Controlador vs Operador na LGPD: guia prático para empresas

Resposta rápida: qual a diferença entre controlador e operador?

O Art. 5º define controlador como pessoa natural ou jurídica a quem competem as decisões referentes ao tratamento de dados pessoais e operador como pessoa natural ou jurídica que realiza o tratamento em nome do controlador.

A orientação da ANPD torna o teste mais prático: controlador determina finalidade e outros elementos essenciais; operador segue instruções lícitas do controlador e pode tomar decisões técnicas ou operacionais não essenciais.

O papel deve ser analisado por operação de tratamento. A mesma empresa pode ser controladora em uma atividade e operadora em outra.

Principais conclusões

• Controlador decide elementos essenciais, especialmente finalidade.
• Operador age em nome do controlador.
• Autonomia técnica não transforma automaticamente operador em controlador.
• Contrato ajuda, mas o fato real prevalece sobre o rótulo.
• Empregados normalmente não são operadores separados da pessoa jurídica quando atuam sob sua autoridade.
• A ANPD reconhece controladoria conjunta como conceito aplicável.
• Suboperador é conceito orientativo da ANPD, não definição expressa da LGPD.
• Operador possui deveres próprios e pode ter responsabilidade.

Definições legais

O Art. 39 estabelece que o operador realiza tratamento segundo instruções fornecidas pelo controlador, que verifica observância das próprias instruções e normas.

Papel por operação de tratamento

Uma empresa SaaS pode ser:

• operadora para conteúdo de cliente hospedado sob instrução;
• controladora para billing próprio;
• controladora para segurança administrativa própria;
• eventualmente controladora para analytics independente.

Por isso, “Fornecedor X é nosso operador” pode ser incompleto.

Melhor: “Fornecedor X é operador na Atividade A e controlador na Atividade B.”

O contrato não é conclusivo

Escrever “processor” no DPA não muda os fatos. Se a empresa decide finalidade própria incompatível e usa os dados para essa finalidade, pode assumir papel de controladora naquele tratamento.

Classificação segue poder decisório real, não branding contratual.

Quais decisões pertencem ao controlador?

A ANPD distingue decisões essenciais de decisões não essenciais.

Um cloud provider pode escolher hardware, software, redundância e ferramentas de segurança e continuar operador se atua em nome da finalidade do cliente.

Quem determina a base legal?

Na atividade dirigida pelo controlador, a base deve ser definida e documentada pelo controlador. O operador segue as instruções.

Se o operador trata dados para uma finalidade própria, precisa fazer análise própria de controlador para esse tratamento.

Empregados são operadores?

Normalmente não quando atuam como parte da pessoa jurídica e sob sua autoridade. A ANPD orienta considerar a organização como agente de tratamento nesse contexto.

Isso não significa que pessoa natural nunca possa ser controladora ou operadora: pode quando atua de maneira independente na capacidade relevante.

Controladoria conjunta

A LGPD não traz definição textual de “controlador conjunto”, mas a ANPD entende o conceito como reconhecido no sistema brasileiro.

A orientação considera controladoria conjunta quando dois ou mais controladores determinam de forma conjunta, comum ou convergente as finalidades e elementos essenciais, em arranjo que estabelece suas responsabilidades.

Três critérios práticos

1. mais de uma parte possui poder de decisão;
2. existem interesses mútuos baseados em finalidades próprias;
3. as partes tomam decisões comuns ou convergentes sobre finalidade e elementos essenciais.

Controlador conjunto vs controladores independentes

Duas empresas compartilharem dados não significa controladoria conjunta. Uma transportadora pode receber dados de loja e ter finalidades regulatórias/operacionais próprias, levando a análise de controladores independentes em determinadas atividades.

Suboperador

A LGPD não define expressamente “suboperador”. A ANPD usa o conceito para parte contratada pelo operador para auxiliá-lo no tratamento em nome do controlador.

Estrutura típica:

Controlador → Operador → Suboperador

A ANPD recomenda autorização formal do controlador, específica ou geral, para contratação de suboperador.

O que a cláusula deve tratar?

• tipo de autorização;
• notificação de novos suboperadores;
• atividades;
• segurança;
• confidencialidade;
• direitos;
• incidentes;
• retenção;
• transferências;
• transmissão de obrigações.

Exemplos práticos

1. SaaS

Lojista usa CRM para hospedar dados segundo suas finalidades. Ponto de partida: lojista controlador, SaaS operador para customer data. Billing próprio do SaaS pode ser tratamento como controlador.

2. Cloud

Empresa define produto, dados e retenção; cloud escolhe infraestrutura e segurança técnica. Cloud pode continuar operador/suboperador.

3. Folha de pagamento

Empregador determina finalidade de folha e fornecedor processa sob instruções. O fornecedor pode ser operador para cálculo, mas finalidades regulatórias próprias precisam de análise separada.

4. Agência de marketing

Agência executa campanha segundo instruções: possível operadora. Se reutiliza lista para construir produto de audiência entre clientes, pode se tornar controladora nessa finalidade.

5. Analytics

Fornecedor que apenas processa eventos para entregar painel pode ser operador. Se combina dados entre clientes para publicidade própria, precisa de análise de controlador.

6. Pagamentos

Prestadores podem ter finalidades próprias de fraude, rede e regulação; não assuma operador automático.

7. Recrutamento

Agência pode ser operadora em busca dirigida e controladora para base própria de candidatos usada em múltiplos clientes.

8. IA

Fornecedor que resume tickets sob instruções, sem reutilizar dados, pode atuar como operador. Se usa prompts para treinamento próprio, a finalidade independente deve ser classificada.

A LGPD exige DPA?

Não existe disposição idêntica ao Art. 28 GDPR impondo contrato universal com lista fechada. A ANPD considera contrato escrito boa prática para limitar atuação e distribuir responsabilidades.

O guia menciona como temas úteis:

• objeto;
• duração;
• natureza;
• finalidade;
• tipos de dados;
• direitos e obrigações;
• responsabilidades.

Na prática, um DPA robusto também cobre segurança, suboperadores, direitos, incidentes, transferências, retenção e evidência.

Como o papel altera obrigações

ROPA vale para ambos

O Art. 37 menciona controlador e operador. O ROPA do operador deve refletir sistemas, suboperadores, regiões, retenção e controles que ele realmente executa, e não ser cópia do controlador.

Incidentes

A Resolução 15/2024 atribui comunicação externa ao controlador quando critérios são atendidos. Operador avisa o controlador sem demora injustificada e fornece informações necessárias.

Encarregado

O regime atual distingue obrigação do controlador e facultatividade para operador, respeitadas regras e dispensas aplicáveis.

Responsabilidade

O Art. 42 prevê que operador pode responder solidariamente quando descumpre legislação de proteção de dados ou não segue instruções lícitas do controlador, observadas as excludentes do Art. 43.

Controladores diretamente envolvidos no tratamento que causa dano também podem ter responsabilidade solidária nas hipóteses legais.

Operador não significa ausência de responsabilidade.

E se o operador agir fora das instruções?

Se passa a determinar finalidade ou outros elementos essenciais para uso próprio, o papel pode mudar para aquele tratamento. A resposta não é apenas “quebrou o DPA”; avalie base legal, transparência, retenção, direitos e responsabilidade como controlador da finalidade independente.

Teste de cinco perguntas

1. Quem decidiu por que os dados são tratados?
2. Quem decide elementos essenciais?
3. A outra parte atua sob instruções documentadas?
4. Suas decisões são apenas técnicas/não essenciais?
5. Duas partes determinam juntas finalidade e elementos essenciais?

Erros comuns

“Todo fornecedor é operador.”

Não.

“Se escolhe tecnologia, é controlador.”

Não necessariamente.

“Empregado é operador.”

Normalmente não quando atua sob autoridade da pessoa jurídica.

“DPA define o papel.”

Fatos prevalecem.

“Controladoria conjunta = duas empresas tocaram o dado.”

Não. Exige determinação conjunta/convergente dos elementos essenciais.

“Operador não tem responsabilidade.”

Incorreto.

“Suboperadores são problema apenas do fornecedor.”

O controlador precisa governar a cadeia.

Checklist de 20 pontos

1. Classifique por atividade.
2. Identifique finalidade.
3. Identifique base.
4. Mapeie decisões essenciais.
5. Separe decisões técnicas.
6. Procure finalidades próprias.
7. Teste controladoria conjunta.
8. Não classifique empregados como fornecedores.
9. Registre papel no ROPA.
10. Use DPA onde há operação em nome do controlador.
11. Documente instruções.
12. Governe suboperadores.
13. Revise segurança.
14. Defina incidente.
15. Teste direitos.
16. Defina retenção.
17. Mapeie transferências.
18. Revise encarregado.
19. Entenda responsabilidade.
20. Reclassifique quando produto mudar.

Perguntas frequentes

A mesma empresa pode ser controladora e operadora?

Sim, em operações diferentes.

Empregado pode ser operador?

Normalmente não no exercício subordinado dentro da pessoa jurídica, mas pessoa natural pode ser agente em atuação independente.

Operador pode escolher software?

Sim, decisões técnicas não essenciais podem permanecer com o operador.

Existe suboperador na LGPD?

O termo não é definido expressamente na lei, mas é usado pela ANPD como conceito orientativo.

Fontes oficiais

• LGPD — Arts. 5º, 37, 39, 42–43 e 46
• ANPD — Guia dos Agentes de Tratamento e do Encarregado
• ANPD — Glossário