A Lei Geral de Proteção de Dados Pessoais (LGPD) introduziu três importantes personagens que são: Controlador, Operador e DPO/Encarregado de Dados. A compreensão do papel de cada um, tal como as suas atribuições legais, é essencial para o entendimento da nossa nova legislação. A seguir, vamos entender melhor o papel do controlador à Lei Geral de Proteção de Dados (LGPD).
O que é controlador?
O controlador é uma pessoa natural ou jurídica, de direito público ou privado, a quem competem as decisões referentes ao tratamento de dados pessoais. Entre essas decisões, incluem-se as instruções fornecidas a operadores contratados para a realização de um determinado tratamento de dados pessoais. Resumidamente, é ele quem manda!
O que é operador?
O operador é uma pessoa natural ou jurídica, de direito público ou privado, que realiza o tratamento de dados pessoais em nome do controlador. Um exemplo prático, no caso de pessoa jurídica de direito privado, seria a assessoria contábil que realiza o tratamento de dados pessoais de colaboradores em nome do controlador, a fim de obter as finalidades inerentes ao departamento pessoal, como registro de colaboradores, folha de pagamento etc.
Qual o papel do controlador?
É importante pontuar que tanto o controlador quanto o operador são as figuras que têm o papel institucional, quando tomam decisões, no caso do controlador, ou realizam atividades sob ordem e comando, no caso do operador, e não os colaboradores, servidores ou trabalhadores de tais pessoas naturais ou jurídicas. Isso quer dizer que o papel de controlador e de operador sempre estará vinculado a esta figura institucional, e não poderá ser apontado a um empregado específico da empresa, pois a capacidade de decisão e realização de atividades é sempre da instituição e não do funcionário.
Um exemplo bastante prático e visual de tal situação, no caso de pessoa natural, é quando uma família realiza a contratação de uma empregada doméstica: é um claro exemplo de uma pessoa física que tem o papel de controlador no tratamento dos dados trabalhistas de um funcionário. Nesta situação é possível enxergar uma pessoa natural agindo como controlador de dados. Porém, uma pessoa natural que trabalhe em uma empresa, não atua como operadora em relação ao tratamento de dados pessoais a que tiver acesso durante suas atividades laborais, pois este papel é atribuído institucionalmente à empresa. Se esta empresa, por sua vez terceirizar o tratamento com alguém de fora, seja uma pessoa física ou jurídica, aí sim, nesta hipótese, este terceiro, assume o papel de operador, e haverá um vínculo controlador-operador e uma limitação para o tratamento dos dados pessoais. Apenas quem detém o papel de controlador possui autonomia no tratamento de dados pessoais, por isso também podem ocorrer situações em que haja mais de um controlador, entendido por co-controladores ou controladores concorrentes.
Quais as obrigações do Controlador perante a LGPD?
A Lei Geral de Proteção de Dados, determina que o controlador e o operador devem manter registro das operações de tratamento de dados pessoais que realizarem, especialmente quando baseado no legítimo interesse. Para o controle e a transparência das ações e do cumprimento dos propósitos do tratamento de dados, cabe ao controlador e ao operador documentar as operações realizadas durante o processo de tratamento de dados pessoais.
O controlador ainda tem responsabilidade sobre o operador, tendo que orientá-lo para que o tratamento dos dados pessoais ocorra conforme as determinações da lei. Em casos de danos, o controlador pode responder solidariamente pelos prejuízos causados pelo operador.
A Autoridade Nacional de Proteção de Dados (ANPD) poderá determinar ao controlador que elabore relatório de impacto à proteção de dados pessoais, inclusive de dados sensíveis, referente a suas operações de tratamento de dados, nos termos de regulamento, observados os segredos comercial e industrial.
A Lei Geral de Proteção de Dados Pessoais, também estabelece que cabe ao controlador comprovar que eventual consentimento obtido do titular está em conformidade com o disposto nesta Lei. Ademais, cabe ao controlador a comunicação à ANPD nos casos de ocorrência de incidentes de segurança.
Além disso, a atribuição de responsabilidades em relação à reparação por danos decorrentes de atos ilícitos é distinta de acordo com a qualificação do agente de tratamento, isto é, se controlador ou operador.
Vale mencionar ainda que os direitos dos titulares são, em regra, exercidos em face do controlador, a quem compete, entre outras providências, fornecer informações relativas ao tratamento, assegurar a correção e a eliminação de dados pessoais, receber requerimento de oposição a tratamento.
O titular dos dados pode, ainda, peticionar contra o controlador perante a Autoridade Nacional de Proteção de Dados (ANPD), o que denota a relevância da compreensão do conceito não só para os profissionais da área, mas também para o cidadão comum.
O papel de controlador pode decorrer expressamente de obrigações estipuladas em instrumentos legais e regulamentares ou em contrato firmado entre as partes. Não obstante, a efetiva atividade desempenhada por uma organização pode se distanciar do que estabelecem as disposições jurídicas formais, razão pela qual é de suma importância avaliar se o suposto controlador é, de fato, o responsável pelas principais decisões relativas ao tratamento.
O Dopp Dolata Advogados conta com um time de profissionais capacitados para atuarem com consultoria em adequação de empresas à LGPD. Conte conosco.
Autora: Larissa do Nascimento Ferraz
Supervisão: Edgard Dolata