Saiba quem é o titular de dados pessoais, como identificá-lo na rotina da empresa, quais cuidados adotar e como diferenciá-lo de outros papéis da LGPD.

Se uma cliente pedir para saber quais dados a sua empresa mantém, corrigir um telefone ou explicar com quem suas informações foram compartilhadas, a primeira pergunta será: quem é o titular desses dados? A resposta evita dois erros comuns: tratar a solicitação como favor comercial ou entregar informações a alguém que não comprovou sua relação com o cadastro.

Em termos simples, titular de dados pessoais é a pessoa natural a quem uma informação se refere. Pode ser cliente, funcionário, candidato, visitante, fornecedor pessoa física ou contato de uma empresa. A identificação correta permite organizar o atendimento, separar responsabilidades e transformar a adequação à LGPD em uma rotina verificável.

Esse conceito não deve ficar apenas em um glossário. Ele precisa orientar cadastros, contratos, sistemas, canais de atendimento e decisões sobre retenção. Ao analisar um processo, você deve conseguir responder, em poucos minutos, quais pessoas naturais aparecem nele, quais dados as identificam, para que essas informações são usadas e quem pode agir em nome da empresa.

Em poucas palavras

• Titular de dados pessoais é a pessoa natural identificada ou identificável a quem a informação se refere.
• A pessoa não precisa ser cliente, fornecer consentimento ou entregar o dado diretamente para ocupar a posição de titular.
• A empresa pode guardar e utilizar um cadastro sem se tornar dona da identidade das pessoas nele registradas.
• O mesmo titular pode aparecer em vários processos, enquanto uma única operação pode envolver diversos titulares.
• Pessoa jurídica e pessoa natural não são equivalentes para fins de dados pessoais.
• Retirar o nome de um registro não basta para torná-lo anônimo quando outras informações ainda permitem identificar alguém por meios razoavelmente disponíveis.
• Reconhecer o titular ajuda a localizar dados, corrigir cadastros, responder solicitações e reduzir coletas desnecessárias.
• Controlador, operador, encarregado e titular ocupam posições diferentes na mesma operação.

Quem é o titular de dados pessoais, em uma resposta direta?

Titular de dados pessoais é a pessoa natural identificada ou identificável a quem o dado se refere. Se uma pequena loja mantém nome, telefone e histórico de pedidos de Ana, Ana é a titular dessas informações. A loja armazena os registros e decide como utilizá-los, mas não se transforma em dona da identidade de Ana por ter criado o cadastro.

A definição vale mesmo quando a pessoa não é cliente. Um funcionário é titular dos dados usados na folha de pagamento; um candidato é titular das informações do currículo; um visitante pode ser titular do registro de acesso; e um fornecedor pessoa física pode ser titular dos dados presentes em um contrato. O vínculo nasce da relação entre a pessoa e a informação, e não do nome comercial do processo.

Consentimento também não define quem é o titular. Você pode ser titular quando seus dados são tratados para cumprir um contrato, atender uma obrigação legal ou regulatória, exercer direitos, proteger a vida ou realizar outra finalidade permitida pela LGPD. São perguntas diferentes: de quem é o dado e qual base legal pode autorizar determinado tratamento?

Em casos ambíguos, aplique três testes. Primeiro, pergunte se existe uma pessoa natural concreta por trás do registro. Segundo, verifique se ela pode ser reconhecida diretamente, por um identificador como nome, CPF, fotografia ou e-mail, ou indiretamente, pela combinação de informações. Terceiro, considere se a identificação pode ocorrer com meios razoavelmente disponíveis no contexto, como cruzamento com cadastro interno, registros de acesso ou informações públicas.

Um identificador não precisa apontar sozinho para uma pessoa. O código de atendimento 84721 pode ser insuficiente em uma base isolada, mas identificar alguém quando combinado com data, horário, unidade e histórico de contato. Do mesmo modo, o e-mail corporativo contato.ana@empresa.com.br pode revelar uma pessoa natural, ainda que tenha sido usado em atividade profissional.

Na prática, reconhecer Ana como titular muda a decisão da loja. Se ela pedir correção do telefone, você deverá localizar os registros relacionados a ela, conferir a identidade de quem solicita, avaliar quais sistemas precisam ser atualizados e verificar se algum terceiro recebeu o dado. O primeiro passo não é procurar um formulário pronto, mas identificar a pessoa por trás de cada informação.

• Pergunte se o registro se refere a uma pessoa natural, e não apenas a uma empresa ou objeto.
• Verifique se a identificação é direta ou resulta da combinação de dois ou mais dados.
• Considere os meios razoavelmente disponíveis no contexto, sem exigir hipóteses meramente remotas.
• Separe a titularidade da base legal, do consentimento e da propriedade do sistema.
• Registre as situações em que a identificação depende de outro cadastro ou fornecedor.

Como identificar o titular em uma operação de tratamento?

Depois de entender a definição, use a sequência dado, pessoa, finalidade. Pergunte qual informação é tratada, a quem ela se refere e para que está sendo usada. Nome, CPF, e-mail, telefone, endereço, imagem, registro de atendimento e identificadores on-line podem apontar diretamente para alguém ou permitir sua identificação quando combinados.

Para sair do abstrato, imagine o processo de entrega de uma loja virtual. O pedido contém o nome e o endereço de Ana, o pagamento registra o titular do cartão ou da conta utilizada, o telefone permite contato sobre a entrega e o sistema da transportadora recebe nome, endereço e código do pedido. A loja pode ser controladora da operação; a transportadora pode tratar parte dos dados em seu nome; e Ana é titular dos dados que se referem a ela. Se o pedido for enviado para outra pessoa, o destinatário também poderá ser titular dos dados correspondentes.

Registre esse processo em uma ficha com, no mínimo, os seguintes campos: nome da operação; finalidade; categorias de titulares; categorias de dados; origem; sistemas envolvidos; compartilhamentos; papéis de cada agente; base legal analisada; prazo ou critério de retenção; medidas de segurança; e canal para solicitações. O registro não precisa ser idêntico para todas as empresas, mas deve permitir reconstruir o caminho do dado.

Um exemplo preenchido poderia ser: operação ‘entrega de pedido’; finalidade ‘separar, faturar e entregar a compra’; titulares ‘comprador e destinatário, quando diferentes’; dados ‘nome, endereço, telefone e referência do pedido’; origem ‘formulário de compra’; sistemas ‘loja virtual, sistema financeiro e painel da transportadora’; compartilhamento ‘transportadora contratada’; retenção ‘pelo período necessário às finalidades informadas e às obrigações aplicáveis’; responsável interno ‘área de operações’; canal de solicitação ‘canal de privacidade da empresa’. Esse registro revela imediatamente que a busca não deve considerar apenas o nome do comprador.

Uma mesma pessoa pode surgir em vários pontos da empresa. Ana aparece no CRM como cliente, no sistema financeiro como responsável pelo pagamento, no histórico de atendimento como solicitante e em uma ferramenta de campanhas como destinatária. Cada registro pode ter finalidade, prazo de retenção, acesso e fornecedor diferentes, embora todos se relacionem à mesma titular.

Também pode haver vários titulares na mesma operação. Uma venda pode envolver o comprador, a pessoa que receberá a entrega e o contato indicado para resolver um problema. Uma folha de pagamento envolve empregados e, em certos casos, dependentes. O mapa precisa seguir cada pessoa natural, não apenas o nome do processo ou do sistema.

1. Escolha uma operação concreta, como vendas, recrutamento, atendimento ou entrega.
2. Liste cada dado e indique a pessoa natural a quem ele se refere.
3. Registre finalidade, origem, sistema, compartilhamento, retenção e papéis envolvidos.
4. Marque se a identificação é direta, indireta ou depende de combinação com outra base.
5. Revise o registro quando houver novo fornecedor, finalidade, sistema ou fluxo de compartilhamento.

O que muda na prática para a empresa?

Identificar o titular transforma um pedido genérico em uma tarefa controlável. Quando Ana solicita a correção do telefone, você precisa confirmar quem está pedindo, localizar os dados associados, analisar o alcance da alteração e atualizar os pontos pertinentes. Alterar apenas uma planilha, mantendo o número antigo no sistema de atendimento, cria inconsistência e pode prolongar o problema.

A LGPD prevê, entre outros, direitos de confirmação da existência de tratamento, acesso, correção, anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade, portabilidade conforme regulamentação da autoridade, eliminação de dados tratados com consentimento quando cabível, informação sobre compartilhamentos e revogação do consentimento. Cada pedido exige análise própria. Não é correto prometer eliminação imediata para qualquer situação nem negar todos os pedidos porque a empresa possui uma obrigação de retenção.

Para confirmação e acesso, o artigo 19 da LGPD diferencia a resposta simplificada, que deve ser imediata quando possível, da declaração clara e completa, que deve indicar a origem dos dados, a falta de registro, os critérios utilizados e a finalidade do tratamento, observada a hipótese legal aplicável. Quando esse formato completo for solicitado ou necessário, a lei prevê prazo de até 15 dias para a resposta, sem transformar esse prazo em autorização para ignorar pedidos mais simples ou situações urgentes.

Um fluxo operacional pode ser dividido em cinco momentos: recebimento e protocolo; verificação proporcional da identidade; classificação do direito solicitado; busca e análise dos sistemas; resposta e execução. O protocolo deve registrar data, canal, solicitante, pedido e prazo de acompanhamento. A área responsável deve documentar o que foi localizado, o que foi corrigido, conservado, restringido ou eliminado e por qual motivo.

A validação da identidade deve acompanhar o risco do pedido. Em um pedido de baixa exposição, como confirmação de uma preferência sem revelar dados adicionais, pode bastar a confirmação por canal já autenticado e um dado de contexto que a empresa já possua. Em um pedido de risco médio, como acesso a histórico de atendimento, pode ser necessário usar conta autenticada, confirmação em canal previamente cadastrado ou combinação de informações não sensíveis. Em um pedido de alto risco, como cópia ampla de cadastro, mudança de dados bancários ou entrega de informações sensíveis, considere autenticação reforçada, confirmação por canal independente e análise de procuração ou representação, quando aplicável.

Esses níveis não substituem avaliação jurídica ou de segurança. Evite enviar código de acesso, documento completo ou cadastro integral por um e-mail recém-informado no próprio pedido. Também não exija uma quantidade desproporcional de documentos de quem solicita uma informação de baixo risco. O objetivo é reduzir a probabilidade de fraude sem criar coleta adicional maior que a necessária.

A Cartilha de Segurança para Internet do CERT.br, fonte disponível em https://cartilha.cert.br/, reúne orientações de prevenção a golpes, proteção de contas e cuidados com o fornecimento de informações. Ela pode apoiar a conscientização, mas não substitui o procedimento jurídico, a análise de risco nem a definição interna de autenticação.

Ao decidir entre corrigir, conservar, restringir ou eliminar, use critérios documentados. Corrija quando o dado estiver inexato e puder ser atualizado de forma confiável. Conserve quando houver obrigação legal, exercício regular de direitos ou outra justificativa válida, limitando acesso e finalidade. Restrinja ou interrompa o uso quando houver tratamento excessivo, desnecessário ou em desconformidade, conforme a análise do caso. Elimine quando não houver necessidade de retenção e não existir impedimento jurídico ou operacional legítimo. Se a informação tiver sido compartilhada, avalie também a comunicação da correção ou da eliminação aos destinatários pertinentes.

Dados de uma pessoa jurídica, isoladamente, não correspondem a um titular pessoa natural. Já o nome de um representante, o telefone de um sócio ou o e-mail de um contato comercial podem identificá-lo individualmente. A origem pública também não elimina a necessidade de avaliar finalidade, adequação, necessidade, segurança e contexto de uso.

Retirar o nome de uma planilha não garante anonimização. Se a combinação de cidade, cargo, horário e histórico permitir reconhecer alguém, a informação ainda pode ser dado pessoal. A LGPD considera anonimizado o dado que não permite identificar o titular, considerando a utilização de meios técnicos razoáveis e disponíveis na ocasião do tratamento. A análise deve documentar quais bases podem ser cruzadas, quem teria acesso, qual esforço seria necessário e se o risco de reidentificação é aceitável para aquela finalidade.

Titular, controlador, operador e encarregado são a mesma coisa?

Não. Esses termos respondem a perguntas diferentes. O titular é a pessoa natural a quem o dado se refere; o controlador é quem toma as decisões referentes ao tratamento; o operador realiza o tratamento em nome do controlador; e o encarregado atua como canal de comunicação e exerce as atribuições previstas na LGPD e nas orientações aplicáveis da ANPD.

Na loja de Ana, a própria loja pode ser controladora ao decidir usar um CRM para administrar pedidos, definir finalidades e escolher os meios principais da operação. O fornecedor do CRM pode ser operador ao armazenar ou processar registros em nome da loja, conforme as instruções e os limites contratuais. Ana continua sendo titular. Se uma funcionária atualiza os cadastros no exercício de suas funções, ela atua como parte da estrutura do agente de tratamento; isso não a transforma automaticamente em operadora independente.

O encarregado não é o dono de todos os dados nem o responsável geral por cada decisão de governança. Sua atuação pode incluir aceitar comunicações dos titulares, prestar esclarecimentos, orientar funcionários e apoiar a conformidade, conforme a estrutura da organização, a LGPD e as regras da ANPD. A empresa continua responsável por definir responsabilidades, recursos, segurança e decisões de tratamento.

Uma pessoa ou empresa pode ocupar papéis diferentes em relações distintas. A loja pode ser controladora dos dados de seus clientes, operadora quando executa uma atividade contratada por outra empresa e titular dos dados de seus próprios representantes. A posição depende da operação analisada, não de um rótulo permanente aplicado à organização.

A comparação abaixo mostra quem decide, quem executa, quem se comunica e quem é protegido em cada posição.

Diferenças entre os papéis em uma operação de tratamento

Papel	Quem é	Quem decide ou executa	Relação com o titular
Titular	Pessoa natural identificada ou identificável	Não ocupa o papel de agente de tratamento apenas por ser a pessoa a quem o dado se refere	É a pessoa protegida e pode exercer os direitos previstos na LGPD
Controlador	Pessoa natural ou jurídica, de direito público ou privado, a quem competem as decisões referentes ao tratamento	Define finalidades e decisões essenciais sobre o uso dos dados	Deve estruturar o tratamento e responder às solicitações conforme a lei
Operador	Pessoa natural ou jurídica que trata dados em nome do controlador	Executa atividades conforme instruções e limites definidos na relação de tratamento	Pode apoiar a localização e a execução de pedidos, mas não substitui o controlador em suas decisões
Encarregado	Pessoa indicada pelo agente de tratamento para atuar nas atribuições previstas	Apoia comunicação, orientação e governança, sem ser automaticamente o decisor de todos os tratamentos	Facilita o contato entre titulares, organização e autoridade, conforme suas atribuições

Perguntas frequentes

Toda pessoa que fornece um dado para uma empresa é titular?

Não necessariamente por ter fornecido o dado, mas porque a informação se refere a ela. Você pode ser titular mesmo quando outra pessoa, um sistema ou um terceiro inseriu o registro.

Uma empresa pode ser titular de dados pessoais?

A titularidade de dados pessoais se refere à pessoa natural. Uma pessoa jurídica pode ser parte de um contrato ou proprietária de um cadastro, mas dados de seus representantes, sócios e contatos podem ser pessoais.

O titular precisa dar consentimento?

Não. Consentimento é apenas uma possível base legal para determinado tratamento. A existência da titularidade depende da relação entre a pessoa natural e o dado.

Funcionários e candidatos também são titulares?

Sim. Dados de folha, benefícios, recrutamento, avaliação, saúde ocupacional ou contato profissional podem se referir a pessoas naturais e precisam ser mapeados.

Qual é a diferença entre titular e controlador?

O titular é a pessoa a quem o dado se refere. O controlador é a pessoa natural ou jurídica, de direito público ou privado, a quem competem as decisões referentes ao tratamento.

O operador é titular das informações que acessa?

Não por apenas acessar ou processar os dados. O operador realiza tratamento em nome do controlador; o titular continua sendo a pessoa natural relacionada às informações.

O encarregado é responsável por toda a privacidade da empresa?

Não automaticamente. O encarregado apoia comunicação, orientação e governança dentro de suas atribuições, mas a organização continua responsável por suas decisões, recursos, segurança e conformidade.

Dados públicos deixam de ser dados pessoais?

Não automaticamente. Se a informação pública identificar ou permitir identificar uma pessoa natural, ainda é necessário avaliar finalidade, adequação, necessidade, segurança e contexto de uso.

Um dado sem nome ainda pode identificar alguém?

Sim. Combinações de localização, cargo, horário, comportamento ou outros registros podem permitir identificação. A retirada do nome, sozinha, não comprova anonimização.

Quais direitos o titular pode exercer?

Entre os pedidos possíveis estão confirmação da existência de tratamento, acesso, correção, informações sobre uso e compartilhamento, anonimização, bloqueio, eliminação e outros direitos previstos no artigo 18 da LGPD, conforme o caso e as limitações aplicáveis.

Existe prazo para responder a um pedido de acesso?

O artigo 19 da LGPD prevê resposta simplificada imediatamente, quando possível, e declaração clara e completa em até 15 dias, observadas a forma do pedido, a hipótese legal, a segurança da resposta e outras regras aplicáveis.

Como confirmar a identidade de quem solicita informações?

Use procedimento proporcional ao risco. Para baixo risco, um canal autenticado ou dado de contexto pode ser suficiente; para acesso amplo ou dados sensíveis, considere autenticação reforçada, confirmação por canal independente e prova de representação quando necessário. Evite tanto a validação insuficiente quanto a coleta excessiva.

Resumindo

Titular de dados pessoais é a pessoa natural identificada ou identificável a quem uma informação se refere. Ela pode ser cliente, funcionário, candidata, visitante, paciente, entregadora, fornecedora pessoa física ou contato comercial, mesmo sem ter dado consentimento ou fornecido o dado diretamente. A empresa pode controlar o tratamento, guardar registros e contratar fornecedores, mas isso não transforma o banco de dados em propriedade sobre as pessoas.

Para agir, escolha um processo concreto, como vendas ou atendimento, e preencha uma ficha com operação, finalidade, titulares, dados, sistemas, compartilhamentos, retenção, segurança e canal de atendimento. Depois, defina como você confirmará a identidade em pedidos de baixo, médio e alto risco, sempre ajustando a medida ao tipo de informação que poderá ser revelada.

Ao receber uma solicitação, protocole o pedido, localize os dados, classifique o direito, analise as limitações e justifique a decisão de corrigir, conservar, restringir ou eliminar. Consulte o texto atualizado da LGPD, as orientações da ANPD e a Cartilha de Segurança para Internet do CERT.br quando a situação exigir validação jurídica ou técnica. Assim, o conceito de titular deixa de ser uma definição abstrata e passa a orientar decisões verificáveis de privacidade.

Fontes

1. Cartilha de Segurança para Internet. Centro de Estudos, Resposta e Tratamento de Incidentes de Segurança no Brasil (CERT.br). Explica golpes, ataques, códigos maliciosos e outras técnicas usadas para induzir vítimas a revelar informações ou permitir o acesso indevido a contas e dispositivos.