Entenda quando sua empresa atua como controladora de dados, como diferenciar esse papel do operador e como reconhecer controladores independentes ou conjuntos.
Você abre o contrato de um software e encontra a expressão Data Controller. Em outro anexo, sua empresa aparece como controladora, enquanto o fornecedor se declara operador. O rótulo parece simples, mas pode ocultar uma relação diferente: quem recebe, consulta ou armazena os dados nem sempre decide por que eles são usados.
A classificação também não deve ser atribuída à empresa de maneira abstrata e definitiva. Uma mesma organização pode definir a finalidade de uma campanha, seguir instruções de um cliente em outro serviço e participar com um parceiro das decisões sobre uma terceira atividade. O exame acompanha cada operação de tratamento e as decisões efetivamente tomadas.
Considere a Loja Aurora, uma pequena varejista que trata dados em vendas, prevenção a fraudes, campanhas e recrutamento. O papel da loja e de seus fornecedores muda conforme o objetivo, a autonomia de cada participante e os elementos essenciais definidos para cada fluxo. Este guia apresenta primeiro o conceito jurídico, depois um teste prático para distinguir os papéis e, por fim, os alertas e registros necessários para manter a classificação defensável.
Principais pontos
- O poder de definir a finalidade e os elementos essenciais do tratamento identifica o controlador com mais precisão do que a posse física dos dados.
- Uma empresa pode ser controladora em uma operação e operadora em outra, pois a classificação acompanha cada finalidade concreta.
- Controladoria conjunta pressupõe participação relevante de duas ou mais partes em decisões essenciais; compartilhar dados ou infraestrutura, por si só, não basta.
- O contrato ajuda a demonstrar os papéis, mas não corrige uma classificação incompatível com a atividade realizada na prática.
- Prazos internos de revisão devem ser ajustados ao porte, ao risco e à frequência de mudanças, pois não substituem os prazos previstos na legislação ou na regulamentação.
Data Controller e controlador significam a mesma coisa?
A LGPD define controlador como a pessoa natural ou jurídica, de direito público ou privado, a quem competem as decisões referentes ao tratamento de dados pessoais. A definição está no artigo 5º, inciso VI, da Lei nº 13.709/2018. Data Controller é a expressão inglesa frequentemente encontrada em contratos, políticas e plataformas internacionais. Ela corresponde, em termos gerais, à ideia de controlador, mas não autoriza a importação automática de conceitos, obrigações ou interpretações do GDPR europeu para uma relação submetida à legislação brasileira.
O aspecto decisivo é a competência para determinar a finalidade concreta e os elementos essenciais da atividade. Isso inclui definir o resultado pretendido, as categorias de titulares e de dados necessárias, os destinatários relevantes e critérios substanciais de conservação ou eliminação. Escolhas meramente técnicas, como a configuração de servidores, o formato de um relatório ou a distribuição interna de capacidade computacional, podem ser delegadas ao prestador sem transferir, por si sós, a posição de controlador.
Imagine que a Loja Aurora decida coletar nome, endereço e informações de pagamento para concluir vendas e aplicar seus critérios de prevenção a fraudes. O sistema contratado organiza pedidos e executa rotinas conforme os parâmetros recebidos. Nessa operação, a Aurora tende a ser controladora, enquanto o fornecedor tende a atuar como operador, definido pelo artigo 5º, inciso VII, da LGPD como quem realiza o tratamento em nome do controlador. A conclusão ainda depende da atividade real, e não apenas do nome dado às partes.
A classificação produz consequências práticas porque a LGPD atribui responsabilidades e deveres específicos aos agentes de tratamento. Avisos de privacidade, atendimento aos titulares, definição de instruções, análise de bases legais e gestão de incidentes precisam refletir quem possui poder decisório. O operador deve comunicar ao controlador um incidente de que tenha conhecimento e fornecer as informações necessárias; é o controlador que avalia se o evento alcança o gatilho regulatório para comunicação à ANPD e aos titulares.
A Resolução CD/ANPD nº 15/2024 não exige comunicação externa de todo evento de segurança. O gatilho é a ocorrência de incidente que possa acarretar risco ou dano relevante aos titulares. Segundo a resolução, essa avaliação considera a possibilidade de impacto significativo sobre interesses e direitos fundamentais e, de forma cumulativa, o envolvimento de situações como dados sensíveis, dados de crianças ou adolescentes, dados financeiros, dados de autenticação, informações protegidas por sigilo legal, judicial ou profissional ou tratamento em larga escala.
Quando o gatilho estiver presente, a comunicação à ANPD e aos titulares afetados deve ser feita pelo controlador em três dias úteis. O termo inicial é o conhecimento, pelo controlador, de que o incidente afetou dados pessoais; na contagem, exclui-se o dia do começo e inclui-se o do vencimento. A resolução ressalva a existência de prazo específico estabelecido por outra legislação. Se ainda não dispuser de todas as informações, o controlador pode apresentar comunicação preliminar à ANPD e complementá-la no prazo regulamentar aplicável, sem usar a investigação interna como motivo para ignorar a comunicação inicial.
O prazo em dobro destinado a agentes de tratamento de pequeno porte decorre da Resolução CD/ANPD nº 2/2022, e não de uma ampliação geral criada pela Resolução nº 15/2024. Esse regime diferenciado não se aplica quando houver potencial comprometimento da integridade física ou moral dos titulares ou da segurança nacional. Assim, antes de adotar um prazo, a organização deve verificar o enquadramento concreto, a norma setorial eventualmente aplicável e as exceções regulatórias. A conexão com a classificação é direta: identificar corretamente o controlador determina quem deve conduzir essa avaliação e realizar as comunicações cabíveis.
| Papel | Finalidade e decisões essenciais | Forma de atuação | Exemplo |
|---|---|---|---|
| Controlador | A própria parte define a finalidade e os elementos essenciais | Atua em nome próprio | Loja define dados e critérios necessários para realizar uma venda |
| Operador | Recebe do controlador a finalidade e as instruções aplicáveis | Atua em nome do controlador | Plataforma processa pedidos conforme os parâmetros da loja |
| Controladores independentes | Cada parte define separadamente sua própria finalidade | Cada uma atua em nome próprio, sem decisão essencial comum | Empresas recebem dados legitimamente e realizam usos distintos e autônomos |
| Controladoria conjunta | Duas ou mais partes participam de modo relevante das decisões essenciais | A atividade resulta de determinação comum ou convergente | Parceiros estruturam juntos a finalidade, o público e os critérios de uma campanha |
Como descobrir quem é o controlador em cada operação de dados
O diagnóstico começa com um recorte preciso. Em vez de perguntar se a Loja Aurora é controladora, descreva uma atividade completa: selecionar candidatos para uma vaga, processar uma compra, enviar uma campanha ou administrar benefícios de empregados. O recorte deve indicar o resultado procurado, os titulares envolvidos e o caminho percorrido pelos dados. Sistemas iguais podem sustentar finalidades diferentes, e uma única base pode participar de várias operações.
Em seguida, procure a origem das decisões de negócio. No recrutamento, por exemplo, a Aurora decide abrir a vaga, estabelece os requisitos profissionais, escolhe quais informações serão avaliadas e determina quem participará das entrevistas. Uma plataforma que recebe currículos, agenda conversas e ordena candidatos segundo parâmetros fornecidos pode exercer liberdade técnica sem decidir a finalidade do tratamento. A autonomia operacional não deve ser confundida com o poder de escolher o objetivo.
Depois de identificar quem determina o objetivo, examine os elementos essenciais. Pergunte quem escolhe as categorias de dados, define o público, autoriza destinatários relevantes, estabelece critérios substanciais de retenção e decide se haverá cruzamento com outras fontes. Nem toda escolha tem o mesmo peso. Selecionar um provedor de nuvem ou um método de compactação costuma ser uma decisão técnica; decidir que perfis de clientes serão avaliados, por quanto tempo e para qual resultado comercial é uma decisão ligada à essência da operação.
Para diferenciar controladores independentes de controladoria conjunta, aplique um teste de participação decisória. Há controladoria conjunta quando duas ou mais partes exercem influência relevante sobre a mesma finalidade ou sobre elementos essenciais indispensáveis para que a operação ocorra como foi concebida. A decisão não precisa ser formalizada em uma única reunião, mas deve existir uma determinação comum ou convergente. Já os controladores independentes recebem ou tratam dados em contextos relacionados, porém cada um estabelece separadamente seu objetivo e seus meios essenciais.
Suponha que a Aurora e uma academia criem juntas um programa de benefícios. Ambas definem que clientes participarão, quais dados serão solicitados, como os resultados serão usados e por quanto tempo a campanha funcionará. Se nenhuma delas puder determinar sozinha o desenho essencial, há indícios de controladoria conjunta. Em situação diferente, duas empresas podem receber, de maneira juridicamente válida, informações de contato e decidir separadamente se, quando e como farão suas próprias ofertas. A mera origem comum dos dados não transforma automaticamente essas empresas em controladoras conjuntas.
Também não basta haver compartilhamento, contrato comercial, infraestrutura comum ou benefício econômico para ambas as partes. Esses fatores ajudam a compreender o contexto, mas o teste permanece concentrado nas decisões da operação. Se uma parte define o objetivo e a outra somente executa instruções compatíveis, a relação tende a ser de controlador e operador. Se cada parte determina um tratamento próprio sem participar da decisão da outra, a tendência é de controladores independentes. Se ambas moldam a mesma atividade em seus aspectos essenciais, deve-se investigar a controladoria conjunta.
A base legal é uma análise posterior e distinta. Ser controlador não significa poder escolher livremente qualquer fundamento jurídico. Se a Aurora considerar o legítimo interesse, deverá observar os artigos 7º, inciso IX, e 10 da LGPD. O Guia Orientativo sobre Tratamento de Dados Pessoais pelo Legítimo Interesse, da ANPD, organiza a avaliação em torno de finalidade legítima, necessidade, balanceamento e salvaguardas. Portanto, a empresa deve demonstrar que o objetivo é legítimo, que o tratamento se limita ao necessário e que os direitos e as legítimas expectativas dos titulares foram considerados e protegidos.
Sinais de alerta, erros de classificação e evidências que a empresa deve manter
Depois de aplicar o teste decisório, a empresa precisa procurar sinais de que sua descrição formal não corresponde ao funcionamento real. Um alerta comum aparece quando o contrato chama o fornecedor de operador, mas lhe concede liberdade para criar perfis comerciais próprios, direcionar publicidade em benefício próprio, combinar os cadastros com fontes externas ou compartilhar informações com destinatários escolhidos por ele. Essas permissões não transformam automaticamente toda a relação, mas exigem a separação dos tratamentos e uma nova análise para cada finalidade.
O erro oposto é tratar como controlador todo prestador que possui acesso amplo, hospeda a base ou define medidas de segurança. Um serviço de infraestrutura pode decidir detalhes técnicos sofisticados e ainda atuar em nome do cliente. A classificação deve mudar apenas quando a autonomia alcançar a finalidade ou os elementos essenciais da operação. Por isso, termos genéricos como parceiro, custodiante, subcontratado ou proprietário da plataforma não substituem as categorias jurídicas da LGPD.
Na Loja Aurora, imagine que o fornecedor de armazenamento mantenha os cadastros exclusivamente para disponibilizar o ambiente contratado. Esse fluxo pode ser compatível com a atuação de operador. Se o mesmo fornecedor utilizar os cadastros para desenvolver um produto comercial destinado a outros clientes, surge uma operação adicional que precisa de finalidade, papel e base legal próprios. A empresa não deve tentar resolver a mudança apenas acrescentando uma autorização vaga ao contrato.
Outro alerta envolve a alegação de que uma base contém apenas dados agregados. Agregação e anonimização não são sinônimos. O artigo 5º, inciso III, da LGPD define dado anonimizado como aquele relativo a titular que não possa ser identificado, considerando a utilização de meios técnicos razoáveis e disponíveis na ocasião do tratamento. O artigo 12 estabelece que dados anonimizados não são considerados dados pessoais, salvo quando o processo puder ser revertido com meios próprios ou quando, com esforços razoáveis, a reversão puder ocorrer.
Assim, totais estatísticos genuinamente desvinculados de indivíduos podem ficar fora do regime de dados pessoais, mas a conclusão depende do contexto técnico. Grupos pequenos, combinações singulares, identificadores persistentes ou acesso a bases auxiliares podem permitir a reidentificação. A avaliação deve considerar custo, tempo, tecnologia disponível e meios que possam ser razoavelmente utilizados, e não apenas o nome agregado atribuído ao conjunto.
Relações híbridas também exigem uma análise cautelosa. Uma contabilidade terceirizada pode processar a folha conforme as definições do cliente em determinadas tarefas e, em outras, tomar decisões necessárias ao cumprimento de deveres legais ou profissionais próprios. Isso não autoriza uma conclusão geral de que toda contabilidade é controladora autônoma. O enquadramento depende da operação, do grau de autonomia permitido pela legislação aplicável e das decisões realmente exercidas. O Guia Orientativo para Definições dos Agentes de Tratamento de Dados Pessoais e do Encarregado, da ANPD, sustenta a análise funcional dos papéis, mas situações reguladas por normas profissionais ou setoriais podem demandar avaliação jurídica específica.
A documentação deve permitir que outra pessoa reconstrua a conclusão. O inventário precisa identificar a operação, os agentes envolvidos, a finalidade, as categorias de dados e titulares e o papel atribuído. Contratos e anexos devem delimitar instruções, usos permitidos, subcontratação, cooperação no atendimento aos titulares e comunicação de incidentes. Avisos de privacidade, fluxos técnicos, registros de aprovação e procedimentos internos devem contar a mesma história.
Atas de comitês, solicitações das áreas de negócio, versões de integrações, registros de instruções e avaliações de novos usos ajudam a mostrar como as decisões foram tomadas. Em uma possível controladoria conjunta, convém registrar a participação de cada parte e distribuir responsabilidades operacionais, inclusive canais para titulares e gestão de incidentes. Esse acordo melhora a governança, mas não cria nem elimina a controladoria conjunta se a prática demonstrar outra realidade.
Os intervalos de duas horas para uma oficina inicial, doze meses para revisão periódica e trinta dias para atualizar registros após uma mudança podem ser usados como referências editoriais de organização, não como parâmetros legais. Uma pequena operação estável talvez exija menos tempo de reunião, enquanto um tratamento de alto risco pode exigir análise extensa e revisões frequentes. Porte, volume de titulares, sensibilidade dos dados, número de fornecedores e frequência de alterações devem determinar o calendário interno.
Mudanças relevantes não devem aguardar automaticamente a revisão anual. Uma nova finalidade, integração, categoria de dados, tecnologia de monitoramento, destinatário ou possibilidade de reutilização justifica reavaliação antecipada. Quando houver conflito persistente entre documentos e prática, decisões compartilhadas complexas, dados sensíveis em larga escala ou dúvida sobre obrigações profissionais próprias, a organização deve buscar análise especializada compatível com o risco.
Perguntas frequentes
Uma empresa pode ser controladora e operadora ao mesmo tempo?
Sim, desde que os papéis se refiram a operações ou finalidades diferentes. Ela pode tratar dados em nome de um cliente em determinado serviço e definir objetivos próprios em outra atividade. O inventário deve separar os fluxos e justificar cada classificação.
O contrato pode definir sozinho quem é o controlador dos dados?
Não. O contrato é uma evidência relevante e deve distribuir responsabilidades, mas a classificação depende das decisões e atividades reais. Se uma parte chamada de operadora define uma finalidade própria ou participa das decisões essenciais, o documento precisa ser revisto.
Todo fornecedor que acessa dados pessoais é operador?
Não. O acesso pode ser eventual, incidental ou relacionado a uma finalidade própria. É necessário verificar por que o fornecedor usa os dados, quais decisões toma e se atua efetivamente em nome da empresa.
Quando duas empresas são controladoras conjuntas?
A controladoria conjunta pode existir quando duas ou mais partes participam de modo relevante da definição da mesma finalidade ou de elementos essenciais da operação. O simples compartilhamento, benefício econômico comum ou uso da mesma infraestrutura não basta.
Qual é a diferença entre controladores independentes e controladores conjuntos?
Controladores independentes definem separadamente suas finalidades e seus meios essenciais, ainda que tratem dados relacionados. Na controladoria conjunta, as partes exercem influência relevante sobre a mesma operação, por meio de decisões comuns ou convergentes.
O controlador precisa ser o proprietário dos dados pessoais?
Não. A LGPD não condiciona o papel à propriedade dos dados. A identificação considera quem decide sobre a finalidade e os aspectos essenciais do tratamento, enquanto os dados pessoais permanecem relacionados à pessoa natural identificada ou identificável.
Dados agregados deixam automaticamente de ser dados pessoais?
Não. A agregação só afasta a aplicação da LGPD quando o resultado satisfaz os critérios legais de anonimização. Se a identificação puder ser revertida com meios próprios ou esforços razoáveis, considerando custo, tempo e tecnologia disponível, os dados podem continuar sujeitos à lei.
Data Controller no GDPR é exatamente igual ao controlador na LGPD?
Não exatamente. Os conceitos são próximos, mas pertencem a regimes jurídicos distintos, com regras, autoridades e interpretações próprias. Contratos internacionais devem ser adaptados à LGPD sem pressupor equivalência integral.
Conclusão
Identificar o Data Controller exige seguir as decisões reais de cada operação, e não o nome escolhido para a empresa ou para o fornecedor. O diagnóstico começa pela finalidade, distingue decisões essenciais de escolhas técnicas e verifica se as demais partes recebem instruções, definem objetivos separados ou participam da determinação da mesma atividade.
Na Loja Aurora, uma plataforma pode processar pedidos em nome da loja, duas empresas podem conduzir tratamentos independentes após um compartilhamento válido e parceiros podem estruturar conjuntamente uma campanha. Cada cenário produz responsabilidades diferentes. A classificação correta orienta bases legais, avisos, contratos, atendimento aos titulares e resposta a incidentes.
O passo final é transformar a análise em governança contínua. Registre a justificativa, alinhe os documentos à prática e reavalie o fluxo sempre que houver mudança relevante. Prazos internos devem ser proporcionais ao porte e ao risco, sem serem confundidos com obrigações legais. Quando a operação envolver decisões compartilhadas complexas ou normas setoriais, complemente o diagnóstico com orientação jurídica especializada.
