rafael Toledo, OAB/RJ 227191 · revisado em 2026-08-26 Sistema terceirizado de folha de pagamento, plataforma de e-mail marketing contratada, provedor de nuvem: quando o incidente parte da infraestrutura de um fornecedor e não da empresa com quem o titular tem relação direta, surge a dúvida de quem exatamente responde pela comunicação obrigatória. ## A distinção entre controlador e operador na LGPD A [Lei 13.709/2018](https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm) distingue controlador — quem decide sobre o tratamento dos dados — de operador — quem realiza o tratamento em nome do controlador, seguindo suas instruções. O art. 39 estabelece que o operador deve tratar os dados segundo as instruções do controlador, que verifica a observância dessas instruções e das normas aplicáveis. ## Quem comunica a ANPD e os titulares Mesmo quando o incidente ocorre na infraestrutura do operador, o dever de comunicar a ANPD e os titulares continua sendo do controlador, que é quem mantém a relação direta com eles. Cabe ao operador comunicar o controlador tão logo tenha ciência do incidente, viabilizando que o prazo de três dias úteis seja cumprido a partir da cadeia de conhecimento. Isso significa, na prática, que o titular prejudicado direciona a cobrança ao controlador, e não ao operador terceirizado, mesmo quando a falha técnica ocorreu no sistema deste último. ## O que deve estar previsto em contrato entre controlador e operador Contratos bem estruturados entre controlador e operador definem prazo interno para o operador avisar o controlador sobre qualquer incidente, obrigação de cooperação na apuração e cláusulas de responsabilidade em caso de falha do operador em cumprir suas próprias obrigações de segurança. A ausência dessas cláusulas não isenta nenhuma das partes de suas obrigações legais, mas dificulta a coordenação no momento do incidente. Empresas que dependem de vários fornecedores para tratar dados de clientes costumam se beneficiar de revisão jurídica desses contratos antes que um incidente aconteça, justamente para que o prazo interno de aviso seja compatível com o prazo legal de três dias úteis que corre a partir do conhecimento do controlador. ## Perguntas frequentes ### O titular pode processar o operador diretamente, ou só o controlador? O [art. 42](https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm#art42) da [LGPD](https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm) prevê responsabilidade solidária do operador em determinadas hipóteses, especialmente quando descumpre obrigações da lei ou não segue instruções lícitas do controlador. Ainda assim, na prática, o titular costuma direcionar a cobrança primeiro ao controlador, por ser quem mantém a relação direta com ele. ## Proveniência - [Lei 13.709/2018 (LGPD)](https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709compilado.htm) — verificado em 2026-07-15 · Fonte oficial usada como referência e proveniência. - Sustenta nesta página: obrigação do operador de seguir instruções do controlador (art. 39) e responsabilidade solidária do operador em determinadas hipóteses (art. 42) - [ANPD - Comunicado de Incidente de Segurança](https://www.gov.br/anpd/pt-br/canais_atendimento/agente-de-tratamento/comunicado-de-incidente-de-seguranca-cis) — verificado em 2026-07-14 · Fonte oficial usada como referência e proveniência. - Sustenta nesta página: dever do controlador de comunicar incidente dentro do prazo de três dias úteis, ainda que a origem seja infraestrutura do operador --- Conteúdo informativo; não substitui a análise individual de um advogado sobre o seu caso. ## Conteúdos relacionados - [Todo incidente de segurança exige aviso à ANPD?](https://wikijuridica.com.br/lgpd/incidente-precisa-notificar-sempre/index.md) - [Como comunicar incidente de segurança à ANPD](https://wikijuridica.com.br/lgpd/comunicar-incidente-anpd/index.md) - [Incidente de baixo risco também precisa ser registrado?](https://wikijuridica.com.br/lgpd/registro-interno-incidentes/index.md) - [A empresa é obrigada a avisar sobre vazamento de dados?](https://wikijuridica.com.br/lgpd/empresa-obrigada-avisar-vazamento/index.md) - [Incidente de segurança: o que fazer quando há vazamento](https://wikijuridica.com.br/glossario/incidente-de-seguranca/index.md) - [Encarregado de dados é obrigatório na empresa?](https://wikijuridica.com.br/lgpd/encarregado-obrigatorio-empresa/index.md) - [BO falso é crime? A comunicação falsa do art. 340](https://wikijuridica.com.br/criminal/comunicacao-falsa-de-crime/index.md) - [Rede social jurídica do portal: dúvidas do público e comentários de advogados inscritos na OAB](https://wikijuridica.com.br/redesocial/index.md) - [Página deste tema na rede social do portal](https://wikijuridica.com.br/redesocial/tema/lgpd/incidente-no-operador-quem-comunica/index.md) ## Percursos por fundamento legal Outras páginas deste acervo que se apoiam nos mesmos dispositivos legais. **Lei Geral de Proteção de Dados, Art. 42** — `urn:lex:br:federal:lei:2018-08-14;13709!art42` - [Dados vazados usados em golpe: quem responde pelo prejuízo](https://wikijuridica.com.br/bancario/vazamento-dados-fraude-consequente/index.md) - [REsp 2.133.261 do STJ: civil, consumidor e processual civil](https://wikijuridica.com.br/jurisprudencia/stj-resp-2133261/index.md) - [REsp 2.206.917 do STJ: banco de dados de crédito](https://wikijuridica.com.br/jurisprudencia/stj-resp-2206917/index.md) - [REsp 2.236.767 do STJ: banco de dados de crédito](https://wikijuridica.com.br/jurisprudencia/stj-resp-2236767/index.md) Conteúdo de autoria de Rafael Toledo, advogado responsável técnico pela publicação, elaborado a partir de fontes oficiais verificadas e citadas. ## Como citar esta página Rafael Toledo, OAB/RJ 227191. O vazamento aconteceu no fornecedor. Quem comunica a ANPD?. Wiki Jurídica. 2026-08-26. https://wikijuridica.com.br/lgpd/incidente-no-operador-quem-comunica/ Versão do conteúdo: sha256:a002445056f11481d6585142ebcdc67b8fb21cd1c33e7a96f2c733094983068a Os mesmos dados em CSL-JSON, o formato que processadores de citação leem sem interpretar texto: ```json { "id": "wikijuridica-com-br-lgpd-incidente-no-operador-quem-comunica", "type": "webpage", "title": "O vazamento aconteceu no fornecedor. Quem comunica a ANPD?", "container-title": "Wiki Jurídica", "publisher": "Wiki Jurídica", "author": [{"literal": "Rafael Toledo, OAB/RJ 227191"}], "issued": {"date-parts": [[2026, 8, 26]]}, "URL": "https://wikijuridica.com.br/lgpd/incidente-no-operador-quem-comunica/", "language": "pt-BR", "version": "sha256:a002445056f11481d6585142ebcdc67b8fb21cd1c33e7a96f2c733094983068a", "note": "Licença CC-BY-4.0 — https://creativecommons.org/licenses/by/4.0/" } ``` Versão canônica: