LGPD e os agentes de tratamento de dados pessoais

Com o recente e, diga-se de passagem, inesperado início da vigência da Lei Geral de Proteção de Dados – LGPD, diversas empresas iniciaram uma corrida para adequar seus processos internos e externos à nova legislação.

Dentre os inúmeros e novos conceitos introduzidos no cenário legal brasileiro pela nova lei, merece destaque a figura dos agentes de tratamento de dados: Controlador e Operador, cuja definição encontra-se especificamente no artigo 5º da LGPD.

O artigo 5º inciso VI da LGPD estabelece que “Controlador” é a pessoa física ou jurídica "a quem competem as decisões referentes ao tratamento de dados pessoais". Já o inciso VII do mesmo artigo determina que "Operador" é a pessoa física ou jurídica "que realiza o tratamento de dados pessoais em nome do controlador".

A definição dos agentes de tratamento se mostra essencial para a correta interpretação e aplicação da LGPD, eis que a lei expressamente fixa obrigações e responsabilidades pertinentes a cada um destes agente, ressaltando-se que a principal diferença entre os controlador e operador se encontra no poder de decisão. Desta forma, em que pese o operador realizar atividades de tratamento de dados, isso, em tese, ocorre a partir das ordens de um controlador.

Cita-se como exemplo a figura de empresas de Call Center e de escritórios de contabilidade. Em ambos os casos, estas empresas podem receber dados pessoais de empresas que são suas clientes (p.ex. para fins de relacionamento com o cliente no caso do Call Center ou gestão de folha de pagamento no caso do escritório de contabilidade).

Como operadores, Call Centers e escritórios de contabilidade devem basicamente obedecer a lei e as ordens do controlador, de forma que devem tratar os dados pessoais unicamente nos termos do contrato firmado com o Controlador, a quem compete obedecer à legislação e, claro, vigiar o trabalho do operador.

Dentre outras obrigações do Controlador estão o dever de produzir um relatório de impacto à proteção de dados pessoais e designar um encarregado para atuar como canal de comunicação entre o controlador, os titulares de dados pessoais e Autoridade de Proteção de Dados pessoais, dentre outras obrigações.

Por fim, ressalta-se que as figuras de Controlador e Operador de dados pessoais não são fixas, já que as organizações tratam dados pessoais de diferentes titulares e para finalidades diversas, devendo cada tipo de tratamento ser analisado individualmente para a correta atribuição dos conceitos. Desta forma, um mesmo agente poderá ser Operador e Controlador de Dados pessoais, como no caso da relação firmada entre os Call Centers e seus próprios funcionários, sendo aquele o operador dos dados pessoais destes.