Controlador de Dados: Definição, Obrigações e Responsabilidade pela LGPD
O controlador de dados é a pessoa natural ou jurídica, de direito público ou privado, a quem competem as decisões referentes ao tratamento de dados pessoai...
O controlador de dados é a pessoa natural ou jurídica, de direito público ou privado, a quem competem as decisões referentes ao tratamento de dados pessoais, conforme o artigo 5°, VI, da LGPD. No Direito Digital brasileiro, o controlador de dados LGPD é o principal responsável pelo cumprimento da lei, respondendo pelos atos do operador que contratou perante os titulares e a ANPD. Por isso, advogados de compliance digital precisam compreender o papel do controlador e as responsabilidades jurídicas que dele decorrem.
Além disso, a correta identificação de quem é controlador em uma cadeia de tratamento de dados é fundamental para definir responsabilidades contratuais e regulatórias.
Quem É o Controlador de Dados?
O controlador é quem decide o quê, por quê e como os dados pessoais serão tratados. É ele que determina as finalidades do tratamento, as categorias de dados coletados e os meios utilizados. Portanto, uma empresa que coleta dados de clientes para enviar e-mails de marketing é controladora desses dados. O controlador pode ser uma pessoa física (um profissional liberal que mantém cadastro de clientes, por exemplo) ou jurídica (empresa, hospital, órgão público). A distinção entre controlador e operador é essencial para a atribuição de responsabilidades.
Base Legal
O controlador é regulado pelos artigos 37 a 45 da LGPD. Ele tem a obrigação de manter registro das operações de tratamento (art. 37), elaborar relatório de impacto à proteção de dados em casos de alto risco (art. 38), indicar encarregado de dados (art. 41) e adotar medidas de segurança adequadas (art. 46). Além disso, o artigo 42 estabelece sua responsabilidade civil por danos decorrentes de tratamento ilícito, com possibilidade de inversão do ônus da prova a favor do titular.
Aplicação Prática no Direito Digital
Na prática, advogados de compliance identificam os controladores em cadeias complexas de tratamento, elaboram contratos de processamento de dados entre controladores e operadores (Data Processing Agreements) e estruturam políticas de privacidade que atendam às obrigações legais. Empresas que compartilham dados com terceiros (como agências de publicidade ou provedores de nuvem) devem formalizar esses arranjos contratualmente para delimitar responsabilidades e obrigações de cada parte.
Perguntas Frequentes sobre Controlador de Dados
1. Toda empresa que coleta dados de clientes é controladora?
Sim. Qualquer organização que decida como e por que dados pessoais são tratados é controladora, independentemente do porte ou do volume de dados. Portanto, desde uma microempresa que guarda cadastros de clientes até uma multinacional, todas são controladoras pela LGPD.
2. Controlador pode ser responsabilizado por atos do operador?
Sim. O artigo 42, parágrafo 1°, da LGPD prevê responsabilidade solidária do controlador quando o operador descumprir a legislação ou as instruções lícitas do controlador, e isso causar dano ao titular.
3. Órgãos públicos também são controladores?
Sim. A LGPD aplica-se a pessoa natural ou jurídica de direito público (art. 1°). Portanto, secretarias, autarquias, hospitais públicos e demais entidades públicas que tratam dados pessoais são controladoras sujeitas às obrigações da lei.
4. O controlador precisa obrigatoriamente nomear um encarregado (DPO)?
Sim, em regra. O artigo 41 da LGPD exige a indicação de encarregado. Contudo, a ANPD publicou regulamentação que permite a dispensa ou simplificação dessa obrigação para microempresas e empresas de pequeno porte com baixo risco de tratamento.
5. Qual a diferença entre controlador conjunto e controlador único?
Controlador único é aquele que decide sozinho sobre o tratamento. Controladores conjuntos são duas ou mais organizações que determinam conjuntamente as finalidades e os meios do tratamento. Nesse caso, respondem solidariamente pelos danos causados aos titulares.
6. O controlador deve manter registro de todas as operações de tratamento?
Sim. O artigo 37 da LGPD exige que o controlador mantenha registro das operações de tratamento que realizar, especialmente quando baseado no legítimo interesse. Esse registro é obrigatório e pode ser exigido pela ANPD a qualquer tempo.
Conheça os cursos da Faculdade i9 Educação e aprofunde seus conhecimentos em Direito Digital: https://i9educacao.edu.br