Controlador e operador LGPD exercem funções diferentes no tratamento de dados pessoais. O controlador define as finalidades e as decisões essenciais; o operador trata os dados em nome dele, dentro de instruções lícitas. Além disso, a classificação depende da atividade real, não apenas do nome escrito no contrato. Identificar corretamente cada papel ajuda a distribuir obrigações, estruturar fornecedores e responder a incidentes sem criar uma falsa transferência de responsabilidade.
O que você encontrará neste artigo
Quem são controlador e operador LGPD
A Lei Geral de Proteção de Dados Pessoais chama controlador e operador de agentes de tratamento. Nesse sentido, controlador é a pessoa natural ou jurídica, de direito público ou privado, a quem competem as decisões referentes ao tratamento. Por sua vez, o operador realiza o tratamento em nome do controlador.
Na relação entre controlador e operador LGPD, a diferença central está no poder de decisão. Em primeiro lugar, o controlador escolhe por que os dados serão usados e define elementos essenciais da operação. Já o operador executa atividades por conta do controlador, seguindo orientações compatíveis com a lei. Ainda assim, uma mesma organização pode ocupar posições diferentes em operações distintas.
Por isso, não existe uma classificação única e permanente para todo fornecedor. Uma empresa de tecnologia pode atuar como operadora ao hospedar uma base segundo instruções do cliente. Porém, pode ser controladora quando usa dados de seus próprios funcionários, escolhe finalidades próprias ou desenvolve tratamento independente.
Como identificar controlador e operador LGPD
O contrato é um documento importante, mas não altera a realidade. A orientação oficial da ANPD sobre agentes de tratamento adota uma análise funcional. Portanto, a classificação deve refletir a prática. Em outras palavras, é preciso observar quem efetivamente exerce as competências em cada operação.
Perguntas que revelam o poder de decisão
Algumas perguntas ajudam a separar os papéis. Considere quem determinou a finalidade, qual parte escolheu os dados necessários, onde foram definidos os titulares, a retenção e os destinatários e, por fim, quem decide se a operação continua ou termina. Quando as respostas se concentram em uma parte, elas indicam, em geral, a posição de controlador.
Por outro lado, quem recebe instruções documentadas e executa tarefas técnicas para atingir a finalidade definida por outro tende a atuar como operador. Ainda assim, alguma autonomia operacional não transforma automaticamente o prestador em controlador. A avaliação deve distinguir decisões essenciais de escolhas meramente técnicas ou organizacionais.
Exemplos práticos
- Uma clínica decide coletar dados de pacientes para prestar atendimento: a clínica é controladora nessa operação.
- Um fornecedor processa a folha conforme regras e dados enviados pela empresa contratante: normalmente atua como operador.
- Uma plataforma define finalidades próprias para análise de comportamento e publicidade: pode ser controladora nessa atividade, mesmo que também preste serviços operacionais.
- Duas empresas tomam decisões comuns e convergentes sobre um tratamento: a situação pode exigir análise de controladoria conjunta.
Por fim, o ponto decisivo não é o setor econômico, o porte da empresa ou o rótulo “prestador”. Em resumo, o que importa é a função concretamente exercida no ciclo de tratamento.
Obrigações de controlador e operador LGPD
O controlador deve demonstrar a base legal aplicável, atender direitos dos titulares, prestar informações claras e adotar medidas de segurança proporcionais aos riscos. Além disso, precisa selecionar fornecedores com capacidade adequada, registrar operações relevantes e orientar o tratamento de forma verificável.
O operador deve tratar os dados de acordo com as instruções do controlador e em conformidade com a LGPD. Além disso, deve aplicar medidas técnicas e administrativas de segurança, restringir acessos, manter registros quando exigidos e fornecer informações para que, dessa forma, o controlador cumpra suas próprias obrigações.
Na prática, controlador e operador LGPD precisam combinar fluxos de resposta. Pedidos de acesso, correção ou eliminação podem chegar ao fornecedor, mas o controlador deve saber como serão encaminhados. Da mesma forma, auditorias, término do contrato e devolução ou eliminação da base exigem responsabilidades definidas antes do problema.
Responsabilidade de controlador e operador LGPD
A responsabilidade não é automaticamente solidária em toda relação. Com efeito, o artigo 42 da LGPD prevê hipóteses específicas. O operador responde solidariamente quando descumpre obrigações da legislação de proteção de dados ou quando não segue instruções lícitas do controlador. Nessa situação, ele se equipara ao controlador para fins de responsabilização.
Os controladores diretamente envolvidos no tratamento do qual decorreram danos também podem responder solidariamente, observadas as regras legais. Por sua vez, o artigo 43 apresenta hipóteses de exclusão, como a prova de que o agente não realizou o tratamento atribuído, de que não houve violação à legislação ou de que o dano decorreu de culpa exclusiva do titular ou de terceiro.
Assim, uma cláusula contratual pode organizar deveres entre as partes, prever regresso e distribuir custos. Contudo, ela não elimina direitos do titular nem afasta a aplicação da lei. A defesa depende de documentação coerente, controles reais e evidências do tratamento efetivamente realizado.
Contrato entre controlador e operador LGPD
Um contrato entre controlador e operador LGPD bem estruturado transforma decisões abstratas em obrigações verificáveis. Por isso, ele deve refletir a operação real, os sistemas utilizados e os riscos do serviço. Por exemplo, modelos genéricos tendem a falhar justamente quando surgem incidentes, auditorias ou pedidos de titulares.
Entre as cláusulas que merecem atenção estão:
- objeto, finalidade e duração do tratamento;
- categorias de dados e grupos de titulares envolvidos;
- instruções documentadas e procedimento para sua atualização;
- controles de acesso, confidencialidade, registro de eventos e segurança;
- regras para contratação de suboperadores e fluxo de responsabilidade;
- apoio ao atendimento de direitos e às avaliações de risco;
- comunicação de incidentes com conteúdo mínimo e prazo operacional;
- auditorias, evidências de conformidade e tratamento de não conformidades;
- devolução, portabilidade, retenção e eliminação ao término do serviço;
- cooperação com autoridades e preservação de provas.
Também convém definir quem mantém o inventário, quem responde a cada canal e como decisões urgentes serão aprovadas. Essas regras reduzem atrasos e evitam ordens contraditórias.
Como controlador e operador LGPD devem agir em incidentes
O controlador avalia o risco ou dano relevante e, quando necessário, comunica a ANPD e os titulares. Nesse contexto, o procedimento oficial de comunicação de incidentes informa o prazo regulatório aplicável e os dados que devem acompanhar a notificação.
Em incidentes, controlador e operador LGPD precisam compartilhar informações com rapidez suficiente para viabilizar a avaliação. Portanto, o contrato deve prever um prazo operacional menor que o prazo regulatório do controlador, além de indicar canal de emergência, responsáveis, formato do relatório e preservação de registros. A comunicação inicial pode ser complementada, mas não deve ocultar incertezas relevantes.
Logo após detectar o evento, as partes devem conter o incidente, proteger evidências, mapear titulares e dados afetados e registrar as decisões. Atribuir culpa antes de controlar o risco costuma atrasar a resposta e ampliar o dano.
Erros comuns ao definir os papéis
- chamar todo prestador de operador sem examinar suas finalidades próprias;
- usar o contrato para encobrir decisões exercidas na prática;
- confundir operador com encarregado pelo tratamento de dados;
- ignorar controladoria conjunta ou atividades independentes do fornecedor;
- autorizar suboperadores sem critérios e sem visibilidade da cadeia;
- prever comunicação de incidente sem canal, conteúdo ou prazo operacional;
- encerrar o contrato sem determinar o destino da base e das cópias de segurança.
Outro erro recorrente é tentar resolver toda a relação em uma única cláusula. Afinal, o papel pode variar conforme produto, finalidade, conjunto de dados e etapa do serviço. Por isso, anexos técnicos e matrizes de responsabilidade costumam oferecer mais precisão.
Checklist para revisar fornecedores e operações
- Mapeie a finalidade e o fluxo de dados da operação específica.
- Identifique quem toma cada decisão essencial.
- Registre a justificativa da classificação das partes.
- Verifique base legal, transparência e direitos dos titulares.
- Documente instruções e limites de uso.
- Avalie segurança, suboperadores e transferências internacionais.
- Defina resposta a incidentes e pedidos de titulares.
- Estabeleça auditoria, retenção, devolução e eliminação.
- Revise a classificação quando o serviço ou a finalidade mudar.
Esse trabalho deve integrar um programa contínuo. Como complemento, o nosso guia sobre LGPD na prática apresenta o contexto geral de adequação, bases legais, direitos e governança.
Perguntas frequentes
A mesma empresa pode ser controladora e operadora?
Sim. Ela pode ser operadora em um serviço prestado ao cliente e controladora em atividades próprias. A classificação de controlador e operador LGPD deve ser feita por operação, e não de forma genérica para toda a organização.
É obrigatório ter contrato entre controlador e operador?
A LGPD não impõe um modelo contratual único. Porém, instruções, limites, segurança, suboperadores e cooperação precisam ser demonstráveis. Desse modo, um contrato claro é uma das principais evidências para organizar e provar essa relação.
O operador deve cumprir qualquer instrução?
Não. A lei trata de instruções lícitas e exige conformidade com a legislação. Diante de ordem incompatível com a LGPD, o operador deve interromper a execução, registrar a divergência e buscar correção pelo canal contratual adequado.
O encarregado é um operador?
Não necessariamente. O encarregado atua como canal de comunicação e exerce funções de orientação previstas na legislação e na regulamentação. Já o operador trata dados em nome do controlador. Os conceitos possuem funções distintas.
O que é um suboperador?
É o agente contratado pelo operador para auxiliá-lo no tratamento realizado em nome do controlador. Consequentemente, a contratação deve respeitar as regras acordadas e preservar obrigações equivalentes de segurança, confidencialidade e cooperação.
Próximos passos para reduzir riscos
Definir controlador e operador LGPD exige mapear decisões, contratos e fluxos reais. Inicialmente, a revisão deve começar pelas operações mais sensíveis, pelos fornecedores com maior acesso e pelas atividades que envolvem grande volume de dados. Em seguida, a empresa pode corrigir documentos, controles e rotinas de resposta.
A Rocco & Canonica — Advogados auxilia empresas na classificação dos agentes de tratamento, revisão contratual e estruturação da governança. Para avaliar uma operação específica e adequar responsabilidades à realidade do negócio, conheça nossa atuação em LGPD e proteção de dados.
