DPO como serviço, com pentest no seu ambiente

É a contratação do encarregado de dados como serviço externo. A Resolução CD/ANPD nº 18/2024 admite que o encarregado seja pessoa natural, do quadro da empresa ou externa, ou pessoa jurídica (art. 12). A empresa continua responsável pela conformidade (art. 11), e a designação é feita por ato escrito, datado e assinado (art. 3º).

Na prática, são nomes diferentes para a mesma contratação: o encarregado vem de fora do quadro da empresa, como pessoa natural ou jurídica, o que a Resolução CD/ANPD nº 18/2024 admite expressamente (art. 12). O que muda de um fornecedor para outro é o que vem junto com a função. No nosso caso, vem o teste de intrusão no ambiente, para encontrar vazamento de dados que a documentação não mostra.

Porque o dever de segurança do art. 46 da LGPD não se cumpre só com política e treinamento. O encarregado presta assistência na definição das medidas de segurança e no registro de incidentes (Resolução 18/2024, art. 16). O teste de intrusão dá evidência sobre o que o ambiente realmente expõe, e essa evidência melhora o relatório de impacto, o plano de incidente e a escolha do que corrigir primeiro.

A norma define conflito como a situação que compromete a objetividade e o julgamento técnico do encarregado (art. 2º, II) e cita o acúmulo com atividades que envolvam decisões estratégicas sobre o tratamento (art. 19, §1º, II). Entendemos que o teste é avaliação técnica e não decide sobre o tratamento, e mantemos a separação: testamos e relatamos, a empresa decide e executa. Qualquer situação próxima da linha é declarada ao cliente (art. 20). A verificação é feita no caso concreto (art. 19, §2º), e a empresa pode submeter essa leitura ao próprio jurídico.

Não. A responsabilidade pela conformidade do tratamento é do agente de tratamento (art. 11), e o desempenho das atribuições do encarregado não a transfere a ele perante a ANPD (art. 17). O encarregado orienta, assiste e faz a ponte com os titulares e com a ANPD.

A LGPD diz que o controlador deve indicar encarregado (art. 41). Agentes de tratamento de pequeno porte podem ser dispensados, mas precisam manter um canal de comunicação com o titular (Regulamento do encarregado, art. 3º, §3º), e a dispensa depende de a empresa se enquadrar na Resolução CD/ANPD nº 2/2022, o que não vale automaticamente para toda empresa pequena. Vale confirmar o enquadramento antes de decidir.

Sim. Nossa base é Governador Valadares/MG, e o atendimento é remoto em todo o Brasil. Reuniões e treinamentos são feitos por videoconferência, o pentest externo é feito pela internet e o teste da rede interna, quando entra no escopo, depende de um acesso combinado com a equipe do cliente.

Não. Só com autorização escrita do cliente, com escopo e período de testes definidos antes. Sem autorização, nada é executado. Achado grave é comunicado assim que confirmado, sem esperar o relatório final.

Por si só, não. Falha é uma fragilidade, e incidente é um evento que compromete dados pessoais. Se o teste encontrar sinais de que o dado já foi acessado por terceiros, o caso passa a ser tratado como possível incidente, com análise forense e avaliação da comunicação à ANPD e aos titulares (LGPD, art. 48, e Resolução CD/ANPD nº 15/2024).