Responsabilidade de Operadores e Controladores de Dados

Aqui está o artigo jurídico completo em HTML puro, seguido dos metadados SEO:

“`html

Quem são o Controlador e o Operador segundo a LGPD

A LGPD definiu, em seu artigo 5º, os conceitos centrais que estruturam toda a cadeia de responsabilidade no tratamento de dados pessoais. O controlador é a pessoa natural ou jurídica, de direito público ou privado, a quem competem as decisões referentes ao tratamento de dados pessoais. Já o operador é aquele que realiza o tratamento de dados pessoais em nome do controlador.

Essa distinção é fundamental e tem reflexos diretos na atribuição de responsabilidades. O controlador define o quê, como e para quê os dados serão tratados. O operador executa o tratamento conforme as instruções recebidas, sem autonomia para desviar das finalidades estabelecidas. Um exemplo prático: uma empresa que contrata um sistema de folha de pagamento em nuvem atua como controladora dos dados de seus empregados, enquanto a empresa fornecedora do sistema é a operadora.

É importante notar que a mesma organização pode assumir papéis distintos em relações diferentes. Uma empresa pode ser controladora em relação aos dados de seus clientes e operadora em relação aos dados que processa para um parceiro comercial. Essa natureza contextual exige atenção constante na identificação dos papéis exercidos em cada fluxo de dados.

A LGPD também prevê a figura do encarregado de dados, popularmente conhecido como DPO (Data Protection Officer), que é indicado pelo controlador para atuar como canal de comunicação entre o controlador, os titulares dos dados e a Autoridade Nacional de Proteção de Dados (ANPD). Embora a indicação do encarregado seja formalmente atribuída ao controlador, organizações de médio e grande porte devem considerar seriamente a implementação dessa função.

Obrigações Específicas de Cada Agente no Tratamento de Dados

A distribuição de obrigações entre controladores e operadores segue uma lógica proporcional ao poder de decisão de cada agente. Contudo, ambos estão sujeitos a deveres que, se descumpridos, podem gerar responsabilização civil, administrativa e, em alguns casos, penal.

O controlador carrega o ônus mais pesado do regime de conformidade. Entre suas principais obrigações, destacamos:

• Definir a base legal para cada operação de tratamento, conforme os fundamentos listados no artigo 7º da LGPD (consentimento, legítimo interesse, cumprimento de obrigação legal, entre outros);
• Manter registro das operações de tratamento realizadas, especialmente quando o tratamento for baseado em legítimo interesse;
• Garantir a transparência perante os titulares, fornecendo informações claras sobre como os dados são utilizados;
• Comunicar incidentes de segurança à ANPD e ao titular quando o incidente puder acarretar risco ou dano relevante;
• Elaborar o Relatório de Impacto à Proteção de Dados Pessoais (RIPD) quando solicitado pela ANPD ou quando o tratamento apresentar risco elevado;
• Implementar medidas técnicas e administrativas de segurança adequadas à proteção dos dados pessoais.

O operador, por sua vez, tem obrigações voltadas principalmente à execução segura e fiel das instruções do controlador:

• Tratar os dados apenas conforme as instruções fornecidas pelo controlador, não podendo utilizá-los para finalidades próprias não autorizadas;
• Implementar medidas de segurança técnicas e organizacionais para proteger os dados sob sua custódia;
• Manter sigilo sobre os dados tratados;
• Comunicar ao controlador qualquer incidente de segurança ou situação que possa comprometer a integridade dos dados;
• Não subcontratar outros operadores sem autorização prévia do controlador.

Esse ponto merece destaque especial. A LGPD, em seu artigo 42, §1º, inciso I, estabelece que o operador responde solidariamente pelos danos quando descumprir as obrigações da legislação de proteção de dados ou quando não seguir as instruções lícitas do controlador. A responsabilidade do operador, portanto, não é apenas contratual, mas também legal.

A Due Diligence como Instrumento de Conformidade e Gestão de Riscos

A due diligence em matéria de proteção de dados é o processo pelo qual as organizações avaliam e verificam, de forma sistemática e contínua, a conformidade de seus parceiros, fornecedores e prestadores de serviço com as normas de proteção de dados. Trata-se de uma obrigação implícita que decorre do dever de segurança imposto a controladores e operadores.

Para o controlador, a due diligence começa antes mesmo de contratar um operador. É necessário verificar se o prestador de serviços adota medidas de segurança adequadas, se possui políticas internas de proteção de dados, se seus funcionários recebem treinamento sobre o tema e se a empresa tem histórico de incidentes. Essa análise deve ser formalizada, preferencialmente por meio de questionários de segurança, auditorias técnicas e cláusulas contratuais específicas.

O instrumento contratual entre controlador e operador deve contemplar, no mínimo:

• Descrição clara dos dados pessoais que serão tratados e das finalidades do tratamento;
• Obrigações do operador quanto à confidencialidade, segurança e limitação de uso;
• Direitos do controlador de auditar o operador;
• Procedimentos para comunicação de incidentes;
• Regras sobre subcontratação de outros operadores;
• Obrigações de cooperação para atendimento a solicitações de titulares e da ANPD;
• Disposições sobre eliminação ou devolução dos dados ao término do contrato.

A due diligence não se encerra com a assinatura do contrato. É necessário monitorar continuamente o operador, realizar avaliações periódicas e atualizar os instrumentos contratuais sempre que houver mudanças significativas nas operações de tratamento ou nas normas aplicáveis.

Do lado do operador, a due diligence também tem papel importante. Ao aceitar instruções de um controlador, o operador deve verificar se essas instruções são lícitas. A LGPD não exige que o operador seja um agente passivo que executa qualquer determinação sem questionamentos. Se uma instrução for claramente ilegal, o operador que a cumprir poderá ser responsabilizado solidariamente.

Responsabilidade Civil, Sanções Administrativas e Inversão do Ônus da Prova

O regime de responsabilidade civil estabelecido pela LGPD apresenta características que merecem atenção específica. O artigo 42 da lei estabelece que o controlador ou o operador que causar dano patrimonial, moral, individual ou coletivo, em violação à legislação de proteção de dados, é obrigado a repará-lo.

Um aspecto que frequentemente gera dúvidas é o regime de responsabilidade adotado pela LGPD. A lei não adotou expressamente a responsabilidade objetiva (independente de culpa), mas também não seguiu o modelo clássico de responsabilidade subjetiva pura. A tendência doutrinária e jurisprudencial que vem se consolidando aponta para um sistema de responsabilidade baseado no risco da atividade, o que significa que organizações que tratam grandes volumes de dados ou dados sensíveis enfrentam um ônus probatório mais elevado para demonstrar a ausência de culpa.

O artigo 43 da LGPD prevê as hipóteses em que os agentes de tratamento ficam isentos de responsabilidade:

• Quando provarem que não realizaram o tratamento dos dados que lhes é atribuído;
• Quando, embora tenham realizado o tratamento, não houve violação à legislação de proteção de dados;
• Quando o dano for decorrente de culpa exclusiva do titular dos dados ou de terceiro.

As sanções administrativas aplicáveis pela ANPD, previstas no artigo 52 da LGPD, incluem advertência, publicização da infração, bloqueio dos dados pessoais, eliminação dos dados, multa simples de até 2% do faturamento da empresa no Brasil (limitada a R$ 50 milhões por infração) e multa diária. A regulamentação dessas sanções pela ANPD detalha os critérios de dosimetria, incluindo a gravidade e a natureza da infração, a boa-fé do infrator, a adoção de políticas internas de boas práticas e a cooperação com a autoridade.

A responsabilidade solidária entre controlador e operador é outro ponto crítico. Quando ambos contribuírem para o dano, o titular do dado pode acionar qualquer um deles ou ambos para obter a reparação integral. Internamente, os agentes podem estabelecer entre si as regras de repartição dessa responsabilidade, mas essas regras são inoponíveis ao titular prejudicado.

Organizações do setor de saúde, financeiro, educacional e de tecnologia precisam dedicar atenção redobrada a esses aspectos, pois costumam tratar dados em larga escala, inclusive dados sensíveis, que recebem proteção especial sob a LGPD. O tratamento de dados de saúde, por exemplo, exige base legal específica e medidas de segurança reforçadas.

“`

As informações deste artigo são de caráter informativo e não substituem consulta jurídica individualizada.