Entenda como identificar um operador de dados pessoais, diferenciar esse papel do controlador e revisar contratos e acessos na prática.

Se sua empresa usa uma plataforma de folha de pagamento, um serviço de hospedagem, um sistema de atendimento ou uma agência para enviar campanhas, talvez precise responder a uma pergunta antes de renovar o contrato: esse fornecedor apenas executa uma tarefa definida pela empresa ou decide, por conta própria, como usar os dados de clientes e funcionários? A resposta pode mudar a forma de documentar responsabilidades, controlar acessos e avaliar riscos.

Na LGPD, a classificação não é decidida pelo título comercial do contrato, pelo setor econômico do fornecedor nem pelo fato de ele ter acesso a informações pessoais. É necessário observar o fluxo concreto: por que os dados são tratados, quem escolhe essa finalidade, quais decisões são essenciais, quais instruções foram dadas e se o prestador passou a usar as informações para objetivos próprios. Este artigo apresenta um método prático e cauteloso para fazer essa análise sem tratar dados pessoais como propriedade da empresa.

Em poucas palavras

• Operador é quem trata dados pessoais em nome do controlador, dentro das instruções aplicáveis à atividade.
• A classificação depende do fluxo real de dados, das finalidades e do grau de autonomia, não apenas do nome usado no contrato.
• Um fornecedor pode ser operador em uma atividade e controlador em outra.
• Contratos úteis descrevem acessos, segurança, subcontratação, retenção, encerramento e comunicação de incidentes.
• O controlador normalmente define a finalidade e as decisões essenciais, mas a classificação deve considerar as decisões concretas do fornecedor.
• A revisão de fornecedores pode começar pelos serviços que concentram maior volume, sensibilidade ou dependência operacional.
• Funcionários internos, encarregados e suboperadores não ocupam automaticamente o mesmo papel de um operador.
• Privacidade custa menos quando entra no desenho do processo do que quando aparece como correção urgente.

O que é um operador de dados pessoais, em poucas palavras?

Operador de dados pessoais é a pessoa natural ou jurídica que realiza o tratamento de dados pessoais em nome do controlador. Essa é a definição básica da LGPD, mas sua aplicação exige olhar para a atividade específica. Em termos práticos, o operador costuma executar uma parte do trabalho: hospeda, organiza, armazena, consulta, envia, classifica ou transforma informações para prestar um serviço solicitado pelo controlador.

Imagine uma pequena loja que contrata uma plataforma para emitir notas e acompanhar pedidos. A loja decide por que precisa dos dados dos compradores e qual operação comercial será realizada. A plataforma pode executar tarefas técnicas necessárias, como armazenar nome, endereço e histórico do pedido. Isso não significa, por si só, que ela ganhou autorização para criar uma nova base comercial, combinar aquelas informações com dados de terceiros ou prospectar os clientes para finalidades próprias.

É importante evitar a linguagem de que os dados são “da” empresa ou “pertencem” ao fluxo de negócio. A LGPD não trata dados pessoais simplesmente como propriedade do controlador. O controlador exerce decisões e responsabilidades jurídicas sobre determinadas operações de tratamento, enquanto os titulares continuam sendo as pessoas a quem os dados se referem. Por isso, a relação deve ser descrita em termos de finalidade, tratamento, instruções, direitos e responsabilidades, e não como transferência de propriedade.

O nome do contrato também não resolve a classificação. Uma empresa chamada “parceira estratégica” pode ser operadora em determinado fluxo, enquanto um fornecedor descrito como “prestador de tecnologia” pode tomar decisões próprias e atuar como controlador naquela atividade. A pergunta inicial é: quem define a finalidade e quem decide os elementos essenciais do tratamento? Depois, é preciso verificar se o fornecedor apenas executa a atividade ou se possui autonomia incompatível com a posição de operador.

Um mesmo fornecedor pode ocupar posições diferentes em relações diferentes. Uma plataforma pode operar dados de clientes para uma loja, seguindo as instruções da contratante, e ser controladora dos dados de seus próprios usuários para cadastro, cobrança ou prevenção a fraude em atividade própria. A análise, portanto, deve ser feita por atividade e por fluxo de dados, não por rótulo fixo aplicado à empresa inteira.

Como funciona a relação entre controlador e operador na prática?

A relação funciona como uma cadeia de decisões e execução, mas não como uma divisão mecânica em que o controlador decide tudo e o operador não decide nada. Em regra, o controlador estabelece a finalidade e os elementos essenciais do tratamento, como as categorias de titulares e dados necessários, o resultado esperado e os limites de uso. O operador toma decisões técnicas ou administrativas necessárias para executar o serviço, desde que permaneça dentro do escopo autorizado.

Considere uma loja que instrui uma plataforma a armazenar pedidos, apoiar o faturamento e permitir acesso à equipe de atendimento. A instrução pode definir quais dados entram, quem poderá acessá-los, para qual finalidade serão usados e o que deverá ocorrer no encerramento. A plataforma ainda poderá escolher detalhes técnicos, como arquitetura, rotina de cópias de segurança ou método de indexação, se essas escolhas não alterarem a finalidade nem ampliarem indevidamente o tratamento.

Uma instrução válida precisa ser suficientemente clara, legítima e compatível com a operação. Ela pode estar no contrato, em um anexo de privacidade, em uma ordem de serviço, em configurações de acesso ou em procedimentos internos. Uma frase genérica como “cumprir a legislação aplicável” não costuma esclarecer quais dados entram, quem acessa, para que finalidade, por quanto tempo e quais limitações devem ser observadas.

Em casos limítrofes, compare a instrução recebida com a decisão efetivamente tomada pelo fornecedor. Há sinais de execução autorizada quando o prestador escolhe meios técnicos para alcançar o resultado definido pela empresa, sem reutilizar os dados para objetivo próprio. Há sinais de autonomia relevante quando ele decide uma nova finalidade, determina quais dados serão combinados para benefício próprio, define independentemente o público a ser alcançado ou impõe um uso que não era necessário ao serviço.

A existência de autonomia técnica, por si só, não transforma o fornecedor em controlador. Um provedor de nuvem pode definir arquitetura, redundância e ferramentas de segurança sem decidir por que a empresa coleta os dados. Por outro lado, uma plataforma que usa os dados recebidos para construir perfis comerciais próprios pode assumir decisões de finalidade que exigem análise diferente. O critério é o efeito da decisão sobre a finalidade e sobre os meios essenciais, e não simplesmente o nível de conhecimento técnico do prestador.

Para tornar a relação verificável, registre pelo menos os seguintes pontos:

Se o fornecedor quiser alterar a finalidade, adicionar um produto baseado nos dados recebidos ou combinar informações com outras bases, a mudança não deve ser tratada automaticamente como simples melhoria técnica. Ela exige reavaliação do papel, da transparência oferecida aos titulares, da base legal aplicável e das responsabilidades de cada parte.

• Dados envolvidos, titulares afetados e operações realizadas pelo fornecedor.
• Finalidade autorizada, resultado esperado, usuários com acesso e sistemas utilizados.
• Decisões que o fornecedor pode tomar tecnicamente e decisões que dependem de autorização da empresa.
• Prazo de retenção, retorno ou eliminação ao encerrar o serviço.
• Regras de confidencialidade, segurança, subcontratação e comunicação de incidentes.

Em quais situações uma empresa costuma contratar um operador?

A maioria das pequenas e médias empresas encontra operadores em serviços que parecem rotineiros. O fornecedor de folha de pagamento processa informações de empregados para calcular remunerações e benefícios. O serviço de hospedagem mantém bancos de dados em uma infraestrutura contratada. Uma plataforma de atendimento organiza chamados para que a equipe responda aos clientes. Um serviço de envio de mensagens dispara comunicações preparadas pela empresa. Em cada caso, o papel depende da finalidade concreta e das decisões tomadas na relação.

O mesmo fornecedor pode ocupar posições diferentes. Uma ferramenta de relacionamento pode operar os dados dos seus clientes quando apenas armazena contatos, segmenta uma lista conforme parâmetros recebidos e dispara uma campanha definida pela contratante. A análise muda se a ferramenta usa esses contatos para criar um perfil de audiência próprio, combinar informações com bases externas, vender inteligência de mercado ou direcionar publicidade para objetivos independentes. O simples fato de o contrato chamar a ferramenta de “plataforma de marketing” não resolve a questão.

Métricas também exigem cuidado. Medir entrega, abertura, tempo de resposta ou falhas técnicas pode ser necessário para prestar o serviço. Porém, usar os dados identificáveis para construir benchmarking comercial entre clientes, treinar produtos próprios ou comparar empresas para uma finalidade independente pode representar uma decisão adicional. Métricas agregadas ou anonimizadas podem reduzir o risco, mas a empresa precisa verificar se a anonimização é efetiva e se o fornecedor não conserva meios razoáveis de reidentificação.

A publicidade é outro caso ambíguo. Uma agência pode executar uma campanha com público, mensagem e período definidos pela empresa. O acesso à lista não autoriza automaticamente a reutilização para prospecção própria. Acesso não equivale a autonomia. Se a agência ou a plataforma decide usar a base para anunciar seus próprios serviços, formar públicos para clientes diferentes ou enriquecer perfis com dados de outras origens, deve-se investigar quem passou a determinar a finalidade daquela nova operação.

Antes de contratar ou renovar, faça perguntas que revelem o fluxo real. Quantos dados serão compartilhados? Há dados sensíveis? O sistema exige dados identificáveis ou pode trabalhar com identificadores reduzidos? Onde o serviço armazena as informações? Quem administra permissões? Existem fornecedores adicionais? O atendimento exige acesso contínuo ou apenas uma carga pontual? O fornecedor retém cópias após o encerramento? Como usa métricas e registros de auditoria?

Uma resposta vaga não prova, sozinha, que o fornecedor é controlador, mas indica que a negociação precisa de mais detalhes. Solicite a descrição do serviço, a lista de subcontratados relevantes, as finalidades declaradas, os períodos de retenção e as opções de configuração. Quando a empresa não consegue limitar a reutilização ou o prestador mantém liberdade ampla para monetizar os dados, a classificação como operador pode não refletir a prática.

O inventário pode começar pelos fornecedores que concentram maior exposição. Priorize serviços que recebem dados de muitas pessoas, tratam informações sensíveis, ficam integrados ao atendimento, mantêm acesso contínuo ou seriam difíceis de substituir em curto prazo. Essa triagem é um parâmetro de gestão, não um prazo legal obrigatório; serve para direcionar recursos para os fluxos em que uma falha teria maior impacto.

Quando o operador não se aplica e como diferenciá-lo de conceitos próximos?

Tratar dados pessoais não transforma qualquer pessoa ou empresa em operador. A diferença depende da posição ocupada na atividade. O controlador decide as finalidades e os elementos essenciais do tratamento. O operador trata os dados em nome do controlador, seguindo as instruções aplicáveis. O encarregado exerce uma função de comunicação e orientação em proteção de dados, conforme a estrutura adotada pela organização, mas não se confunde automaticamente com o fornecedor que hospeda arquivos ou processa pagamentos.

O empregado que consulta o cadastro de clientes dentro da estrutura da própria empresa também merece uma explicação precisa. Em regra, ele não é um operador independente apenas por manipular dados no trabalho. Atua como pessoa autorizada pela organização, submetida às políticas internas, às instruções do controlador e aos controles de acesso. A empresa continua responsável por definir permissões compatíveis com a função, orientar a equipe, exigir confidencialidade e supervisionar o uso. Se um profissional passa a atuar por meio de uma empresa independente, com autonomia própria e contrato de prestação de serviços, a análise pode mudar.

O suboperador é o terceiro contratado pelo operador para executar uma parte do serviço. Ele não surge apenas porque existe uma cadeia comercial: é necessário verificar se realmente terá acesso ou realizará tratamento de dados em nome do operador e, em última análise, dentro do fluxo autorizado pelo controlador. A cadeia deve ser conhecida o suficiente para que a empresa avalie riscos, alterações relevantes e medidas de segurança.

Use as perguntas abaixo para comparar os papéis de forma verificável:

O controlador define a finalidade e os elementos essenciais, responde pela governança da atividade e precisa avaliar necessidade, transparência e limites do tratamento. O operador executa tarefas delimitadas, pode tomar decisões técnicas necessárias e deve respeitar o escopo recebido. O encarregado facilita a comunicação, orienta a organização e pode apoiar a governança, mas não substitui as áreas responsáveis pela operação. O usuário interno atua sob a autoridade e as regras da própria organização, sem ser automaticamente um fornecedor. O suboperador realiza parte da tarefa por contratação do operador, sujeito às condições da cadeia.

Uma organização pode ser controladora em um fluxo e operadora em outro. Por isso, a comparação não deve perguntar apenas “quem é esta empresa?”, mas “qual atividade está sendo analisada, para qual finalidade, com quais dados e sob quais decisões?”.

Perguntas de distinção entre papéis em um fluxo de dados pessoais

Conceito	Decisão ou atuação característica	Exemplo	Controle verificável
Controlador	Define a finalidade e os elementos essenciais do tratamento.	A empresa decide por que precisa dos dados dos clientes e quais operações comerciais realizará.	Documentar finalidade, necessidade, transparência, base legal e governança.
Operador	Executa o tratamento em nome do controlador e pode escolher meios técnicos compatíveis com o serviço.	Um fornecedor hospeda ou processa dados para prestar o serviço contratado.	Delimitar instruções, acessos, segurança, subcontratação e encerramento.
Encarregado ou DPO	Orienta e facilita a comunicação sobre privacidade, sem assumir automaticamente a execução técnica.	Um profissional recebe solicitações e apoia áreas internas na organização da privacidade.	Definir atribuições e canais sem atribuir a essa função todo o tratamento da empresa.
Empregado ou usuário interno	Atua dentro da estrutura e das orientações da organização, com autorização compatível com sua função.	Um atendente consulta dados para responder a um pedido de cliente.	Aplicar treinamento, confidencialidade, controle de acesso, registro e supervisão.
Suboperador	É contratado pelo operador para executar parte do serviço.	Um provedor de infraestrutura hospeda o ambiente usado pelo software contratado.	Conhecer a cadeia, avaliar mudanças relevantes e manter compromissos equivalentes de segurança.

Como transformar a classificação em controle verificável?

Depois de identificar um possível operador, a pergunta prática é se contrato, configuração e rotina contam a mesma história. Comece pelos fornecedores críticos e registre o serviço, os dados envolvidos, a finalidade, os acessos, os subcontratados e a pessoa interna responsável. Uma planilha pode ser suficiente se permanecer atualizada, tiver responsáveis definidos e permitir localizar pendências.

Obrigação legal não é sinônimo de cláusula padrão. A LGPD estabelece responsabilidades e deveres que dependem do contexto, da atividade e das regras aplicáveis, mas não determina que todo contrato entre empresas tenha exatamente um modelo único de cláusula. Por isso, o contrato deve traduzir a operação real e distribuir procedimentos de cooperação. Descreva o que o fornecedor pode fazer, o que não pode fazer, como deve proteger os dados, em quais situações pode recorrer a terceiros e como devolver, eliminar ou manter informações quando houver fundamento para retenção.

Também pode ser recomendável estabelecer um canal para dúvidas, incidentes e solicitações relacionadas aos titulares. Esse canal é uma boa prática de governança e cooperação; sua existência, formato e fluxo precisam ser ajustados à relação concreta. Não se deve afirmar que todo operador é, em qualquer situação, legalmente obrigado a receber diretamente pedidos de titulares ou a responder por todos eles. Em muitos arranjos, o controlador centraliza o atendimento e o operador presta apoio técnico ou fornece informações necessárias.

As permissões merecem revisão separada. Se uma agência precisa enviar uma campanha por duas horas, esse período pode ser usado como parâmetro operacional, não como exigência legal. Talvez ela não precise manter acesso permanente ao cadastro completo. Se o suporte técnico atende apenas chamados, o acesso pode ser temporário, registrado e limitado aos ambientes necessários. O prazo de duas horas deve ser definido conforme o risco e a tarefa; não é uma regra universal.

O mesmo cuidado vale para prazos de resposta e ciclos de revisão. Uma empresa pode estabelecer internamente 30 dias para corrigir uma lacuna contratual ou revisar um fornecedor a cada seis meses. Esses números são parâmetros editoriais e de gestão, não prazos gerais impostos pela LGPD para toda relação entre controlador e operador. O prazo deve considerar criticidade, exposição, sensibilidade dos dados, dependência operacional e capacidade de correção.

Na prática, diferencie três camadas de controle. O requisito jurídico é aquilo que decorre da LGPD, de outra norma aplicável ou de uma decisão formal da autoridade competente para o caso. A boa prática operacional é uma medida recomendável para demonstrar governança, como manter inventário, registrar acessos e revisar subcontratados. O parâmetro adaptável é uma escolha da empresa, como dois dias para comunicar uma ocorrência contratual, 30 dias para concluir uma correção ou seis meses para uma revisão periódica. Essa distinção evita apresentar recomendações internas como se fossem obrigações universais.

A segurança também envolve comportamento e tecnologia. A Cartilha de Segurança para Internet do CERT.br apresenta orientações gerais sobre riscos como golpes, códigos maliciosos, senhas, autenticação e proteção de dispositivos. Ela pode apoiar treinamentos e comunicações internas, mas não substitui uma avaliação de risco, um contrato, uma política de segurança ou medidas técnicas específicas para o serviço. A referência verificável está no portal oficial do CERT.br, em https://cartilha.cert.br/.

Transforme a análise em evidência com um roteiro proporcional:

1. Liste fornecedores que recebem, armazenam, acessam ou transformam dados pessoais.
2. Classifique os fluxos por volume, sensibilidade, acesso contínuo, dependência operacional e possibilidade de reutilização.
3. Compare contrato, permissões, configurações e prática do fornecedor com a finalidade realmente necessária.
4. Registre lacunas, responsáveis, medida corretiva e prazo interno justificado pelo risco.
5. Verifique subcontratados, retenção, encerramento, incidentes e apoio a solicitações dos titulares.
6. Repita a revisão quando houver mudança relevante no serviço, na finalidade, nos dados ou na cadeia de fornecedores.

Perguntas frequentes

Uma empresa de software é sempre operadora de dados pessoais?

Não. Ela pode ser operadora quando executa o tratamento em nome da sua empresa e conforme as instruções aplicáveis. Se usa os dados para finalidades próprias, decide objetivos independentes ou combina informações para seu negócio, pode ocupar a posição de controladora naquele fluxo.

O operador pode decidir como tratar os dados?

Ele pode tomar decisões técnicas necessárias para executar o serviço, como configurar armazenamento, organizar rotinas ou escolher mecanismos de segurança. Isso não significa liberdade para alterar a finalidade ou criar usos incompatíveis. As decisões essenciais e a finalidade precisam ser analisadas à luz do fluxo concreto.

Funcionário da empresa é considerado operador pela LGPD?

Em regra, o funcionário que atua dentro da estrutura e das orientações internas é tratado como usuário interno ou pessoa autorizada, não como fornecedor independente. A empresa deve controlar acessos, treinar a equipe, estabelecer confidencialidade e supervisionar o uso. A análise pode mudar se o profissional atuar por meio de uma empresa independente com autonomia própria.

O contrato com o operador precisa ter quais cláusulas?

É recomendável descrever finalidade, categorias de dados, acessos, segurança, confidencialidade, subcontratação, apoio a solicitações, comunicação de incidentes, retenção e encerramento. O texto deve corresponder ao fluxo real. A LGPD não fornece um modelo único de contrato aplicável indistintamente a toda relação.

É obrigatório criar um canal direto entre o titular e o operador?

Não se deve tratar essa obrigação como universal sem considerar o contexto. É uma boa prática estabelecer um canal de cooperação para que o operador encaminhe ou apoie solicitações, incidentes e dúvidas. Em muitos arranjos, o controlador centraliza o atendimento ao titular e o operador fornece suporte técnico e informações.

Quem é responsável se o operador causar um incidente de segurança?

A resposta depende dos fatos, das decisões tomadas, da atuação de cada parte e das regras aplicáveis. O controlador não deve presumir que o contrato transfere toda a responsabilidade. O operador precisa cooperar e comunicar conforme o fluxo acordado, enquanto a empresa deve manter governança, registros e procedimentos de resposta.

Um operador pode contratar outro fornecedor para tratar os dados?

Pode haver suboperador, desde que a cadeia seja conhecida e governada de modo compatível com a relação principal. Verifique quem será contratado, quais dados acessará, qual atividade executará e se os compromissos de segurança e uso limitado serão preservados.

A mesma empresa pode ser controladora em uma atividade e operadora em outra?

Sim. Uma plataforma pode operar dados de clientes para uma empresa contratante e controlar os dados de seus próprios usuários para finalidades independentes. A classificação deve ser feita por atividade e fluxo, não por rótulo fixo aplicado à empresa inteira.

Como uma pequena empresa pode identificar rapidamente seus operadores?

Liste fornecedores que recebem, armazenam, acessam ou transformam dados pessoais. Em seguida, pergunte quem define a finalidade, quem executa a tarefa, quais dados são necessários, quais decisões o fornecedor toma e se existe uso próprio. Priorize relações com maior volume, sensibilidade, acesso contínuo ou dependência operacional.

Resumindo

Um operador de dados pessoais é, em regra, quem trata dados em nome do controlador e dentro do escopo definido para a atividade. Identificar esse papel exige mais do que procurar uma cláusula ou aceitar o rótulo comercial do fornecedor: é preciso observar finalidade, decisões, autonomia, acessos, reutilização e cadeia de subcontratação.

Comece pelos fluxos mais relevantes, registre os dados compartilhados, compare contrato e prática, limite permissões e documente como ocorrerão segurança, comunicação, apoio aos titulares e encerramento. Trate prazos como parâmetros de gestão quando forem escolhas internas, não como exigências legais sem fonte. E lembre-se de que a mesma empresa pode ser operadora em uma atividade e controladora em outra. Essa análise por fluxo torna a governança mais precisa e reduz o risco de atribuir responsabilidades com base em suposições.

Fontes

1. Cartilha de Segurança para Internet. Centro de Estudos, Resposta e Tratamento de Incidentes de Segurança no Brasil (CERT.br). Explica golpes, ataques, códigos maliciosos e outras técnicas usadas para induzir vítimas a revelar informações ou permitir o acesso indevido a contas e dispositivos.