LGPD e terceiros: como garantir conformidade de fornecedores que processam CPF

Pela LGPD, o controlador responde solidariamente por danos causados por operadores que atuam sob suas instruções — o que significa que terceiros e fornecedores que processam dados de CPF são extensão direta da sua responsabilidade. Para garantir conformidade, é necessário conduzir due diligence antes da contratação, incluir cláusulas específicas no contrato e monitorar continuamente a conformidade do fornecedor.

Introdução

Ao delegar o processamento de dados de CPF a fornecedores externos -- sejam provedores de tecnologia, bureaus de informação ou plataformas SaaS -- o controlador não se exime de sua responsabilidade perante a LGPD. A lei é clara: o controlador responde solidariamente por danos causados pelo tratamento irregular realizado por operadores que atuam sob suas instruções.

Controlador vs. operador na LGPD

A LGPD define dois papéis centrais no tratamento de dados pessoais:

• Controlador: pessoa ou empresa que toma as decisões sobre o tratamento dos dados pessoais -- define finalidade, base legal e escopo.
• Operador: pessoa ou empresa que realiza o tratamento em nome do controlador, seguindo suas instruções.

Responsabilidade solidária

De acordo com o artigo 42 da LGPD, tanto o controlador quanto o operador podem ser responsabilizados por danos patrimoniais, morais, individuais ou coletivos causados pelo tratamento irregular de dados. Isso significa que, se um fornecedor vazar dados de CPF, sua empresa também pode ser penalizada.

Due diligence de fornecedores

Antes de contratar qualquer fornecedor que processará dados de CPF, conduza um processo de avaliação rigoroso.

Checklist de avaliação

1. Política de privacidade: o fornecedor possui política de privacidade atualizada e alinhada à LGPD?
2. DPO nomeado: há um Encarregado de Proteção de Dados designado?
3. Medidas técnicas: quais controles de segurança estão implementados (criptografia, controle de acesso, logs)?
4. Certificações: o fornecedor possui ISO 27001, SOC 2 ou certificações equivalentes?
5. Histórico de incidentes: houve vazamentos de dados nos últimos anos?
6. Suboperadores: o fornecedor utiliza subcontratados? Se sim, quais garantias são oferecidas?
7. Localização dos dados: onde os dados são armazenados e processados?
8. Plano de resposta a incidentes: existe um procedimento documentado para lidar com vazamentos?

Cláusulas contratuais essenciais

O contrato com fornecedores que processam CPF deve conter cláusulas específicas de proteção de dados.

Cláusulas obrigatórias

• Finalidade limitada: o operador só pode tratar dados de CPF para as finalidades expressamente autorizadas pelo controlador.
• Confidencialidade: todos os colaboradores do operador que acessem dados de CPF devem assinar termos de confidencialidade.
• Segurança: obrigação de implementar medidas técnicas e administrativas adequadas.
• Notificação de incidentes: prazo máximo de 48 horas para comunicar qualquer incidente de segurança.
• Auditoria: direito do controlador de realizar auditorias periódicas nas práticas do operador.
• Devolução e eliminação: ao término do contrato, todos os dados de CPF devem ser devolvidos ou eliminados.
• Subcontratação: proibição ou autorização prévia para uso de suboperadores.

Monitoramento contínuo de fornecedores

A avaliação inicial não é suficiente. É necessário monitorar continuamente a conformidade dos fornecedores.

Script de monitoramento de disponibilidade e segurança

import requests
import json
import ssl
import socket
from datetime import datetime, timezone

def verificar_fornecedor_api(url_base: str, api_key: str, cpf_teste: str):
    """Verifica disponibilidade e segurança de um fornecedor de API."""

    resultado = {
    "timestamp": datetime.now(timezone.utc).isoformat(),
    "fornecedor": url_base,
    "verificacoes": {}
    }

    # 1. Verificar disponibilidade
    try:
    response = requests.get(
    f"{url_base}/cpf/{cpf_teste}",
    headers={
    "x-api-key": api_key,
    "Accept": "application/json"
    },
    timeout=30
    )
    resultado["verificacoes"]["disponibilidade"] = {
    "status": response.status_code,
    "tempo_resposta_ms": response.elapsed.total_seconds() * 1000,
    "ok": response.status_code == 200
    }
    except requests.exceptions.Timeout:
    resultado["verificacoes"]["disponibilidade"] = {
    "status": "timeout",
    "ok": False
    }
    except requests.exceptions.ConnectionError:
    resultado["verificacoes"]["disponibilidade"] = {
    "status": "connection_error",
    "ok": False
    }

    # 2. Verificar certificado SSL
    try:
    hostname = url_base.replace("https://", "").split("/")[0]
    ctx = ssl.create_default_context()
    with ctx.wrap_socket(socket.socket(), server_hostname=hostname) as s:
    s.settimeout(10)
    s.connect((hostname, 443))
    cert = s.getpeercert()
    validade = datetime.strptime(cert["notAfter"], "%b %d %H:%M:%S %Y %Z")
    resultado["verificacoes"]["ssl"] = {
    "valido": True,
    "expira_em": validade.isoformat(),
    "dias_restantes": (validade - datetime.now()).days
    }
    except Exception as e:
    resultado["verificacoes"]["ssl"] = {
    "valido": False,
    "erro": str(e)
    }

    # 3. Verificar headers de segurança
    if response:
    headers_esperados = [
    "Strict-Transport-Security",
    "X-Content-Type-Options",
    "X-Frame-Options"
    ]
    headers_presentes = {
    h: h in response.headers for h in headers_esperados
    }
    resultado["verificacoes"]["headers_seguranca"] = headers_presentes

    return resultado

# Exemplo de uso com a API CPFHub
relatorio = verificar_fornecedor_api(
    url_base="https://api.cpfhub.io",
    api_key="SUA_API_KEY",
    cpf_teste="12345678901"
)
print(json.dumps(relatorio, indent=2, ensure_ascii=False))

Consulta manual de verificação via cURL

curl -X GET "https://api.cpfhub.io/cpf/12345678901" \
    -H "x-api-key: SUA_API_KEY" \
    -H "Accept: application/json" \
    --max-time 30 \
    -w "\nHTTP Code: %{http_code}\nTime: %{time_total}s\n"

Gestão de riscos de terceiros

Classificação de fornecedores por risco

Nem todos os fornecedores apresentam o mesmo nível de risco. Classifique-os de acordo com o volume e a sensibilidade dos dados tratados:

• Risco alto: fornecedores com acesso direto a bases de dados de CPF, processamento em larga escala ou armazenamento prolongado.
• Risco médio: fornecedores que processam dados de CPF de forma limitada e temporária.
• Risco baixo: fornecedores que não têm acesso direto a dados de CPF, mas participam de processos adjacentes.

Frequência de avaliações

Plano de resposta para incidentes de terceiros

Quando um fornecedor sofre um incidente envolvendo dados de CPF, o controlador deve:

1. Acionar imediatamente o fornecedor para obter detalhes do incidente.
2. Avaliar o impacto -- quais dados foram comprometidos e quantos titulares foram afetados.
3. Notificar a ANPD dentro do prazo legal se houver risco relevante aos titulares.
4. Comunicar os titulares afetados de forma clara e transparente.
5. Documentar todo o processo para fins de auditoria e eventual defesa administrativa.
6. Revisar o contrato e as medidas de segurança do fornecedor.

Boas práticas para gestão de fornecedores

• Centralize o inventário: mantenha uma lista atualizada de todos os fornecedores que processam dados de CPF.
• Automatize o monitoramento: utilize scripts e ferramentas de observabilidade para acompanhar a conformidade em tempo real.
• Exija transparência: fornecedores devem reportar periodicamente indicadores de segurança e conformidade.
• Prefira fornecedores certificados: priorize parceiros com certificações reconhecidas de segurança e privacidade.
• Use APIs confiáveis: ao consultar dados de CPF, escolha provedores que já operem em conformidade com a LGPD, como o CPFHub.io — que utiliza HTTPS, autenticação por chave de API e mantém documentação explícita sobre o tratamento de dados.

Perguntas frequentes

O controlador é responsável por vazamentos causados por um fornecedor?

Sim. O artigo 42 da LGPD estabelece responsabilidade solidária entre controlador e operador. Se um fornecedor que processa dados de CPF sob suas instruções causar um vazamento, sua empresa também pode ser responsabilizada e multada pela ANPD. Por isso a due diligence antes da contratação e o monitoramento contínuo não são opcionais.

Quais cláusulas contratuais são obrigatórias para fornecedores que processam CPF?

O contrato deve prever no mínimo: finalidade limitada de uso dos dados, obrigação de confidencialidade, prazo máximo de 48 horas para notificação de incidentes, direito de auditoria, procedimento de devolução ou eliminação dos dados ao término do contrato e regras claras sobre subcontratação. Sem essas cláusulas, o controlador assume todos os riscos do tratamento realizado pelo fornecedor.

Com que frequência devo auditar fornecedores de alto risco que processam CPF?

Fornecedores classificados como alto risco — aqueles com acesso direto a bases de CPF, processamento em larga escala ou armazenamento prolongado — devem ser auditados trimestralmente e monitorados de forma contínua. Além das auditorias formais, scripts automáticos que verificam disponibilidade, validade do certificado SSL e headers de segurança ajudam a identificar problemas entre ciclos de auditoria.

O que acontece quando minha empresa excede o volume de consultas de CPF contratado junto à CPFHub.io?

A API CPFHub.io não bloqueia o acesso ao atingir o limite do plano. Consultas excedentes às inclusas no plano são cobradas automaticamente a R$0,15 cada, sem interrupção do serviço. Isso permite que sistemas em produção continuem operando sem surpresas, enquanto o time avalia se vale migrar para um plano de maior volume.

Conclusão

A conformidade com a LGPD não termina nas fronteiras da sua empresa. Fornecedores e terceiros que processam dados de CPF são extensões do seu tratamento de dados e devem ser avaliados, contratados e monitorados com rigor. Investir em due diligence, cláusulas contratuais robustas e monitoramento contínuo protege sua empresa, seus clientes e a reputação do seu negócio.

Escolher parceiros que já operam dentro dos padrões da LGPD simplifica significativamente o processo de conformidade.

Cadastre-se em cpfhub.io — 50 consultas mensais gratuitas, sem cartão de crédito.