Controlador ou operador? Por que o contrato não decide o seu papel na LGPD

Duas empresas fecham uma parceria em que trocam dados de usuários finais. Na hora de redigir o acordo, começa a negociação silenciosa que aparece em quase todo contrato de tecnologia hoje: cada lado tenta ser rotulado como operador. O motivo é sempre o mesmo, e costuma ser dito em voz baixa. Operador parece a posição mais simples, com menos deveres e menos exposição. A intuição está errada, e o erro custa caro. A pergunta de fundo, controlador ou operador, não se resolve no papel: resolve-se olhando quem de fato decide.

A LGPD, a Lei 13.709/2018, define os dois papéis pela função, não pela conveniência. O artigo 5º, inciso VI, diz que controlador é “a quem competem as decisões referentes ao tratamento de dados pessoais”. O inciso VII define operador como quem “realiza o tratamento de dados pessoais em nome do controlador”. Quem decide finalidade e meios é controlador. Quem apenas executa por conta e ordem de outro é operador.

Controlador ou operador: o rótulo do contrato não vincula a realidade

O ponto que as empresas mais resistem a aceitar é este: escrever “operador” no contrato não torna ninguém operador. A qualificação decorre da situação fática.

A orientação da Autoridade Nacional de Proteção de Dados é explícita. No Guia de Agentes de Tratamento, a ANPD registra que “a identificação do controlador deve partir do conceito legal e dos parâmetros auxiliares indicados neste Guia, sempre considerando o contexto fático e as circunstâncias relevantes do caso”, e adverte que “a efetiva atividade desempenhada por uma organização pode se distanciar do que estabelecem as disposições jurídicas formais”. Os papéis, diz o guia, são funcionais: existem para alocar responsabilidade conforme a atuação real de cada parte.

A consequência prática é dura. Uma empresa que se declara operadora, mas que na prática decide para que os dados serão usados, é tratada como controladora quando o problema aparece, independentemente do que assinou. O contrato bem redigido descreve a realidade; ele não a inventa.

Nem sempre existe um controlador só

O reflexo de muitos contratos é procurar o controlador único, aquele que responde por tudo. A LGPD não obriga esse desenho. A ANPD reconhece duas configurações que resolvem melhor a maioria das parcerias.

A primeira é a controladoria conjunta, quando há “determinação conjunta, comum ou convergente, por dois ou mais controladores, das finalidades e dos elementos essenciais” do tratamento. A segunda, mais comum do que se imagina, é a de controladores distintos para fluxos distintos. Numa mesma relação, cada empresa pode ser controladora da etapa que ela de fato comanda. Quem coleta o consentimento e cadastra o usuário controla aquele fluxo. Quem usa o dado para prestar o serviço final controla o seu. O guia da ANPD é claro ao afirmar que “a mesma organização poderá ser controladora e operadora, de acordo com sua atuação em diferentes operações de tratamento”.

Dividir a controladoria por fluxo, em vez de brigar por um rótulo único em bloco, costuma ser a solução mais fiel aos fatos e a que melhor protege as duas partes.

Por que isso decide quem paga a conta

A qualificação não é discussão acadêmica. Ela define responsabilidade. O artigo 42 estabelece que o agente de tratamento que causar dano em violação à lei é obrigado a repará-lo, e prevê responsabilidade solidária do operador quando ele descumpre a legislação ou deixa de seguir as instruções lícitas do controlador. Nesse caso, diz a ANPD, “o operador equipara-se ao controlador”. Ou seja: o operador que extrapola o combinado perde justamente a proteção que motivou a escolha do rótulo, e passa a responder como controlador.

O artigo 43, por outro lado, só afasta a responsabilidade de quem provar que não realizou o tratamento, que não houve violação, ou que o dano decorreu de culpa exclusiva do titular ou de terceiro. São hipóteses estreitas, de prova difícil.

O que fazer com isso

A pergunta certa, ao estruturar uma parceria de dados, não é “qual rótulo me expõe menos”. É “quem, de fato, decide o quê em cada etapa”. Mapear os fluxos de dados, atribuir a cada empresa o papel que corresponde à sua decisão real e escrever isso no contrato de forma que descreva a operação, não que a maquie, é o que sustenta a estrutura quando a ANPD ou o titular baterem à porta. Rótulo escolhido por conveniência não protege ninguém. Papel bem definido, sim.

Este conteúdo é informativo e não constitui aconselhamento jurídico para caso concreto. A qualificação dos agentes de tratamento depende da análise concreta dos fluxos de dados de cada operação.

Leia também: Startups e empresas de tecnologia | Legal Ops

Fontes

• Lei nº 13.709, de 14 de agosto de 2018 (Planalto), Lei Geral de Proteção de Dados Pessoais, art. 5º, incisos VI e VII.
• Guia Orientativo para Definições dos Agentes de Tratamento de Dados Pessoais e do Encarregado (ANPD).