Controlador ou operador? Se sua empresa errar essa resposta, quem paga é você

A LGPD dá dois papéis básicos pra quem trata dado pessoal: controlador e operador. Parece distinção de manual de direito, mas na prática é a linha que separa quem toma a decisão de quem só executa ordem. E é exatamente essa linha que a ANPD usa pra decidir quem multa quando dá problema.

Na nossa experiência com empresa de Blumenau e do Vale do Itajaí, a maior confusão não é entender o conceito. É aplicar ele no contrato certo, na hora certa. A empresa contrata um SaaS, uma agência, uma contábil terceirizada, e ninguém para pra escrever no papel quem é quem. Até vazar alguma coisa.

Controlador decide o "por quê", operador executa o "como"

O art. 5º da LGPD é direto: controlador é quem toma decisões sobre o tratamento do dado, finalidade, base legal, por quanto tempo guarda. Operador é quem trata o dado seguindo instrução do controlador, sem decidir nada por conta própria.

Na prática: se sua empresa contrata uma agência pra enviar e-mail marketing pra base de 8 mil clientes, sua empresa é controladora (decidiu a campanha, definiu a base, escolheu a finalidade) e a agência é operadora (só executa o disparo com a ferramenta dela).

Agora inverte: se a agência usa a base de clientes que ela mesma capturou em um evento que ela organizou, e decide sozinha reaproveitar esses contatos pra outro cliente, ela virou controladora daquele dado. Muda tudo.

SaaS: você é controlador dos seus clientes, operador do fornecedor

Empresa que vende software com cadastro de usuário é controladora dos dados que coleta (nome, e-mail, CPF, uso da plataforma). Mas quando esse SaaS roda em cima de um provedor de hospedagem ou de um serviço de e-mail transacional, esse fornecedor é operador da empresa dona do software.

Falando sério: vimos empresa de tecnologia da região que não sabia responder isso nem sobre o próprio produto. Achavam que "não trato dado sensível, então não preciso me preocupar". Trata dado pessoal, já precisa de contrato de operação com cada fornecedor.

• Você vende SaaS B2B com dados de funcionários do cliente → você é operador do seu cliente (ele decide o quê, você processa)
• Você vende SaaS com cadastro próprio de usuário final, decide reter dado por 2 anos, usar pra analytics → você é controlador
• Você usa Amazon Web Services, Google Cloud, Zendesk como infraestrutura → esses fornecedores são operadores seus

Agência de marketing: o papel muda de cliente pra cliente

É o setor onde vemos mais confusão. Agência que só executa campanha com lista fornecida pelo cliente é operadora. Agência que faz captação própria via formulário, gera lead, e depois "aluga" ou revende esse contato pra múltiplos clientes, virou controladora daquele lead.

A diferença não é cosmética: se a agência é controladora, ela responde direto por vazamento, tem que ter encarregado próprio (art. 41) e política de privacidade própria válida sobre aquele dado. Se é só operadora, ela responde por descumprir instrução do contratante, não pela decisão em si.

Contábil e jurídico: quem manda na retenção do dado?

Escritório contábil que processa folha de pagamento de 40 empresas clientes é operador de cada uma delas. O escritório não decide por quanto tempo guarda o holerite do funcionário, quem tem acesso, se compartilha com terceiro: quem decide isso é o cliente, dono da relação de trabalho.

Mas atenção: se o contábil decide, por conta própria, manter cópia de todos os dados por 10 anos "pra garantir segurança jurídica própria" sem instrução do cliente, ele extrapolou o papel de operador e passou a decidir finalidade. Isso pode caracterizar corresponsabilidade como controlador daquele trecho específico do tratamento.

Escritório jurídico segue lógica parecida: ao receber dado do cliente pra atuar num processo, é operador na maior parte do tempo. Mas quando decide sozinho guardar base de clientes pra prospecção futura, aí é controlador daquilo.

BPO: contrato mal feito é o erro mais caro que vemos

Empresa de BPO (recursos humanos, atendimento, cobrança terceirizada) processa dado pessoal em nome de quem contratou o serviço. É o exemplo mais claro de operador na LGPD. O problema não é o conceito, é o contrato.

Nossa leitura: mais de metade dos contratos de BPO que já revisamos não tinha cláusula específica de proteção de dados. Sem isso, na hora do incidente, discute-se responsabilidade no vácuo, e normalmente as duas partes acabam respondendo solidariamente porque nenhuma provou ter cumprido as obrigações do art. 39.

Quem responde pelo incidente, na prática?

A regra geral: controlador responde pelo tratamento em si, inclusive pelas escolhas de operador que contratou mal. Operador responde quando descumpre a instrução recebida ou trata o dado fora da finalidade combinada.

Mas a LGPD prevê responsabilidade solidária em vários cenários: se o operador não seguir instrução por escrito, se não tiver contrato de operação claro, ou se agir de forma incompatível com a lei. Na prática, isso significa que os dois podem ser chamados pela ANPD ao mesmo tempo, e cada um vai ter que provar documentalmente o que fez.

• Controlador sem contrato de operação com fornecedores: responde sozinho por qualquer falha do fornecedor
• Operador que trata dado fora da instrução: responde como se fosse controlador daquele trecho
• Incidente detectado: o prazo interno pra avaliar e notificar ANPD e titulares se conta em horas, não em semanas. Quem trava esse processo é quem não sabe se é controlador ou operador daquele dado específico

O que fazer nas próximas duas semanas

Não precisa reescrever a política de privacidade inteira agora. Precisa mapear, contrato por contrato, quem decide o quê.

• Liste todos os fornecedores que tratam dado pessoal em nome da sua empresa (SaaS, agência, contábil, BPO, hospedagem)
• Para cada um, escreva em uma frase: "eles decidem X ou só executam o que eu mando?"
• Verifique se existe cláusula de proteção de dados no contrato com cada um. Se não existe, é a primeira coisa a corrigir
• Se sua empresa é operadora de algum cliente (típico em contábil, BPO, agência), confirme que você guarda registro escrito das instruções recebidas
• Se ninguém na empresa sabe responder essas perguntas, esse já é o sinal de que falta encarregado (art. 41) atuando de verdade, não só no papel

Empresa pequena e microempresa têm regime simplificado pela Resolução CD/ANPD 02/2022, mas simplificado não é dispensa. É menos burocracia no como, não menos responsabilidade no resultado.