Microaula em Método CELULA • Prévia Aberta

<p>Uma fintech transfere mensalmente a base de dados de 500 mil clientes para uma agência de suporte ao cliente contratada; a agência armazena os dados em um bucket aberto na nuvem sem senha; ocorre um megavazamento; ao ser notificada, a agência alega que não tinha contrato específico de proteção de dados e não é obrigada a ajudar na apuração; a fintech é acionada judicialmente e responde de forma solidária por negligência na escolha e fiscalização do fornecedor.</p>

A relação jurídica entre Controlador (quem toma as decisões sobre o tratamento) e Operador (quem realiza o tratamento em nome do controlador) e a responsabilidade civil objetiva/solidária por danos patrimoniais e morais (Art. 42 da LGPD): por que a contratação de fornecedores é o maior vetor de vazamentos corporativos. O ciclo de Gestão de Riscos de Terceiros (Third-Party Risk Management): 1) Fase de Homologação (Due Diligence prévia de privacidade e segurança: exigência de certificações ISO 27001, SOC 2, questionário de segurança sobre criptografia, MFA, política de senhas e histórico de incidentes); 2) Fase Contratual (celebração obrigatória do DPA); 3) Fase de Monitoramento (auditorias periódicas e testes de vulnerabilidade); 4) Fase de Encerramento (exigência de certificado formal de eliminação segura de dados). Cláusulas indispensáveis em um Data Processing Agreement (DPA) corporativo de alta proteção: Cláusula de Escopo Estrito (o operador só pode agir mediante instruções docu...