Tempo de leitura: 11 min · Atualizado em 06/09/2026
Em regra, sim: sua empresa (como controladora dos dados) responde perante os clientes cujos dados vazaram, mesmo que a falha técnica tenha partido do prestador de TI terceirizado — mas isso não torna o prestador invisível para o titular. Pela LGPD (art. 42), o prestador que atua como operador e descumpre a lei ou as instruções lícitas da contratante também pode responder diretamente e de forma solidária perante o cliente lesado. Na prática, a contratante costuma ser cobrada primeiro por ser quem o cliente conhece, mas pode depois cobrar do prestador os prejuízos causados, se o contrato e as evidências técnicas sustentarem essa cobrança.
Por que a responsabilidade recai primeiro sobre quem contratou o serviço
Quando um cliente informa CPF, endereço, histórico de compras ou qualquer outro dado pessoal, ele está confiando essa informação à empresa com a qual tem relacionamento — não ao prestador de TI que administra os sistemas por trás das cortinas. Por isso, do ponto de vista do titular dos dados, pouco importa se o vazamento aconteceu por uma falha interna, por uma configuração incorreta feita pelo fornecedor ou por um acesso indevido através de credenciais do prestador: quem responde primeiro é a empresa que coletou e se beneficia do uso desses dados.
Essa lógica não é um capricho: a LGPD distingue quem decide como e para que os dados são usados (a empresa contratante, ou controladora) de quem apenas processa esses dados por conta dela (o prestador de TI, ou operador). Mas essa distinção não é só interna: pelo art. 42, §1º, I, da LGPD, o operador responde solidariamente pelos danos quando descumprir as obrigações da legislação de proteção de dados ou não tiver seguido as instruções lícitas do controlador — ou seja, o prestador também pode ser diretamente cobrado pelo titular, e não apenas em ação de regresso movida pela contratante. Na prática, porém, o cliente lesado normalmente aciona primeiro quem conhece e com quem tem relação contratual — e a controladora não se exime simplesmente apontando o dedo para o fornecedor.
O que costuma acontecer nesse tipo de falha
Vale diferenciar esse cenário de outras situações parecidas que aparecem no dia a dia. Aqui falamos de um vazamento causado por uma falha do prestador de TI enquanto o contrato de prestação de serviço está em vigor: um banco de dados deixado acessível por engano, uma vulnerabilidade não corrigida, um acesso indevido de terceiro que se aproveitou de uma brecha na infraestrutura do fornecedor, ou até um funcionário do prestador que manuseou informações de forma inadequada.
É diferente, por exemplo, de um ataque de ransomware direcionado à própria empresa, que costuma exigir uma resposta emergencial distinta (sobre isso, vale a leitura de https://phc.adv.br/?p=8835), e também é diferente de um provedor de nuvem que simplesmente perde ou corrompe uma base de dados sem que haja exposição indevida a terceiros (situação tratada em https://phc.adv.br/?p=8871). No caso que estamos tratando aqui, o ponto central é a exposição ou o acesso indevido a dados de clientes por falha de segurança do prestador durante a execução normal do contrato.
Passos imediatos que a empresa contratante deve tomar
Descoberto o incidente, a prioridade é conter o problema e reunir provas, nessa ordem. Isso costuma envolver isolar temporariamente o acesso do prestador aos sistemas afetados, trocar credenciais e chaves de acesso, e acionar uma auditoria técnica (interna ou de terceiros) para entender a extensão real do vazamento: quantos clientes foram afetados, que tipo de dado foi exposto e por quanto tempo a falha existiu.
Em paralelo, a empresa precisa avaliar se o incidente exige comunicação aos titulares e às autoridades competentes, considerando a gravidade e o risco concreto aos clientes. E um ponto costuma ser negligenciado sob pressão: documentar cuidadosamente toda a cadeia de fatos, os relatórios técnicos e a comunicação trocada com o prestador de TI. Esse material é o que, mais adiante, vai sustentar (ou inviabilizar) uma cobrança contra o fornecedor.
Seu caso envolve uma situação semelhante?
Cada caso possui particularidades e deve ser analisado individualmente. Para informações sobre análise jurídica do seu caso, entre em contato com o escritório.
Como funciona o direito de regresso contra o prestador de TI
Responder perante o cliente não significa arcar sozinho com o prejuízo. Se a falha de fato partiu do prestador, a empresa contratante pode buscar ressarcimento dos valores pagos a título de indenização, além dos custos de remediação — auditoria forense, comunicação com clientes, eventuais sanções administrativas e até a perda de contratos motivada pelo incidente.
Essa cobrança, na prática, depende de alguns elementos. Primeiro, de uma cláusula contratual clara que atribua ao prestador a responsabilidade por falhas de segurança e obrigue a indenizar a contratante em caso de incidente causado por sua atuação. Segundo, de prova técnica consistente — normalmente um relatório forense — que demonstre que a origem do problema estava mesmo na infraestrutura, na configuração ou na conduta do fornecedor, e não em uma falha da própria empresa contratante. Terceiro, de que a contratante tenha cumprido as suas próprias obrigações mínimas de segurança e governança: se ela também negligenciou controles básicos, dificilmente vai conseguir transferir a totalidade do prejuízo ao fornecedor.
Um ponto importante para dimensionar o risco financeiro: o entendimento consolidado nos tribunais é de que o simples vazamento não gera, automaticamente, direito de indenização por dano moral para cada cliente afetado. É preciso demonstrar o abalo concreto sofrido em cada caso, o que reduz a exposição financeira da empresa, mas não elimina o dever de agir com transparência e de reparar prejuízos efetivamente comprovados.
Cláusulas que deveriam existir no contrato de TI (e ainda podem ser negociadas)
Boa parte das dores de cabeça nesse tipo de caso nasce de contratos de TI genéricos, copiados de modelo, sem cláusulas específicas de segurança da informação. Vale revisar — ou, se o contrato ainda estiver em negociação ou renovação, incluir — pontos como: obrigação expressa do prestador de manter padrões mínimos de segurança e, se aplicável, certificações reconhecidas; dever de notificar a contratante imediatamente em caso de qualquer incidente, mesmo suspeito; direito de auditoria e de vistoria técnica periódica; cláusula de indenização (indemnity) sem limites artificialmente baixos, que na prática esvaziam a proteção; e, quando possível, exigência de seguro cibernético próprio do prestador.
Também merece atenção a política de acessos: quanto menor o número de pessoas e sistemas do prestador com acesso irrestrito aos dados de clientes, menor o risco. Revisar periodicamente quem tem acesso a quê — e revogar o que não é mais necessário — é uma medida simples que evita boa parte dos incidentes desse tipo.
Cuidado para não confundir com situações parecidas
Esse tema costuma se misturar, na cabeça de quem não é da área jurídica, com outras situações que têm nome parecido, mas consequências diferentes. Se o problema não é um vazamento durante a vigência do contrato, mas sim um prestador que continua com acesso aos sistemas mesmo depois de o contrato ter terminado — e não devolveu nem revogou credenciais —, a análise jurídica é outra, tratada com mais detalhe em https://phc.adv.br/?p=8904.
Também é diferente da situação do cliente final que teve seus próprios dados vazados por uma empresa qualquer e quer saber quais direitos pode exercer diretamente — essa perspectiva do consumidor, e não da empresa contratante, está em https://phc.adv.br/?p=8669. E não se confunde, ainda, com o caso de uma empresa terceira que simplesmente perde fisicamente documentos que continham dados pessoais, sem relação com sistemas de TI ou prestação de serviço contínua, situação abordada em https://phc.adv.br/?p=8861. O artigo que você está lendo trata especificamente da empresa que descobre que o seu próprio prestador de TI, durante a execução do contrato, causou a exposição de dados de clientes — e precisa saber quem responde e como se proteger.
Perguntas frequentes
A empresa pode simplesmente dizer que a culpa foi do prestador de TI e não indenizar os clientes?
Não é essa a lógica que costuma prevalecer. Perante o cliente, quem respondeu pela coleta e pelo uso dos dados é a empresa contratante, independentemente de quem causou tecnicamente a falha. Apontar o prestador como responsável pode (e deve) acontecer, mas isso se resolve depois, em uma cobrança à parte contra o fornecedor — não como defesa direta perante o cliente afetado.
É preciso indenizar automaticamente todos os clientes cujos dados vazaram?
Não necessariamente. O entendimento predominante é de que o dano moral não decorre automaticamente do vazamento em si; é preciso que cada titular demonstre um abalo concreto. Ainda assim, isso não afasta outras obrigações da empresa, como comunicar o incidente, corrigir a falha e, quando houver prejuízo material comprovado (como fraude decorrente do vazamento), reparar esse dano específico.
O que fazer primeiro ao descobrir que o vazamento partiu do prestador de TI?
Conter o problema — isolando acessos e trocando credenciais —, acionar uma investigação técnica para dimensionar o incidente e reunir provas da origem da falha. Essa documentação inicial é o que vai sustentar tanto a resposta aos clientes quanto uma eventual cobrança contra o fornecedor mais adiante.
Vale a pena negociar cláusulas de segurança e seguro cibernético com o prestador de TI mesmo em contratos já em andamento?
Sim. Contratos de TI podem e costumam ser revisados em renovações ou aditivos. Incluir obrigações de segurança, notificação de incidentes, auditoria e um seguro cibernético do próprio prestador reduz sensivelmente o risco de a empresa contratante ficar sozinha com o prejuízo caso algo dê errado.
A empresa contratante também pode ser responsabilizada se não tiver exigido segurança mínima do fornecedor?
Pode, sim. Se ficar demonstrado que a própria contratante contribuiu para o problema — por exemplo, contratando um fornecedor sem qualquer verificação de práticas de segurança, ou ignorando alertas anteriores —, isso tende a dificultar (ou reduzir) a cobrança de regresso contra o prestador, já que parte da responsabilidade seria da própria empresa.
Fontes:
Artigos relacionados
- Empresa de tecnologia entregou aplicativo mobile com falhas graves de segurança em dados de usuários LGPD: quem responde?
- Gateway de pagamento sofreu vazamento e expôs dados dos meus clientes: minha empresa também pode ser responsabilizada?
- Golpista usou nome e logotipo da minha empresa para aplicar fraude em clientes: quem responde?
- Clonaram o WhatsApp da minha empresa e clientes fizeram Pix para golpistas: quem responde?
Veja também nosso conteúdo completo sobre direito digital.
Seu caso envolve uma situação semelhante?
Cada caso possui particularidades e deve ser analisado individualmente. Para informações sobre análise jurídica do seu caso, entre em contato com o escritório.
