Controlador ou operador na LGPD: quem responde quando o dado vaza

Pergunta simples que paralisa qualquer reunião de compliance: sua empresa é controladora ou operadora dos dados que trata? A maioria responde "depende" ou fica em silêncio. O problema: quando um incidente acontece, essa resposta determina quem responde perante a ANPD, quem lidera a comunicação com os titulares e quem pode ser autuado de forma independente.

Não é distinção acadêmica. É a linha que separa quem conduz a crise de quem apenas precisa notificar o parceiro contratual.

O teste que resolve 80% das dúvidas

A LGPD define: controlador é quem decide o quê e o porquê do tratamento (art. 5º, VI). Operador é quem executa o tratamento seguindo as instruções do controlador (art. 5º, VII). A distinção não depende de porte nem do que diz o contrato. Depende de quem tomou a decisão sobre finalidade e meios.

O teste prático: quem escolheu usar aquele dado, para aquela finalidade, naquele canal? Essa entidade é o controlador. Quem recebeu instrução para tratar o dado seguindo uma política que não elaborou? Esse é o operador.

Uma mesma empresa pode ser controladora em relação aos seus próprios clientes e operadora em relação a um contratante. Isso é comum e não tem nada de errado. O problema é não saber qual papel está exercendo em cada fluxo de dados.

SaaS, agência, contábil, BPO: o mapa por nicho

Não existe resposta única por segmento, mas há padrões que a gente vê repetindo. Nossa leitura de casos recorrentes:

• SaaS (CRM, ERP, plataforma de RH): operador em relação aos dados dos clientes do cliente. O SaaS processa conforme as configurações que o contratante define. Mas é controlador dos dados de billing, dos próprios usuários cadastrados e das métricas de uso da plataforma.
• Agência de marketing digital: operadora quando acessa a base de leads do cliente para disparar campanha. Controladora quando gera e mantém sua própria base de prospects e contatos comerciais.
• Escritório de contabilidade: operador quando processa folha de pagamento e obrigações acessórias dos clientes. Os dados são do cliente; o escritório executa por instrução e dentro de prazo definido pelo contratante.
• BPO (terceirização de processos): quase sempre operador. Trata dados do contratante seguindo SLA e procedimentos definidos pelo cliente, sem autonomia sobre a finalidade.
• Escritório de advocacia: controlador dos dados dos próprios clientes (prontuário, caso, histórico). Se processa dados de terceiros em nome de cliente, como em due diligence, entra numa zona cinza que merece contrato específico antes de começar.

Falando sério: a maior confusão acontece em agências de marketing que pedem acesso ao Google Ads, Meta Ads e CRM do cliente. Ali, a agência vira coadministradora de fato, mesmo que o contrato diga "prestadora de serviços". Acesso a dados pessoais sem instrução documentada gera responsabilidade solidária.

O contrato que ninguém assina e que decide quem paga

O art. 39 da LGPD exige que o operador trate os dados conforme as instruções do controlador. Isso não é só boa prática, é obrigação legal. E a única forma de provar que havia instrução clara, se o operador agiu corretamente, é ter um contrato escrito que delimite:

• Quais categorias de dados pessoais serão tratadas
• Qual a finalidade autorizada do tratamento
• Prazo de retenção e procedimento de descarte ao fim do contrato
• Vedação expressa ao uso dos dados para finalidade própria do operador
• Obrigação de notificar o controlador em caso de incidente, com prazo definido (não "imediatamente")
• Medidas de segurança mínimas exigidas e forma de comprovação

Sem esse contrato, se o operador vazar dados, o controlador responde junto. Responsabilidade solidária é o termo que nenhum cliente de SaaS quer ouvir quando abre um processo administrativo na ANPD.

Quem avisa a ANPD quando o sistema cai

O art. 48 da LGPD coloca no controlador a obrigação de comunicar à ANPD e aos titulares os incidentes de segurança que possam acarretar risco ou dano relevante. O regulamento da ANPD (Resolução CD/ANPD 4/2023) estabelece 3 dias úteis para a notificação preliminar, contados a partir do momento em que o controlador toma conhecimento do incidente.

O operador não comunica à ANPD diretamente. O papel dele é avisar o controlador no menor tempo possível, com informações suficientes para que o controlador decida como agir. Se o contrato não definir esse fluxo, o controlador pode ficar sabendo tarde demais, já fora do prazo.

Na prática: se sua empresa contrata um SaaS e o banco de dados desse SaaS é acessado por terceiro não autorizado, você, como controlador, é quem precisa comunicar a ANPD. O SaaS vai avisar você; cabe a você agir dentro do prazo. Por isso o contrato com o operador precisa ter prazo de notificação explícito, preferencialmente 24 horas a partir da identificação do evento.

O operador que vira controlador sem perceber

Esse é o risco mais subestimado. O operador começa a usar os dados que trata em nome do controlador para finalidade própria. Um exemplo direto: plataforma de e-mail marketing que agrega dados comportamentais dos destinatários dos clientes para treinar seus próprios modelos ou construir audiências lookalike proprietárias.

Quando isso acontece, aquela atividade de tratamento específica deixa de ser operação em nome do controlador. O SaaS virou controlador daquele processamento, sem base legal para isso, sem ter comunicado o titular. É infração autônoma, independente do que o controlador original fez.

Nossa leitura: contratos com SaaS devem incluir cláusula expressa vedando o uso dos dados para fins próprios do fornecedor. Qualquer política de privacidade de SaaS que mencione uso de dados dos clientes para "melhoria de produto", "analytics proprietário" ou "modelos de aprendizado" precisa ser lida com atenção antes de assinar.

Responsabilidade solidária: quando os dois pagam

O art. 42 da LGPD permite que o titular ajuíze ação contra controlador, operador ou ambos. A regra geral: o operador responde junto com o controlador quando descumpriu as instruções recebidas, ou quando as instruções eram ilegais e ele executou assim mesmo.

A ANPD pode multar os dois em processos administrativos separados ou no mesmo processo. Multa de até 2% do faturamento bruto do último exercício, limitada a R$ 50 milhões por infração. São valores independentes para cada entidade autuada, ou seja, o teto não é compartilhado.

Isso muda a conversa na hora de negociar contrato com fornecedores. Não é só questão de quem deu o erro técnico. É questão de quem tinha instrução documentada, quem fiscalizou o cumprimento e quem tem como provar isso.

O que fazer nas próximas duas semanas

Sem precisar de nenhuma ferramenta cara para começar:

• Liste todos os fornecedores que têm acesso a dados pessoais dos seus clientes ou funcionários: SaaS, agências, contábeis, BPO. Esse é o mapa dos seus operadores.
• Para cada fornecedor da lista, verifique se existe contrato com cláusulas de proteção de dados. Se não existe, ou se o contrato é genérico de prestação de serviços, está em aberto.
• Leia a política de privacidade dos SaaS críticos e procure por menções a uso dos dados para "melhoria de produto", "analytics" ou "modelos proprietários". Isso pode mudar quem é controlador de quê.
• Defina internamente um responsável por receber avisos de incidente dos operadores. Sem isso, a notificação à ANPD dentro dos 3 dias úteis não acontece.
• Se sua empresa é prestadora de serviço, agência ou escritório, revise seus contratos para garantir que existe cláusula explícita definindo seu papel como operador e as obrigações associadas ao tratamento.

Esses passos não fecham todo o programa de adequação, mas resolvem o ponto mais urgente: saber exatamente o que assinar, o que cobrar do fornecedor e quem aciona quem quando o incidente aparece.