LGPD: controlador, operador, encarregado e responsabilidade

Nas questões de LGPD, a pergunta mais comum depois dos conceitos é: quem responde quando algo dá errado? A resposta está no Capítulo VI da Lei 13.709, que trata dos agentes de tratamento. Este guia percorre os arts. 37 a 45 como um fluxo: o que o controlador e o operador precisam manter, o que faz o encarregado, em que casos há responsabilidade solidária, como o juiz pode facilitar a prova do titular e o que livra o agente de responder. Os conceitos de base estão em visão geral da LGPD.

Registro, relatório e instruções (arts. 37 a 40)

Artigo	Obrigação ou poder
37	o controlador e o operador mantêm registro das operações de tratamento, especialmente quando baseado no legítimo interesse
38	a autoridade nacional pode determinar ao controlador o relatório de impacto à proteção de dados pessoais, inclusive de dados sensíveis, observados os segredos comercial e industrial
39	o operador trata os dados segundo as instruções do controlador, que verifica a observância das instruções e das normas
40	a autoridade pode dispor sobre padrões de interoperabilidade para portabilidade, livre acesso e segurança, e sobre o tempo de guarda dos registros

O relatório de impacto, segundo o parágrafo único do art. 38, deve conter, no mínimo, a descrição dos tipos de dados coletados, a metodologia usada para a coleta e para a garantia da segurança, e a análise do controlador sobre medidas, salvaguardas e mecanismos de mitigação de risco. Note o verbo: a autoridade “pode determinar”; o relatório não é exigido de todo controlador em todo caso.

A lógica entre art. 37 e art. 39 é simples: o controlador decide, o operador executa. Quando o operador age fora das instruções lícitas, a lei muda o tratamento jurídico (veja a responsabilidade adiante).

O encarregado (art. 41)

O controlador deverá indicar encarregado pelo tratamento de dados pessoais. A identidade e as informações de contato são divulgadas publicamente, de forma clara e objetiva, preferencialmente no sítio eletrônico do controlador (§ 1º). As atividades do encarregado (§ 2º):

aceitar reclamações e comunicações dos titulares, prestar esclarecimentos e adotar providências;
receber comunicações da autoridade nacional e adotar providências;
orientar os funcionários e os contratados da entidade sobre as práticas de proteção de dados;
executar as demais atribuições determinadas pelo controlador ou estabelecidas em normas complementares.

O § 3º permite à autoridade nacional estabelecer normas complementares sobre a definição e as atribuições do encarregado, inclusive hipóteses de dispensa da indicação, conforme a natureza e o porte da entidade ou o volume de operações. A pegadinha: a banca diz que “quem indica o encarregado é o operador”, ou que ele é “obrigatoriamente pessoa natural empregada” (a lei não diz isso), ou que a dispensa é impossível. Quem indica é o controlador, e a lei admite dispensa por norma complementar. O § 4º aparece como “(VETADO)” no texto.

Responsabilidade e ressarcimento (arts. 42 a 45)

O art. 42 estabelece que o controlador ou o operador que, em razão do exercício de atividade de tratamento, causar a outrem dano patrimonial, moral, individual ou coletivo, em violação à legislação de proteção de dados, é obrigado a repará-lo. Para assegurar a efetiva indenização (§ 1º):

o operador responde solidariamente quando descumprir as obrigações da legislação ou quando não tiver seguido as instruções lícitas do controlador, hipótese em que se equipara ao controlador (inciso I);
os controladores diretamente envolvidos no tratamento do qual decorreram os danos respondem solidariamente (inciso II);
em ambos os casos, salvo as exclusões do art. 43.

Os parágrafos seguintes:

§ 2º: o juiz, no processo civil, pode inverter o ônus da prova a favor do titular quando, a seu juízo, for verossímil a alegação, houver hipossuficiência para a produção de prova ou a produção pelo titular lhe for excessivamente onerosa. Observe: os três requisitos são alternativos (“ou”);
§ 3º: as ações de reparação por danos coletivos podem ser exercidas coletivamente em juízo;
§ 4º: quem reparar o dano tem direito de regresso contra os demais responsáveis, na medida de sua participação.

O que exclui a responsabilidade (art. 43)

Os agentes de tratamento só não serão responsabilizados quando provarem:

que não realizaram o tratamento que lhes é atribuído;
que, embora o tenham realizado, não houve violação à legislação de proteção de dados;
que o dano decorre de culpa exclusiva do titular ou de terceiro.

A palavra “provarem” já mostra que a prova das excludentes cabe ao agente. Combinada com a inversão do ônus do art. 42, § 2º, desenha um regime favorável ao titular.

Tratamento irregular (art. 44)

O tratamento é irregular quando deixa de observar a legislação ou quando não fornece a segurança que o titular dele pode esperar, consideradas as circunstâncias relevantes: o modo pelo qual é realizado, o resultado e os riscos que razoavelmente dele se esperam e as técnicas disponíveis à época em que foi realizado. O parágrafo único atribui os danos decorrentes de violação de segurança ao controlador ou operador que, ao deixar de adotar as medidas do art. 46, der causa ao dano. Já o art. 45 mantém, nas relações de consumo, as regras de responsabilidade da legislação pertinente.

Exemplo resolvido

Uma empresa (controladora) contrata uma plataforma (operadora) para enviar mensagens a titulares. A plataforma usa a lista para uma finalidade que o contrato não autorizava e causa dano. O operador agiu fora das instruções lícitas: responde solidariamente e se equipara ao controlador (art. 42, § 1º, I). Se a empresa pagar a indenização ao titular, tem direito de regresso contra a plataforma na medida de sua participação (art. 42, § 4º). Para a hipótese de o dano vir de um vazamento, o art. 44, parágrafo único, remete ao dever de segurança do art. 46, tratado em segurança e incidentes na LGPD.

Erros comuns

Dizer que o operador nunca responde: pode responder solidariamente nos casos do art. 42, § 1º, I.
Dizer que a responsabilidade só vale para danos individuais: o art. 42 inclui o dano coletivo.
Dizer que a inversão do ônus é automática: depende de decisão do juiz, com os requisitos alternativos do § 2º.
Confundir “culpa exclusiva do titular ou de terceiro” com qualquer culpa concorrente.

Próximos passos

Estude a LGPD no poder público: arts. 23 a 32.
Veja cenários em LGPD no dia a dia do servidor.
Treine com o treino comentado de LGPD.

Fontes e atualização

Lei 13.709, texto compilado: Lei 13.709 (LGPD) no Planalto.

Conferimos o texto compilado na data de publicação. A lei foi alterada, inclusive quanto à estrutura da autoridade nacional; confira a norma vigente e o edital.