Operadores, contratos e transferência internacional de dados na LGPD
Quase nenhuma empresa trata dados sozinha. A relação com quem processa dados em seu nome, dentro ou fora do país, precisa estar escrita e sob controle.
Empresas usam nuvem, e-mail marketing, folha de pagamento terceirizada, sistemas de atendimento. Cada fornecedor que trata dados pessoais em nome da empresa é um operador, e a LGPD espera que essa relação esteja definida e sob controle. Quando os dados atravessam a fronteira, entram as regras de transferência internacional, que a ANPD atualizou de forma relevante em 2024.
Ignorar essa camada é comum e arriscado. A empresa responde pelos dados que confia a terceiros, e um fornecedor mal escolhido ou mal contratado vira um ponto fraco. Este guia trata do papel do operador, do que os contratos devem prever e das novas regras de transferência internacional.
Controlador e operador
O controlador decide por que e como os dados são tratados. O operador trata os dados em nome do controlador, seguindo as instruções dele. Um provedor de nuvem que hospeda o banco de dados de clientes é operador; a empresa que decidiu coletar aqueles dados é controladora. O operador não pode usar os dados para finalidades próprias sem virar controlador daquilo e assumir as responsabilidades correspondentes.
Essa distinção define responsabilidades. O controlador responde pelas decisões de tratamento; o operador responde por seguir as instruções e por aplicar segurança. Nos casos em que o operador descumpre as instruções ou a lei, ele passa a responder de forma equiparada ao controlador. Deixar claro quem é o quê em cada relação é parte da adequação.
O que o contrato deve prever
A relação com um operador precisa estar escrita, com um contrato ou uma cláusula de proteção de dados. Esse instrumento define o objeto e a duração do tratamento, a finalidade, os tipos de dados e de titulares envolvidos, as obrigações de segurança do operador, o dever de seguir apenas as instruções do controlador, o tratamento de subcontratados e o destino dos dados ao fim do contrato.
- Objeto, duração e finalidade do tratamento
- Tipos de dados e de titulares envolvidos
- Obrigações de segurança do operador
- Dever de seguir apenas as instruções do controlador
- Regras para subcontratação de outros operadores
- Apoio ao atendimento de direitos e a incidentes
- Destino dos dados ao término do contrato
O contrato não é só formalidade. É o que permite ao controlador exigir do fornecedor as garantias de segurança e a cooperação em um pedido de titular ou em um incidente. Um operador que sofre um vazamento com dados da empresa aciona diretamente as obrigações do controlador, então o contrato precisa prever essa colaboração.
Transferência internacional e a Resolução 19/2024
Muitos serviços que as empresas usam ficam hospedados fora do Brasil, o que caracteriza transferência internacional de dados. A LGPD trata do tema nos artigos 33 a 36, e a Resolução CD/ANPD nº 19/2024 regulamentou as regras, definindo mecanismos como o reconhecimento de países com nível de proteção adequado, as cláusulas-padrão contratuais, as cláusulas contratuais específicas e as normas corporativas globais.
Há um marco de prazo que merece atenção. Quem usa cláusulas contratuais para transferir dados ao exterior teve doze meses para incorporar as cláusulas-padrão da ANPD, prazo que terminou em agosto de 2025. Ou seja, essa exigência já está em vigor. Qualquer empresa que envie dados para fora do país deveria verificar em qual mecanismo se apoia e se os contratos estão alinhados às cláusulas-padrão.
Escolher e acompanhar fornecedores
A adequação de um fornecedor não termina na assinatura do contrato. Vale avaliar, antes de contratar, se o operador tem práticas de segurança compatíveis com os dados que vai tratar, e acompanhar isso ao longo da relação. Fornecedores que tratam dados sensíveis ou grandes volumes merecem uma avaliação mais criteriosa.
Manter um inventário de fornecedores que tratam dados pessoais, com o que cada um acessa e onde os dados ficam, é uma extensão natural do mapeamento. Esse inventário mostra rapidamente quais relações precisam de contrato, quais envolvem transferência internacional e quais concentram mais risco, orientando onde colocar atenção.
Avaliar a segurança de um operador antes de contratar
A escolha de um operador é uma decisão de segurança, não só de preço e funcionalidade. Antes de confiar dados a um fornecedor, faz sentido conhecer como ele os protege. A profundidade dessa avaliação acompanha o risco: um serviço que processa dados sensíveis ou de muitos titulares pede um exame bem mais criterioso do que uma ferramenta com pouca exposição. Um questionário de segurança padronizado ajuda a comparar fornecedores pelos mesmos critérios e a documentar o que foi verificado.
Vale olhar para evidência, não só para promessa. Certificações e relatórios de auditoria que o fornecedor já possua, quando existem, dizem mais do que um texto de marketing. Também importa entender onde os dados ficam, quais sub-operadores o fornecedor usa, como ele trata o acesso da própria equipe e como reagiria a um incidente que afete os seus dados. Um operador que não consegue responder a essas perguntas com clareza é, por si só, um sinal de risco.
- Onde os dados são armazenados e processados, incluindo país
- Quais sub-operadores o fornecedor aciona e sob quais garantias
- Como o fornecedor controla o acesso da própria equipe aos dados
- Que evidência de segurança ele apresenta, como certificações e auditorias
- Como ele comunica e coopera diante de um incidente
- Como os dados são devolvidos ou eliminados ao fim do contrato
Cláusulas de proteção que valem exigir
O contrato ou a cláusula de proteção de dados é onde as garantias deixam de ser conversa e viram obrigação. Não existe um modelo único que sirva a todo caso, e a redação final é decisão jurídica, mas alguns pontos aparecem em quase toda relação com operador e vale conferir se estão contemplados. A lista a seguir serve de referência para essa conferência, ajustada ao risco de cada fornecedor.
Objeto, duracao e finalidade do tratamento
Categorias de dados e de titulares envolvidos
Dever de tratar apenas conforme as instrucoes do controlador
Obrigacoes de seguranca proporcionais ao risco dos dados
Regras para subcontratacao e responsabilidade por sub-operadores
Cooperacao em pedidos de titulares e em incidentes
Prazo de aviso ao controlador em caso de incidente
Local de tratamento e mecanismo de transferencia internacional
Devolucao ou eliminacao segura dos dados ao termino
Direito de auditar ou receber evidencia de conformidadeRepare que várias cláusulas só têm valor se a empresa conseguir cobrá-las. Exigir aviso rápido de incidente pressupõe um canal para receber esse aviso; pedir eliminação ao fim do contrato pressupõe verificar que ela ocorreu. O contrato desenha a obrigação, mas o acompanhamento da relação é o que a torna real.
Checklist prático
- Identificar todos os operadores que tratam dados em nome da empresa
- Definir por escrito a relação com cada operador
- Prever no contrato segurança, instruções, subcontratação e incidentes
- Usar um questionário de segurança padronizado antes de contratar
- Pedir evidência de segurança, como certificações e auditorias, quando houver
- Levantar onde os dados ficam e quais sub-operadores o fornecedor aciona
- Verificar quais fluxos envolvem transferência internacional
- Confirmar o mecanismo de transferência e as cláusulas-padrão da ANPD
- Prever prazo de aviso de incidente e cooperação no contrato
- Confirmar a devolução ou eliminação segura dos dados ao fim do contrato
- Manter um inventário de fornecedores ligado ao mapeamento
- Reavaliar os fornecedores ao longo da relação, não só na contratação
Boas práticas
- Deixe claro em contrato quem é controlador e quem é operador
- Avalie a segurança do fornecedor por evidência, não só por promessa
- Ajuste a profundidade da avaliação ao risco dos dados tratados
- Exija do operador garantias de segurança proporcionais aos dados
- Confirme o mecanismo de transferência internacional de cada fluxo
- Alinhe os contratos às cláusulas-padrão da ANPD já vigentes
- Avalie e acompanhe os fornecedores, não só na contratação
Erros comuns
Usar fornecedores sem contrato de tratamento de dados
A empresa não tem como exigir segurança nem cooperação em incidentes.
Contratar operador sem avaliar como ele protege os dados
A empresa só descobre a fragilidade do fornecedor no incidente.
Ignorar sub-operadores que o fornecedor aciona
Os dados chegam a terceiros sem garantia nem visibilidade.
Ignorar que um serviço hospeda dados fora do Brasil
A transferência internacional fica sem o mecanismo exigido pela ANPD.
Não atualizar contratos após a Resolução 19/2024
Os contratos ficam desalinhados das cláusulas-padrão já vigentes.
Escolher fornecedor sem avaliar a segurança
Um operador fraco vira o ponto de entrada de um vazamento.
Quando procurar apoio especializado
Avaliar a segurança de fornecedores e entender para onde os dados realmente vão são tarefas técnicas em que a GUARDIASEC apoia. Levantamos os fluxos para terceiros e para o exterior, avaliamos a exposição e ajudamos a priorizar quais relações concentram mais risco, dando ao jurídico a base para exigir as garantias e ajustar os contratos.
Para aprofundar: cursos recomendados
Estes cursos gratuitos do Valor Final ajudam a levar o assunto deste guia da teoria para a prática, no seu ritmo.
Curso de LGPD Essencial
GratuitoCurso gratuito de LGPD para quem trabalha em empresa. Mostra na prática o que pode e o que não pode ser feito com dados de clientes, colegas e fornecedores, em linguagem simples e com fontes oficiais.
Valor FinalCursos do Valor Final
CertificadoPortal de cursos online gratuitos, com certificado ao concluir. A trilha de privacidade e proteção de dados começa pelo curso de LGPD e ganha novos cursos com o tempo.
Valor FinalPerguntas frequentes
Preciso de contrato com todo fornecedor que acessa dados?
Com todo fornecedor que trata dados pessoais em nome da empresa, sim. A relação com um operador deve estar escrita, definindo finalidade, obrigações de segurança, o dever de seguir as instruções do controlador, as regras de subcontratação e o destino dos dados ao fim do contrato. É o que permite exigir garantias e cooperação em pedidos de titulares e em incidentes.
Usar um serviço de nuvem estrangeiro é transferência internacional?
Em geral, sim. Se os dados ficam armazenados ou são processados em servidores fora do Brasil, há transferência internacional, mesmo que o contrato seja com uma empresa brasileira. Isso aciona as regras dos artigos 33 a 36 e da Resolução CD/ANPD nº 19/2024, que definem os mecanismos válidos, como cláusulas-padrão contratuais e reconhecimento de adequação.
O que mudou com a Resolução 19/2024?
Ela regulamentou a transferência internacional de dados, detalhando os mecanismos válidos e criando as cláusulas-padrão contratuais da ANPD. Empresas que usam cláusulas contratuais para transferir dados ao exterior tiveram doze meses para incorporar as cláusulas-padrão, prazo encerrado em agosto de 2025. Por isso, verificar o mecanismo de cada transferência deixou de ser opcional.
Sou responsável se o meu fornecedor vazar dados?
O controlador responde pelos dados que confia a operadores, então um vazamento no fornecedor aciona as obrigações da empresa, incluindo a comunicação à ANPD e aos titulares. Por isso importam a escolha criteriosa do fornecedor, o contrato com obrigações de segurança e cooperação, e o acompanhamento da relação. A responsabilidade não termina quando o dado sai para o terceiro.
O que pedir a um fornecedor antes de contratar?
Vale entender como ele protege os dados, e não só o que a ferramenta faz. Um questionário de segurança ajuda a levantar onde os dados ficam, quais sub-operadores o fornecedor aciona, como ele controla o acesso da própria equipe, que evidência de segurança apresenta e como reagiria a um incidente. A profundidade acompanha o risco: dados sensíveis ou de muitos titulares pedem um exame mais criterioso. Um fornecedor que não responde a isso com clareza já é um alerta.
Como sei em quais países meus dados são processados?
Perguntando ao fornecedor e conferindo a documentação do serviço, que costuma descrever as regiões de processamento e os sub-operadores usados. Alguns serviços permitem escolher a região onde os dados ficam. Registrar essa informação no inventário de fornecedores é o que permite saber, depois, quais fluxos envolvem transferência internacional e precisam do mecanismo adequado. Sem essa clareza, a empresa pode estar transferindo dados ao exterior sem perceber.
Preciso reavaliar fornecedores que já contratei?
Sim, porque tanto o fornecedor quanto o seu uso dele mudam com o tempo. Um serviço pode passar a tratar mais dados, mudar de sub-operador ou de região, e um contrato antigo pode ter ficado para trás de exigências que hoje se aplicam, como o alinhamento às cláusulas-padrão da ANPD. Uma revisão periódica, priorizada pelos fornecedores que concentram mais risco, mantém a relação sob controle em vez de congelada no dia da assinatura.
Guias relacionados
Próximo passo
Vamos avaliar os riscos do seu ambiente?
Conte seu cenário e definimos juntos o escopo certo. O objetivo é reduzir caminhos prováveis de ataque e elevar a maturidade de segurança, sem promessas absolutas.