LGPD e Terceirização de Atendimento: Responsabilidades da Empresa em Contratos de BPO
Terceirizar o atendimento para um BPO não transfere a responsabilidade legal sobre os dados dos clientes — a LGPD trata a empresa contratante como controladora dos dados, o que significa responsabilidade solidária por qualquer incidente que ocorra na operação terceirizada. Em 2026, com a fiscalização da ANPD mais ativa, contratos de BPO que não formalizam claramente essa relação expõem a empresa contratante a risco que muitas ainda subestimam.
Este guia explica o que a LGPD exige em contratos de terceirização de atendimento e como estruturar essa relação para proteger a empresa contratante.
🔹 O Que Muda na Relação Controlador-Operador em BPO
- Empresa contratante como controladora: quem decide como e por que os dados são tratados continua sendo a empresa dona da base de clientes, mesmo com o atendimento terceirizado.
- BPO como operador: o prestador de serviço trata os dados em nome da contratante, seguindo instruções e finalidades definidas por ela — não pode usar os dados para outros fins sem autorização.
- Responsabilidade solidária: em caso de incidente de segurança causado pelo BPO, a empresa contratante pode responder junto, especialmente se não demonstrar diligência na escolha e supervisão do fornecedor.
🔹 Cláusulas Essenciais em Contratos de BPO
- Finalidade específica do tratamento de dados: o contrato precisa deixar claro exatamente para quais atividades o BPO pode usar os dados dos clientes.
- Padrões mínimos de segurança da informação: requisitos técnicos que o BPO deve seguir, auditáveis pela contratante.
- Obrigação de notificação de incidentes: prazo claro para o BPO comunicar a contratante em caso de vazamento ou acesso indevido, permitindo que a empresa cumpra seus próprios prazos legais de notificação à ANPD.
- Direito de auditoria: cláusula que permite à contratante verificar, periodicamente, se o BPO está de fato seguindo os padrões contratados.
- Destino dos dados ao final do contrato: processo formal de devolução ou eliminação segura dos dados quando a relação com o BPO termina.
Esse cuidado se conecta ao que já detalhamos sobre como fazer o RIPD para IA de atendimento — a terceirização amplia o escopo de risco que precisa ser mapeado.
🔹 Como Avaliar um BPO Antes de Contratar
- Solicite evidências concretas de certificações e práticas de segurança da informação, não apenas declarações genéricas de conformidade.
- Verifique o histórico do fornecedor em relação a incidentes de segurança anteriores, se disponível publicamente.
- Avalie se o BPO tem um encarregado de dados próprio ou processo formal de resposta a incidentes.
🔹 Supervisão Contínua Após a Contratação
A responsabilidade da empresa contratante não termina na assinatura do contrato. Auditorias periódicas, revisão de logs de acesso e testes de resposta a incidentes simulados garantem que o padrão contratado continue sendo praticado ao longo do tempo, não apenas no momento da due diligence inicial.
Reflexão Final: Terceirizar Atendimento Não É Terceirizar Responsabilidade
Empresas que tratam a contratação de um BPO apenas como decisão operacional, sem envolver jurídico e compliance na estruturação do contrato, estão expostas a um risco que só aparece quando algo já deu errado. A LGPD deixou claro: quem é dono do dado do cliente continua responsável por ele, onde quer que esse dado seja tratado.
Veja também nosso Glossário de CX e o conteúdo sobre auditoria de IA e explicabilidade.
Um comentário de Euriale Voidela: A pergunta que toda empresa deveria fazer antes de assinar um contrato de BPO não é apenas “quanto isso custa”, é “o que acontece com os dados dos nossos clientes se esse fornecedor tiver um incidente de segurança amanhã”. Quem não tem essa resposta clara ainda não está pronto para terceirizar com segurança. Compartilho mais reflexões assim no meu LinkedIn.
Quer revisar a conformidade LGPD do seu contrato de terceirização de atendimento? Fale com a Customer Centric Consulting pelo WhatsApp (11) 99958-3954 ou pelo e-mail euriale@customercentric.com.br.
