Controlador x operador: os dois agentes de tratamento da LGPD
Uma loja virtual decide coletar o CPF do cliente para emitir nota fiscal; a empresa de tecnologia que hospeda o banco de dados dessa loja apenas armazena o que recebeu, seguindo instruções contratuais. A loja é controladora, a hospedagem é operadora — e essa distinção, que parece técnica, define quem responde pelo quê quando algo dá errado com aquele dado.
Controlador: quem toma as decisões sobre o tratamento
O art. 5º, inciso VI, define o controlador como a pessoa natural ou jurídica que decide sobre o tratamento de dados pessoais, incluindo a finalidade e os meios usados. É o controlador quem escolhe por que coletar, o que fazer com o dado e por quanto tempo mantê-lo — decisões que concentram nele a maior parte das obrigações da lei.
Operador: quem executa segundo as instruções recebidas
O inciso VII do mesmo artigo trata do operador como quem realiza o tratamento em nome do controlador, sem autonomia sobre a finalidade. Um escritório de contabilidade que processa a folha de pagamento de um cliente, seguindo instruções e finalidades definidas por esse cliente, atua tipicamente como operador daquela relação específica.
Por que a classificação muda a responsabilidade
O art. 42 estabelece que controlador e operador respondem pelos danos causados em razão do tratamento irregular de dados, mas o operador só responde diretamente quando descumpre as próprias obrigações da lei ou quando age contra as instruções lícitas do controlador. Um mesmo agente pode ser controlador em uma relação e operador em outra — a análise é sempre por finalidade e por contrato, não por rótulo fixo da empresa.
Como o contrato entre as partes documenta o papel de cada um
Na prática empresarial, é o contrato de prestação de serviço — não apenas a atividade em si — que costuma formalizar quem é controlador e quem é operador numa relação específica, detalhando finalidade autorizada, prazo de retenção e obrigações de segurança que o operador precisa cumprir. Contratos de tecnologia, hospedagem e processamento de folha de pagamento vêm incorporando cláusulas específicas de proteção de dados justamente para deixar essa distribuição de papéis documentada, o que facilita a apuração de responsabilidade quando algo dá errado.
O controlador conjunto, uma terceira figura possível
Existe ainda a hipótese de controle conjunto, quando duas ou mais organizações decidem em conjunto sobre finalidade e meios do tratamento — uma rede de franquias que compartilha o mesmo sistema de CRM entre franqueador e franqueados é um exemplo típico. Nesses casos, a responsabilidade solidária tende a ser mais discutida, porque nenhuma das partes decide sozinha sobre o tratamento daquele dado.
Proveniência
Conteúdo informativo; não substitui a análise individual de um advogado sobre o seu caso.
Onde buscar este serviço
O caminho descrito nesta página é público e não depende de contratação particular. Estes são os canais oficiais de atendimento:
- Defensoria Pública do seu estado ou da União, para orientação e representação jurídica gratuitas a quem não pode pagar advogado.
- O encarregado de dados (DPO) da própria empresa e, se não houver resposta, a ANPD pelos canais oficiais de petição.
Conteúdos relacionados
Links internos
Conteúdo informativo. Não substitui a análise individual de um advogado ou da Defensoria Pública sobre o seu caso.