Dois controladores no mesmo tratamento: repartindo obrigações e risco

O que define quem é controlador

As definições do art. 5º da LGPD separam controlador, operador, titular e encarregado. Controlador é quem toma as decisões sobre a finalidade e os meios essenciais do tratamento; operador é quem trata em nome do controlador, seguindo instruções.

Quando duas empresas definem em conjunto para que os dados serão usados, ambas são controladoras daquele tratamento, ainda que uma delas execute mais tarefas técnicas que a outra. É o poder de decisão que qualifica, e não o volume de trabalho ou a titularidade do banco de dados.

Na dúvida, faça o teste da pergunta simples: se a empresa A quisesse encerrar a campanha amanhã, poderia fazê-lo sozinha? Se as duas precisam concordar, há decisão conjunta.

Solidariedade: o titular escolhe contra quem cobra

O art. 42 da LGPD estabelece que o controlador ou o operador que, no exercício da atividade de tratamento, causar dano patrimonial, moral, individual ou coletivo em violação à legislação de proteção de dados é obrigado a repará-lo. O §1º, II, deixa expresso que os controladores diretamente envolvidos no tratamento do qual decorreram danos respondem solidariamente, ressalvadas as hipóteses de exclusão do art. 43.

Solidariedade significa que o titular pode acionar qualquer um dos dois pelo total. Não adianta apontar o parceiro como "o responsável pelo sistema": para o titular, a defesa útil é provar que não houve violação, que a empresa não realizou aquele tratamento ou que o dano decorreu de culpa exclusiva do titular ou de terceiro.

Há ainda o §2º do art. 42, que permite ao juiz inverter o ônus da prova em favor do titular quando a alegação for verossímil, houver hipossuficiência probatória ou a prova pela vítima for excessivamente onerosa. Em disputa entre duas empresas grandes e uma pessoa, esse dispositivo costuma ser decisivo.

O instrumento de repartição e o que precisa estar escrito nele

O acordo entre controladores conjuntos não afasta a solidariedade perante o titular, mas organiza a operação e sustenta o regresso. Ele deve descrever a finalidade comum e as finalidades próprias de cada parte, as bases legais invocadas, quais dados cada empresa acessa, o prazo de retenção, as regras de segurança mínimas, o fluxo de comunicação de incidentes e o procedimento de encerramento com eliminação ou devolução.

Defina, com nome e prazo, quem responde ao titular em cada tipo de pedido e como o outro controlador é informado. O art. 18, §6º obriga o responsável a comunicar de imediato a correção, a eliminação, a anonimização ou o bloqueio aos agentes com quem compartilhou dados, para que repitam o procedimento — sem canal combinado, esse dever vira letra morta.

Inclua cláusula de auditoria e de evidência: quem não consegue provar o que fez perde a discussão de regresso mesmo tendo razão.

Atendimento a titulares em duas portas

O titular não deve precisar descobrir a arquitetura societária da campanha para exercer um direito. Publique nas duas políticas de privacidade a identificação de ambos os controladores e um ponto de contato que funcione. Se cada empresa mantém encarregado próprio, defina qual deles conduz a resposta em cada cenário e em quanto tempo o outro precisa fornecer subsídios.

Um desenho que funciona: o controlador que originou o relacionamento recebe o pedido, responde ao titular e aciona o parceiro por canal formal com prazo interno menor que o prazo legal de resposta. Um desenho que falha: cada empresa remete o titular à outra. Esse ping-pong costuma ser exatamente o fato narrado na petição inicial.

Depois de indenizar: o acerto entre as empresas

Quem repara o dano ao titular tem direito de regresso contra os demais responsáveis, na medida da participação de cada um no evento danoso — é o que assegura o art. 42, §4º. A cláusula contratual de rateio não vincula o titular, mas é o que permite recuperar o valor pago.

Para que o regresso funcione, o contrato precisa prever critério de repartição, dever de informar imediatamente a citação recebida, direito de participar da defesa e obrigação de preservar evidências técnicas. Sem isso, a empresa paga, processa a parceira e descobre que os registros do período já foram descartados.

Montar essa estrutura antes do lançamento da parceria — e não depois da primeira notificação — é trabalho jurídico de contrato e de compliance, hoje conduzido de forma remota com as duas equipes na mesma sala virtual.