Controlador e operador: quem é quem na LGPD?
A LGPD distingue dois agentes no tratamento de dados: o controlador é quem toma as decisões sobre o tratamento — determina a finalidade e os meios. O operador é quem realiza o tratamento em nome do controlador — mas não decide sobre finalidade. Na prática da terceirização: a empresa que contrata é o controlador; o prestador de serviços que processa dados é o operador.
Exemplos de relações controlador-operador
- Empresa contrata processadora de folha de pagamento: empresa é controlador, processadora é operador
- Loja contrata gateway de pagamento: loja é controlador, gateway é operador
- Hospital contrata sistema de prontuário eletrônico: hospital é controlador, fornecedor do sistema é operador
- Empresa contrata call center terceirizado: empresa é controlador, call center é operador
Obrigações do controlador em relação ao operador
- Escolher operadores que ofereçam garantias suficientes de conformidade com a LGPD
- Celebrar contrato (DPA — Data Processing Agreement) com cláusulas de proteção de dados
- Definir claramente a finalidade do tratamento autorizado
- Monitorar o cumprimento pelo operador
O que deve constar no contrato com o operador (DPA)
- Descrição dos dados pessoais tratados e das finalidades
- Duração do tratamento
- Obrigação de sigilo e segurança
- Proibição de usar os dados para finalidade própria
- Obrigação de notificar incidentes imediatamente
- Direito de auditoria pelo controlador
- Obrigação de eliminar os dados ao final do contrato
- Proibição de subcontratar sem autorização prévia
Responsabilidade solidária em caso de dano
Se o operador tratar dados em desacordo com a instrução do controlador ou com a LGPD, responde solidariamente com o controlador pelos danos causados aos titulares. O controlador não se exime pelo simples fato de ter terceirizado o tratamento — especialmente se não adotou as medidas adequadas de seleção e monitoramento do operador.
Perguntas frequentes
Fornecedor de software SaaS (nuvem) é operador?
Em geral sim — quando o SaaS processa dados dos clientes da empresa contratante segundo as instruções desta. O contrato de serviço deve incluir cláusulas de DPA. Se o fornecedor usa os dados para fins próprios (melhoria do produto, publicidade), pode ser controlador independente ou controlador conjunto — o que requer análise específica.
Escritório de contabilidade que processa dados de funcionários é operador?
Sim — e deve estar vinculado por contrato com cláusulas de proteção de dados. Muitas empresas contratam contabilidade sem formalizar esse aspecto, o que é lacuna de conformidade.