Sou controlador ou operador de dados? A resposta pode ser as duas ao mesmo tempo
A LGPD não separa empresas em dois times fixos. O papel é da relação, não da empresa, e errar o enquadramento pode te equiparar ao controlador na hora de responder por um dano.
A pergunta "sou controlador ou operador?" já nasce com um erro de fundo: ela pressupõe que você escolhe um dos dois rótulos e fica com ele para sempre. Não é assim que a LGPD (Lei 13.709/2018) funciona. O papel não é da empresa, é da relação: a mesma empresa pode ser controladora numa operação de dados e operadora na seguinte, às vezes no mesmo dia.
Isso importa porque a lei cobra coisas diferentes de cada papel, e joga a responsabilidade em cima de quem errou o enquadramento. Este texto mostra como decidir, relação por relação, e por que "eu só terceirizei" não é a defesa que parece ser.
As duas definições, direto da lei
O art. 5º da LGPD define os dois papéis assim:
Inciso VI, controlador: "pessoa natural ou jurídica, de direito público ou privado, a quem competem as decisões referentes ao tratamento de dados pessoais".
Inciso VII, operador: "pessoa natural ou jurídica, de direito público ou privado, que realiza o tratamento de dados pessoais em nome do controlador".
Reparem no verbo de cada um: o controlador decide, o operador executa. É essa diferença, e não o tamanho da empresa nem o contrato que vocês assinaram, que a lei usa para separar os dois.
O teste rápido: quem decide o quê, para quê e por quanto tempo
Na prática, a pergunta que separa os dois papéis é: quem decide a finalidade e os meios do tratamento? Quem decide para que o dado existe, o que fazer com ele e até quando guardar é controlador. Quem só processa porque outra empresa mandou, dentro do escopo que essa empresa definiu, é operador.
Alguns exemplos deixam isso concreto:
Sua empresa contrata um sistema de folha de pagamento para processar dados dos funcionários. Sua empresa é controladoradesses dados (decidiu contratar, decidiu o que coletar, decide até quando guardar). O sistema é operador (só processa segundo o que foi contratado).
Uma agência de marketing recebe a lista de contatos de um cliente para disparar uma campanha específica, nos termos que o cliente definiu. A agência é operadora daquela lista. O cliente continua controlador.
Essa mesma agência decide, por conta própria, comprar uma base de leads e enriquecer com dados de terceiros para prospectar por iniciativa própria. Nessa segunda operação, a agência é controladora, porque a decisão foi dela.
Note que a mesma empresa, no mesmo mês, aparece nos dois papéis, dependendo de qual dado e de qual decisão está em jogo. Não existe "eu sou operador" como identidade fixa. Existe "nesta operação, eu decidi ou eu só executei".
A armadilha: "eu só terceirizei" não te tira da responsabilidade
É aqui que o enquadramento errado custa dinheiro. O art. 39 da LGPD é direto sobre o que se espera do operador:
"O operador deverá realizar o tratamento segundo as instruções fornecidas pelo controlador, que verificará a observância das próprias instruções e das normas sobre a matéria."
Note a segunda parte, que quase ninguém lê até o fim: a lei não coloca só o operador na régua, ela também obriga o controlador a verificarse as instruções estão sendo seguidas. Contratar e esquecer não cumpre o artigo.
E quando alguém sai da linha, o art. 42 entra em cena. O caput obriga controlador ou operador a reparar dano causado por violação à lei. O §1º, inciso I é o trecho que muda tudo para quem acha que só terceirizou o problema:
"o operador responde solidariamente pelos danos causados pelo tratamento quando descumprir as obrigações da legislação de proteção de dados ou quando não tiver seguido as instruções lícitas do controlador, hipótese em que o operador equipara-se ao controlador, salvo nos casos de exclusão previstos no art. 43 desta Lei".
Em outras palavras: o operador que descumpre a lei ou foge da instrução deixa de ter o "desconto" de ser só um executor e passa a responder como se fosse o controlador. E o inciso II do mesmo parágrafo fecha o outro lado: controladores que estiveram diretamente envolvidos no tratamento que causou dano também respondem solidariamente entre si. Ninguém se esconde atrás do parceiro.
O detalhe que aperta ainda mais: o ônus da prova pode inverter
O art. 42, §2º dá ao juiz a possibilidade de inverter o ônus da prova a favor do titular dos dados, quando a alegação for verossímil ou quando produzir a prova for excessivamente custoso para quem reclama. Na prática, isso significa que não basta você saber quem era controlador e quem era operador numa relação: é preciso ter isso documentado, porque no momento em que precisar provar, o ônus pode já estar em cima de você.
Checklist para aplicar na sua empresa
Você decide a finalidade, o que coletar e por quanto tempo guardar? Você é controlador dessa relação.
Você só processa porque um contrato ou instrução de outra empresa manda, dentro do escopo definido por ela? Você é operador dessa relação.
Você trata dados em mais de uma frente (por exemplo, dado de funcionário e dado de cliente de terceiro)? É bem provável que você seja controlador numa frente e operador na outra, ao mesmo tempo.
Existe um contrato ou DPA (Data Processing Agreement, o acordo de tratamento de dados) formalizando quem é quem e quais são as instruções? Se não existe, essa é a lacuna que mais aparece em fiscalização.
Enquadrar cada relação certo não é exercício teórico: é o que decide se, num incidente, você responde pela sua parte ou se equipara ao controlador e responde pelo todo. Na truwe, o diagnóstico gratuitoajuda a mapear isso em poucos minutos, considerando o seu setor e as relações que a sua empresa mantém. Quando existem fornecedores e parceiros tratando dados em nome da sua empresa, ou a sua empresa tratando dados em nome de outra, o módulo de Gestão de Fornecedores organiza esse mapeamento e mantém os DPAs assinados num lugar só, prontos para mostrar se um dia for preciso provar quem fez o quê.
A pergunta "sou controlador ou operador?" não tem uma resposta única para a sua empresa. Tem uma resposta para cada relação que ela mantém, e vale a pena descobrir todas antes que alguém precise perguntar por você.
Um recado para quem é do ramo: se você é consultor, advogado ou escritório que cuida da conformidade de vários clientes, mapear controlador e operador relação por relação para cada um deles é justamente o tipo de trabalho repetitivo que a truwe automatiza. Conheça a plataforma feita para gerenciar a carteira inteira num lugar só em truwe.com.br/para-dpo.
Fontes: LGPD (Lei 13.709/2018), art. 5º incisos VI e VII, art. 39 e art. 42 (planalto.gov.br).