Controle de terceiros
Gestão de terceiros e LGPD: o escudo essencial contra riscos de conformidade, segurança e reputação
No cenário atual de interconectividade e dependência de serviços externos, a gestão eficaz de terceiros tornou-se um dos pilares mais críticos para a conformidade com a Lei Geral de Proteção de Dados (LGPD) e para a segurança da informação de uma organização.
Entender e implementar um robusto programa de gestão de fornecedores é não apenas uma boa prática, mas uma exigência legal e um imperativo estratégico.
A complexidade da terceirização e a responsabilidade do controlador: um risco latente
Organizações raramente operam de forma isolada. A delegação de tarefas, desde a hospedagem de dados até serviços de marketing e suporte, é comum. No entanto, essa delegação não transfere a responsabilidade legal quando se trata do tratamento de dados pessoais.
A LGPD é clara: o Controlador (sua organização) e o Operador (o terceiro/prestador de serviços) respondem solidariamente pelos danos causados em razão do tratamento de dados pessoais (Art. 42 da LGPD).
Isso significa que, se um incidente de segurança ocorrer no ambiente de um de seus operadores ou terceiros, seja por falha técnica, vulnerabilidade ou erro humano, sua organização será responsabilizada e poderá sofrer as consequências, incluindo multas administrativas, sanções e severos danos à reputação.
É crucial sublinhar que, na ausência de uma gestão adequada dos terceiros, o risco para o controlador é imenso. A responsabilidade, na maioria das vezes, recai sobre o controlador, não apenas em termos legais e financeiros, mas principalmente no aspecto da reputação. Um incidente envolvendo um terceiro pode manchar a imagem da sua organização de forma irreparável, minando a confiança de clientes e parceiros.
Vulnerabilidade de terceiros na prática: o caso da BMP
Um exemplo da vulnerabilidade humana e do impacto de falhas de segurança foi o caso recentemente noticiado da BMP. A empresa sofreu um prejuízo significativo de R$ 541 milhões, resultado de uma invasão que se iniciou com o uso de engenharia social. O alvo foi um funcionário de TI de uma prestadora de serviços (terceiro), que inadvertidamente forneceu credenciais de acesso aos hackers.
Esse incidente, seja por má-fé ou por negligência, demonstra como uma brecha de segurança, originada por um indivíduo com acesso privilegiado em um ambiente terceirizado não devidamente controlado, pode gerar implicações legais e reputacionais severas para a organização principal (o controlador). A ausência de controle rigoroso sobre quem tem acesso, como esse acesso é concedido e monitorado em toda a cadeia de valor, expõe o controlador a riscos inaceitáveis.
Como um módulo de gestão de terceiros transforma a conformidade com a LGPD
Um módulo dedicado à gestão de terceiros é uma ferramenta estratégica que centraliza e automatiza processos cruciais, permitindo que sua organização exerça o devido controle e diligência sobre seus parceiros. Ele atua como um verdadeiro hub de conformidade, endereçando os pontos mais sensíveis da relação com fornecedores no que tange à LGPD e à segurança da informação.
Mapeamento abrangente dos envolvidos no tratamento de dados pessoais
O primeiro passo é saber quem são seus terceiros e como eles interagem com os dados pessoais. Um módulo eficiente permite:
- Identificação detalhada: o módulo registra todos os terceiros que tratam dos dados pessoais em nome da organização.
- Classificação de dados: mapeia quais tipos de dados pessoais cada terceiro trata (sensíveis ou não), o volume, a finalidade e a duração do tratamento.
- Fluxo de dados: visualizar o fluxo de dados entre sua organização e os terceiros, identificando possíveis transferências internacionais.
Exemplo prático: Sua empresa utiliza um serviço de CRM de um terceiro. O módulo permitiria mapear que este terceiro trata dados de clientes (nome, e-mail, telefone), classificá-los, e verificar se há suboperadores envolvidos na cadeia de tratamento.
Gerenciamento de ajustes contratuais para requisitos de LGPD e segurança da informação
Contratos são a base da relação com terceiros. Eles devem refletir as exigências da LGPD e as melhores práticas de segurança, e devem ser adequados aos riscos identificados no tratamento. O módulo facilita:
- Cláusulas mandatórias: assegurar a inclusão de cláusulas contratuais obrigatórias (Data Processing Addendums - DPA) que definam claramente as responsabilidades de cada parte, medidas de segurança, exclusão de dados, as obrigações em caso de incidente, direito de auditoria.
Exemplo prático: O módulo de gestão de terceiros atua como uma central para gerenciar os contratos com as cláusulas obrigatórias exigidas pela LGPD (como finalidade do tratamento, medidas de segurança adotadas, subcontratação, direito de auditoria e responsabilidades em caso de incidentes) o se ainda necessitam de aditivação para garantir maior segurança jurídica para a organização. Garantindo que nenhum contrato crítico fique sem a devida adequação legal e de segurança.
Envio e gerenciamento de questionários de avaliação de riscos
A diligência prévia e contínua é fundamental. Um módulo permite:
- Questionários personalizáveis: criar e enviar questionários de due diligence focados em aspectos de segurança da informação (ISO 27001, NIST) e privacidade (LGPD, GDPR).
- Múltiplas rodadas de avaliação: gerenciar ciclos de avaliação inicial e reavaliações periódicas para garantir a conformidade contínua dos terceiros.
- Análise de respostas e evidências: centralizar as respostas dos terceiros, analisar os riscos apresentados e solicitar evidências (certificações, relatórios de auditoria, políticas internas).
Exemplo prático: Após o envio do questionário de segurança, torna-se possível identificar os riscos presentes no ambiente do prestador de serviços, fornecendo subsídios para definir as medidas necessárias ao tratamento desses riscos. Em situações mais críticas, essa análise pode até levar à substituição do terceiro por outro que traga mais segurança para a organização.
Benefícios Estratégicos Além da Conformidade
Além de mitigar os riscos legais e regulatórios da LGPD, um módulo de gestão de terceiros proporciona:
Redução de riscos operacionais
Minimiza a probabilidade de incidentes de segurança e vazamentos de dados causados por falhas em terceiros.
Fortalecimento da governança
Estabelece um processo claro e auditável para gerenciar a segurança e a privacidade na cadeia de suprimentos.
Eficiência operacional
Automatiza tarefas repetitivas, liberando sua equipe para focar em análises estratégicas.
Vantagem competitiva
Demonstra compromisso com a proteção de dados, fortalecendo a confiança de clientes e parceiros.
A gestão de terceiros é, sem dúvida, um dos calcanhares de Aquiles da segurança da informação e da privacidade de dados
Em um mundo onde a interdependência é a norma, a capacidade de mapear, avaliar, contratar e monitorar proativamente seus fornecedores de dados não é apenas uma necessidade legal, mas um diferencial competitivo vital. A inação nesse campo não é uma opção, visto o alto custo reputacional e legal que uma falha pode acarretar.
Fale com um de nossos especialistas
Investir em um módulo robusto é investir na resiliência e na reputação da sua organização no cenário digital.