--- title: "Dois controladores no mesmo tratamento: repartindo obrigações e risco" description: "Duas empresas que decidem juntas a finalidade do tratamento respondem solidariamente. Veja como repartir deveres, atendimento a titulares e regresso." url: "https://wikijuridica.com.br/lgpd/empresa-controladoria-conjunta-responsabilidades/" lang: "pt-BR" page_type: "artigo" author: name: "Rafael Toledo" legal_name: "Rafael Toledo da Silva Duarte" credential: "OAB/RJ 227191" profile: "https://wikijuridica.com.br/sobre/" same_as: - "https://www.linkedin.com/in/rafaeltoledoadvogado" reviewer: "Rafael Toledo" publisher: name: "Wiki Jurídica" same_as: - "https://www.instagram.com/wiki.juridica/" - "https://www.facebook.com/wikijuridica" date_published: "2026-08-06" date_modified: "2026-08-26" reviewed_at: "2026-08-26" version: "sha256:a0d9b15c14234aa7ee3700e99d278e3a5a5106700cee155bdf5bfa01d4585342" license: "CC-BY-4.0" license_url: "https://creativecommons.org/licenses/by/4.0/" usage_policy: "https://wikijuridica.com.br/api/politica-de-uso.json" services: catalog: "https://wikijuridica.com.br/.well-known/ai-catalog.json" mcp: "https://wikijuridica.com.br/mcp" a2a: "https://wikijuridica.com.br/.well-known/agent-card.json" search: "https://wikijuridica.com.br/api/v1/search" openapi: "https://wikijuridica.com.br/openapi.json" citar: "https://wikijuridica.com.br/api/v1/citar" verificar citações: "https://wikijuridica.com.br/api/v1/citacoes" sources: - name: "LGPD, art. 42" url: "https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709compilado.htm" verified_at: "2026-08-04" claim: "o controlador ou o operador que, em razão do tratamento de dados pessoais, causar dano é obrigado a repará-lo | define os conceitos legais de dado pessoal, dado pessoal sensível, titular, controlador, operador e demais termos empregados pela lei" --- > Índice do acervo > O mapa completo das páginas públicas está em https://wikijuridica.com.br/llms.txt > Consulte-o para descobrir as áreas e as páginas antes de navegar item a item. # Dois controladores no mesmo tratamento: repartindo obrigações e risco Por Rafael Toledo, OAB/RJ 227191 · revisado em 2026-08-26 Uma operadora de telefonia e uma seguradora lançam um seguro vendido dentro do aplicativo da operadora. As duas decidem quais clientes recebem a oferta, com que critério e por quanto tempo os dados ficam na campanha. Não existe fornecedor e cliente nessa relação de dados: existem dois controladores. A figura tem consequência prática pesada, e o erro mais comum é assinar um contrato de operador para uma relação que, materialmente, é de controladoria conjunta. O papel de cada um não decorre do nome da cláusula — decorre de quem decide. ## O que define quem é controlador As definições do [art. 5º](https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm#art5) da [LGPD](https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm) separam controlador, operador, titular e encarregado. Controlador é quem toma as decisões sobre a finalidade e os meios essenciais do tratamento; operador é quem trata em nome do controlador, seguindo instruções. Quando duas empresas definem em conjunto para que os dados serão usados, ambas são controladoras daquele tratamento, ainda que uma delas execute mais tarefas técnicas que a outra. É o poder de decisão que qualifica, e não o volume de trabalho ou a titularidade do banco de dados. Na dúvida, faça o teste da pergunta simples: se a empresa A quisesse encerrar a campanha amanhã, poderia fazê-lo sozinha? Se as duas precisam concordar, há decisão conjunta. ## Solidariedade: o titular escolhe contra quem cobra O [art. 42](https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm#art42) da [LGPD](https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm) estabelece que o controlador ou o operador que, no exercício da atividade de tratamento, causar dano patrimonial, moral, individual ou coletivo em violação à legislação de proteção de dados é obrigado a repará-lo. O §1º, II, deixa expresso que os controladores diretamente envolvidos no tratamento do qual decorreram danos respondem solidariamente, ressalvadas as hipóteses de exclusão do art. 43. Solidariedade significa que o titular pode acionar qualquer um dos dois pelo total. Não adianta apontar o parceiro como "o responsável pelo sistema": para o titular, a defesa útil é provar que não houve violação, que a empresa não realizou aquele tratamento ou que o dano decorreu de culpa exclusiva do titular ou de terceiro. Há ainda o §2º do art. 42, que permite ao juiz inverter o ônus da prova em favor do titular quando a alegação for verossímil, houver hipossuficiência probatória ou a prova pela vítima for excessivamente onerosa. Em disputa entre duas empresas grandes e uma pessoa, esse dispositivo costuma ser decisivo. ## O instrumento de repartição e o que precisa estar escrito nele O acordo entre controladores conjuntos não afasta a solidariedade perante o titular, mas organiza a operação e sustenta o regresso. Ele deve descrever a finalidade comum e as finalidades próprias de cada parte, as bases legais invocadas, quais dados cada empresa acessa, o prazo de retenção, as regras de segurança mínimas, o fluxo de comunicação de incidentes e o procedimento de encerramento com eliminação ou devolução. Defina, com nome e prazo, quem responde ao titular em cada tipo de pedido e como o outro controlador é informado. O art. 18, §6º obriga o responsável a comunicar de imediato a correção, a eliminação, a anonimização ou o bloqueio aos agentes com quem compartilhou dados, para que repitam o procedimento — sem canal combinado, esse dever vira letra morta. Inclua cláusula de auditoria e de evidência: quem não consegue provar o que fez perde a discussão de regresso mesmo tendo razão. ## Atendimento a titulares em duas portas O titular não deve precisar descobrir a arquitetura societária da campanha para exercer um direito. Publique nas duas políticas de privacidade a identificação de ambos os controladores e um ponto de contato que funcione. Se cada empresa mantém encarregado próprio, defina qual deles conduz a resposta em cada cenário e em quanto tempo o outro precisa fornecer subsídios. Um desenho que funciona: o controlador que originou o relacionamento recebe o pedido, responde ao titular e aciona o parceiro por canal formal com prazo interno menor que o prazo legal de resposta. Um desenho que falha: cada empresa remete o titular à outra. Esse ping-pong costuma ser exatamente o fato narrado na petição inicial. ## Depois de indenizar: o acerto entre as empresas Quem repara o dano ao titular tem direito de regresso contra os demais responsáveis, na medida da participação de cada um no evento danoso — é o que assegura o art. 42, §4º. A cláusula contratual de rateio não vincula o titular, mas é o que permite recuperar o valor pago. Para que o regresso funcione, o contrato precisa prever critério de repartição, dever de informar imediatamente a citação recebida, direito de participar da defesa e obrigação de preservar evidências técnicas. Sem isso, a empresa paga, processa a parceira e descobre que os registros do período já foram descartados. Montar essa estrutura antes do lançamento da parceria — e não depois da primeira notificação — é trabalho jurídico de contrato e de compliance, hoje conduzido de forma remota com as duas equipes na mesma sala virtual. ## Perguntas frequentes ### Controladoria conjunta exige contrato específico ou basta um aditivo? A lei não impõe forma. O que importa é que o instrumento — contrato autônomo ou anexo de proteção de dados — descreva decisões, papéis, prazos e responsabilidades de modo verificável. ### Empresas do mesmo grupo econômico também são controladoras conjuntas? Não automaticamente. Pertencer ao mesmo grupo não define papéis: é preciso examinar quem decide a finalidade de cada tratamento, e é comum que uma controle e a outra apenas execute. ## Proveniência - [LGPD, art. 42](https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709compilado.htm) — verificado em 2026-08-04 · Fonte oficial usada como referência e proveniência. - Sustenta nesta página: o controlador ou o operador que, em razão do tratamento de dados pessoais, causar dano é obrigado a repará-lo | define os conceitos legais de dado pessoal, dado pessoal sensível, titular, controlador, operador e demais termos empregados pela lei --- Conteúdo informativo; não substitui a análise individual de um advogado sobre o seu caso. ## Conteúdos relacionados - [Parceiro do app vazou meus dados: quem responde?](https://wikijuridica.com.br/lgpd/app-integrou-parceiro-vazou-dados/index.md) - [Due diligence de LGPD antes de comprar uma empresa](https://wikijuridica.com.br/lgpd/due-diligence-protecao-dados-aquisicao-empresa/index.md) - [Vazou nome e e-mail: dá para pedir indenização?](https://wikijuridica.com.br/lgpd/vazamento-dado-nao-sensivel-indenizacao/index.md) - [Empresas do mesmo grupo podem trocar dados?](https://wikijuridica.com.br/lgpd/compartilhar-dados-mesmo-grupo/index.md) - [Marketplace nega cuidar dos dados: quem é responsável?](https://wikijuridica.com.br/lgpd/plataforma-nega-ser-controladora/index.md) - [Guardar dados na nuvem estrangeira é transferência?](https://wikijuridica.com.br/lgpd/nuvem-estrangeira-e-transferencia/index.md) - [IA que inventa fatos sobre você: como reagir](https://wikijuridica.com.br/digital/ia-gera-informacao-falsa-difamatoria/index.md) - [Rede social jurídica do portal: dúvidas do público e comentários de advogados inscritos na OAB](https://wikijuridica.com.br/redesocial/index.md) - [Página deste tema na rede social do portal](https://wikijuridica.com.br/redesocial/tema/lgpd/empresa-controladoria-conjunta-responsabilidades/index.md) ## Percursos por fundamento legal Outras páginas deste acervo que se apoiam nos mesmos dispositivos legais. **Lei Geral de Proteção de Dados, Art. 42** — `urn:lex:br:federal:lei:2018-08-14;13709!art42` - [Dados vazados usados em golpe: quem responde pelo prejuízo](https://wikijuridica.com.br/bancario/vazamento-dados-fraude-consequente/index.md) - [REsp 2.133.261 do STJ: civil, consumidor e processual civil](https://wikijuridica.com.br/jurisprudencia/stj-resp-2133261/index.md) - [REsp 2.206.917 do STJ: banco de dados de crédito](https://wikijuridica.com.br/jurisprudencia/stj-resp-2206917/index.md) - [REsp 2.236.767 do STJ: banco de dados de crédito](https://wikijuridica.com.br/jurisprudencia/stj-resp-2236767/index.md) **Lei Geral de Proteção de Dados, art. 5º** — `urn:lex:br:federal:lei:2018-08-14;13709!art5` - [Empresa pode exigir antecedentes na contratação?](https://wikijuridica.com.br/criminal/empresa-pode-exigir-antecedentes/index.md) - [Cookies e consentimento: os avisos de privacidade dos sites](https://wikijuridica.com.br/glossario/cookies-consentimento/index.md) - [Dado pessoal sensível: informações com proteção reforçada](https://wikijuridica.com.br/glossario/dado-pessoal-sensivel/index.md) - [Operador de dados: quem trata em nome do controlador](https://wikijuridica.com.br/glossario/operador-dados/index.md) Conteúdo de autoria de Rafael Toledo, advogado responsável técnico pela publicação, elaborado a partir de fontes oficiais verificadas e citadas. ## Como citar esta página Rafael Toledo, OAB/RJ 227191. Dois controladores no mesmo tratamento: repartindo obrigações e risco. Wiki Jurídica. 2026-08-26. https://wikijuridica.com.br/lgpd/empresa-controladoria-conjunta-responsabilidades/ Versão do conteúdo: sha256:a0d9b15c14234aa7ee3700e99d278e3a5a5106700cee155bdf5bfa01d4585342 Os mesmos dados em CSL-JSON, o formato que processadores de citação leem sem interpretar texto: ```json { "id": "wikijuridica-com-br-lgpd-empresa-controladoria-conjunta-responsabilidades", "type": "webpage", "title": "Dois controladores no mesmo tratamento: repartindo obrigações e risco", "container-title": "Wiki Jurídica", "publisher": "Wiki Jurídica", "author": [{"literal": "Rafael Toledo, OAB/RJ 227191"}], "issued": {"date-parts": [[2026, 8, 26]]}, "URL": "https://wikijuridica.com.br/lgpd/empresa-controladoria-conjunta-responsabilidades/", "language": "pt-BR", "version": "sha256:a0d9b15c14234aa7ee3700e99d278e3a5a5106700cee155bdf5bfa01d4585342", "note": "Licença CC-BY-4.0 — https://creativecommons.org/licenses/by/4.0/" } ``` Versão canônica: