Resumo: na LGPD, o controlador decide como e por que os dados são usados, e o operador apenas executa o tratamento seguindo instruções. Definir quem é quem muda a responsabilidade e o contrato. Sempre que uma empresa trata dados de outra, é preciso um DPA, o Acordo de Processamento de Dados. Ele fixa a finalidade, a segurança, a proibição de uso próprio e o destino dos dados ao fim do contrato.

Quando uma empresa contrata um sistema, uma agência ou uma contabilidade, dados pessoais passam de mão em mão. E a LGPD quer saber uma coisa: quem manda nesses dados? A resposta define papéis, responsabilidades e cláusulas. Confundir controlador e operador é um dos erros mais comuns em contratos. Neste guia você vai entender a diferença entre os dois, por que ela muda o contrato e o que o DPA precisa ter.

O que é controlador e operador na LGPD?

A LGPD divide quem trata dados pessoais em dois papéis principais: o controlador e o operador. Todo tratamento tem, ao menos, um controlador.

O controlador é quem decide as finalidades e os meios do tratamento. É ele que responde à pergunta “por que e como esses dados são usados”. Em geral, é a empresa dona da relação com o cliente.

O operador é quem trata os dados em nome do controlador, seguindo suas instruções. Ele executa, mas não decide o propósito. Um sistema que processa a base do cliente é um exemplo clássico de operador.

Qual a diferença entre controlador e operador?

A diferença entre controlador e operador está no poder de decisão. Um define o uso dos dados; o outro apenas o executa.

Controlador x Operador Controlador Decide a finalidade e os meios “Por que e como usar os dados” Responsabilidade ampla Dono da relação com o cliente Ex.: a empresa que tem a base Operador Executa seguindo instruções Não decide o propósito Responsabilidade limitada Trata os dados em nome de outro Ex.: o sistema ou a agência Entre os dois: o DPA (Acordo de Processamento de Dados)
Controlador decide, operador executa — e o DPA rege a relação entre eles. Fonte: Souza & Castro Advocacia.

Essa diferença muda a responsabilidade. O controlador responde de forma ampla perante os titulares e a ANPD. O operador responde de forma mais limitada, em regra pelo que faz fora das instruções recebidas.

Há um ponto de virada importante. Se o operador passa a usar os dados para fins próprios, ele deixa de ser operador e vira controlador daquele tratamento. O papel não é um rótulo fixo: ele segue quem, de fato, decide o uso.

Por que essa distinção importa nos contratos?

A distinção entre controlador e operador importa porque define quem responde e quais cláusulas o contrato precisa ter. Errar o papel é errar o contrato inteiro.

Se a relação é de controlador e operador, o contrato exige regras específicas de proteção de dados. É aí que entra o DPA. Sem ele, as duas empresas ficam expostas: o controlador por não instruir, o operador por não ter limites claros.

A confusão é cara. Uma empresa que se acha operadora, mas age como controladora, assume responsabilidades que não previu. Por isso, todo contrato com fluxo de dados deve começar por definir o papel de cada parte. Esse cuidado faz parte da LGPD para empresas.

O que é o DPA?

O DPA é o Acordo de Processamento de Dados, o contrato que rege a relação entre controlador e operador. A sigla vem do inglês Data Processing Agreement.

Ele existe para uma função: garantir que o operador trate os dados só como o controlador determina. É o documento que transforma a confiança em regra escrita.

O DPA pode ser um contrato separado ou um anexo do contrato principal. O que importa é que ele exista sempre que houver relação de controlador e operador, como em serviços de tecnologia, marketing e terceirização.

O que o DPA deve conter?

Um bom DPA cobre alguns pontos essenciais. Cada um fecha uma brecha de risco na relação de tratamento.

  • Finalidade do tratamento — para que o operador pode usar os dados.
  • Categorias de dados — quais dados serão tratados.
  • Medidas de segurança — o que o operador deve adotar para proteger os dados.
  • Proibição de uso próprio — o operador não pode usar os dados para fins dele.
  • Notificação de incidentes — o prazo para o operador avisar o controlador de um vazamento.
  • Subcontratação — as regras para o operador contratar outro operador.
  • Destino dos dados — devolução ou exclusão ao fim do contrato.

O ponto da notificação de incidentes é dos mais importantes. Se o operador sofre um vazamento e demora a avisar, o controlador pode perder o prazo de reportar à ANPD. Por isso o DPA costuma fixar um prazo curto, de poucas horas, para essa comunicação entre controlador e operador.

Um exemplo prático para não confundir os papéis

Um caso comum ajuda a fixar a diferença. Uma loja online contrata um sistema de e-mail marketing.

A loja tem a base de clientes e decide o que fazer com ela: quais campanhas enviar e para quem. A loja é a controladora. O sistema de e-mail apenas armazena a base e dispara os envios que a loja programa. O sistema é o operador.

Nesse arranjo, o contrato entre os dois precisa de um DPA. Ele deve dizer que o sistema só pode usar a base para os envios da loja, que não pode vendê-la nem usá-la para si, e que deve avisar a loja em caso de vazamento.

Agora imagine que o sistema começa a usar os e-mails da loja para treinar um produto próprio, sem autorização. Nesse momento, ele deixa de ser só operador e passa a ser controlador daquele uso. Com isso, assume uma responsabilidade que o contrato não previu.

Repare como o papel segue a decisão. Enquanto o sistema só executa, é operador. Quando decide um uso próprio, vira controlador. É essa leitura que o contrato precisa capturar.

Perguntas frequentes

Toda empresa que recebe dados é operadora?

Não necessariamente. Depende de quem decide o uso. Se a empresa apenas executa instruções, é operadora. Se decide as finalidades, é controladora. Duas empresas podem até ser controladoras conjuntas, quando decidem o tratamento juntas.

O DPA substitui a política de privacidade?

Não. São documentos diferentes. O DPA é interno, entre controlador e operador. A política de privacidade é externa, voltada ao titular dos dados. Uma empresa madura em proteção de dados costuma ter os dois.

O que acontece se não houver DPA?

A empresa fica exposta. Sem DPA, não há limites escritos para o operador nem prova de que o controlador o instruiu. Em uma fiscalização ou incidente, as duas partes têm mais dificuldade de demonstrar conformidade.

Preciso de DPA com uma ferramenta estrangeira?

Sim, e com cuidado extra. Além do DPA, a relação envolve transferência internacional de dados, que a LGPD regula. Verifique as garantias oferecidas pela ferramenta e registre a relação no seu contrato.

Conclusão

Entender a diferença entre controlador e operador é o primeiro passo para acertar qualquer contrato que envolva dados pessoais. O controlador decide, o operador executa, e o papel de cada um define responsabilidades e cláusulas. Sempre que os dados de uma empresa passam para outra, o DPA é o documento que protege as duas. Ignorá-lo é deixar aberta uma brecha que a ANPD e os titulares podem cobrar. Antes de fechar um contrato com fluxo de dados, defina os papéis e estruture o DPA. Poucas linhas bem escritas hoje evitam uma disputa cara depois. Para fazer isso com segurança, fale com um advogado da Souza & Castro.