Operador de Dados: O Que É e Como Se Distingue do Controlador pela LGPD
O operador de dados é a pessoa natural ou jurídica, de direito público ou privado, que realiza o tratamento de dados pessoais em nome do controlador, confo...
O operador de dados é a pessoa natural ou jurídica, de direito público ou privado, que realiza o tratamento de dados pessoais em nome do controlador, conforme o artigo 5°, VII, da LGPD. No Direito Digital brasileiro, compreender a distinção entre operador de dados LGPD e controlador é fundamental para estruturar contratos de processamento de dados, definir responsabilidades e elaborar estratégias de compliance. Por isso, advogados de Direito Digital e Empresarial precisam dominar esse conceito para assessorar empresas em suas cadeias de fornecimento digital.
Além disso, o operador responde pelos danos que causar quando agir em desacordo com a legislação ou com as instruções lícitas do controlador.
Quem É o Operador de Dados?
O operador é o prestador de serviço que trata dados pessoais por conta e ordem do controlador, sem autonomia para definir as finalidades do tratamento. Portanto, exemplos típicos de operadores incluem: empresa de computação em nuvem (AWS, Google Cloud), processadora de pagamentos, empresa de e-mail marketing, sistema de CRM terceirizado e escritório contábil que processa folha de pagamento. A diferença essencial para o controlador é que o operador executa as instruções, mas não decide o propósito do tratamento.
Base Legal
O operador é regulado pelos artigos 39 a 45 da LGPD. O artigo 39 determina que o operador deve realizar o tratamento apenas conforme as instruções fornecidas pelo controlador, que deve verificar o cumprimento dessas instruções. O artigo 42, parágrafo 1°, II, prevê que o operador responde solidariamente quando descumprir a legislação ou as instruções do controlador. Além disso, a relação entre controlador e operador deve ser formalizada em contrato ou instrumento jurídico equivalente.
Aplicação Prática no Direito Digital
Na prática, advogados elaboram Data Processing Agreements (DPAs) ou contratos de processamento de dados que delimitam as obrigações do operador, as categorias de dados tratados, as finalidades autorizadas, as medidas de segurança exigidas e os procedimentos em caso de incidente. Esse contrato é obrigatório pela LGPD para toda relação controlador-operador e é auditado pela ANPD em investigações de incidentes. Além disso, cláusulas de auditoria, subcontratação de sub-operadores e obrigações de confidencialidade são elementos essenciais desse instrumento.
Perguntas Frequentes sobre Operador de Dados
1. Provedor de nuvem (AWS, Azure) é controlador ou operador?
Em regra, é operador. O provedor de nuvem processa dados conforme as instruções do cliente (controlador) e não define a finalidade do tratamento. Contudo, quando o provedor usa esses dados para seus próprios fins (como análise de tráfego), torna-se controlador para essa finalidade específica.
2. O operador pode subcontratar outros prestadores (sub-operadores)?
Pode, desde que haja autorização do controlador no contrato de processamento e que o sub-operador assuma as mesmas obrigações de segurança e conformidade previstas no acordo principal.
3. O operador precisa ter encarregado de dados (DPO)?
Sim, salvo nas hipóteses de dispensa previstas pela ANPD para microempresas e empresas de pequeno porte com baixo risco de tratamento. Operadores que tratam grandes volumes de dados sensíveis devem indicar encarregado.
4. Operador pode ser responsabilizado diretamente perante o titular?
O titular pode acionar tanto o controlador quanto o operador quando o operador agir em desconformidade com a lei ou com as instruções do controlador, conforme o artigo 42, parágrafo 1°, da LGPD.
5. Escritório de contabilidade que processa folha de pagamento é operador?
Sim. O escritório contábil trata dados dos empregados por conta e ordem da empresa-cliente. Portanto, é operador dos dados pessoais dos funcionários, e a empresa é a controladora. Um DPA formaliza essa relação e define as responsabilidades de cada parte.
6. Como identificar se uma empresa é controladora ou operadora?
A distinção está na autonomia decisória. Se a empresa decide por que e como os dados são tratados, é controladora. Se apenas executa o tratamento conforme instruções de outra organização, é operadora. Em algumas situações, a mesma empresa pode ser controladora de uns dados e operadora de outros.
Conheça os cursos da Faculdade i9 Educação e aprofunde seus conhecimentos em Direito Digital: https://i9educacao.edu.br