Resumo: na LGPD, o controlador decide como e por que os dados são usados, e o operador apenas executa o tratamento seguindo instruções. Definir quem é quem muda a responsabilidade e o contrato. Sempre que uma empresa trata dados de outra, é preciso um DPA, o Acordo de Processamento de Dados. Ele fixa a finalidade, a segurança, a proibição de uso próprio e o destino dos dados ao fim do contrato.
Quando uma empresa contrata um sistema, uma agência ou uma contabilidade, dados pessoais passam de mão em mão. E a LGPD quer saber uma coisa: quem manda nesses dados? A resposta define papéis, responsabilidades e cláusulas. Confundir controlador e operador é um dos erros mais comuns em contratos. Neste guia você vai entender a diferença entre os dois, por que ela muda o contrato e o que o DPA precisa ter.
O que é controlador e operador na LGPD?
A LGPD divide quem trata dados pessoais em dois papéis principais: o controlador e o operador. Todo tratamento tem, ao menos, um controlador.
O controlador é quem decide as finalidades e os meios do tratamento. É ele que responde à pergunta “por que e como esses dados são usados”. Em geral, é a empresa dona da relação com o cliente.
O operador é quem trata os dados em nome do controlador, seguindo suas instruções. Ele executa, mas não decide o propósito. Um sistema que processa a base do cliente é um exemplo clássico de operador.
Qual a diferença entre controlador e operador?
A diferença entre controlador e operador está no poder de decisão. Um define o uso dos dados; o outro apenas o executa.
Essa diferença muda a responsabilidade. O controlador responde de forma ampla perante os titulares e a ANPD. O operador responde de forma mais limitada, em regra pelo que faz fora das instruções recebidas.
Há um ponto de virada importante. Se o operador passa a usar os dados para fins próprios, ele deixa de ser operador e vira controlador daquele tratamento. O papel não é um rótulo fixo: ele segue quem, de fato, decide o uso.
Por que essa distinção importa nos contratos?
A distinção entre controlador e operador importa porque define quem responde e quais cláusulas o contrato precisa ter. Errar o papel é errar o contrato inteiro.
Se a relação é de controlador e operador, o contrato exige regras específicas de proteção de dados. É aí que entra o DPA. Sem ele, as duas empresas ficam expostas: o controlador por não instruir, o operador por não ter limites claros.
A confusão é cara. Uma empresa que se acha operadora, mas age como controladora, assume responsabilidades que não previu. Por isso, todo contrato com fluxo de dados deve começar por definir o papel de cada parte. Esse cuidado faz parte da LGPD para empresas.
O que é o DPA?
O DPA é o Acordo de Processamento de Dados, o contrato que rege a relação entre controlador e operador. A sigla vem do inglês Data Processing Agreement.
Ele existe para uma função: garantir que o operador trate os dados só como o controlador determina. É o documento que transforma a confiança em regra escrita.
O DPA pode ser um contrato separado ou um anexo do contrato principal. O que importa é que ele exista sempre que houver relação de controlador e operador, como em serviços de tecnologia, marketing e terceirização.
O que o DPA deve conter?
Um bom DPA cobre alguns pontos essenciais. Cada um fecha uma brecha de risco na relação de tratamento.
- Finalidade do tratamento — para que o operador pode usar os dados.
- Categorias de dados — quais dados serão tratados.
- Medidas de segurança — o que o operador deve adotar para proteger os dados.
- Proibição de uso próprio — o operador não pode usar os dados para fins dele.
- Notificação de incidentes — o prazo para o operador avisar o controlador de um vazamento.
- Subcontratação — as regras para o operador contratar outro operador.
- Destino dos dados — devolução ou exclusão ao fim do contrato.
O ponto da notificação de incidentes é dos mais importantes. Se o operador sofre um vazamento e demora a avisar, o controlador pode perder o prazo de reportar à ANPD. Por isso o DPA costuma fixar um prazo curto, de poucas horas, para essa comunicação entre controlador e operador.
Um exemplo prático para não confundir os papéis
Um caso comum ajuda a fixar a diferença. Uma loja online contrata um sistema de e-mail marketing.
A loja tem a base de clientes e decide o que fazer com ela: quais campanhas enviar e para quem. A loja é a controladora. O sistema de e-mail apenas armazena a base e dispara os envios que a loja programa. O sistema é o operador.
Nesse arranjo, o contrato entre os dois precisa de um DPA. Ele deve dizer que o sistema só pode usar a base para os envios da loja, que não pode vendê-la nem usá-la para si, e que deve avisar a loja em caso de vazamento.
Agora imagine que o sistema começa a usar os e-mails da loja para treinar um produto próprio, sem autorização. Nesse momento, ele deixa de ser só operador e passa a ser controlador daquele uso. Com isso, assume uma responsabilidade que o contrato não previu.
Repare como o papel segue a decisão. Enquanto o sistema só executa, é operador. Quando decide um uso próprio, vira controlador. É essa leitura que o contrato precisa capturar.
Perguntas frequentes
Toda empresa que recebe dados é operadora?
Não necessariamente. Depende de quem decide o uso. Se a empresa apenas executa instruções, é operadora. Se decide as finalidades, é controladora. Duas empresas podem até ser controladoras conjuntas, quando decidem o tratamento juntas.
O DPA substitui a política de privacidade?
Não. São documentos diferentes. O DPA é interno, entre controlador e operador. A política de privacidade é externa, voltada ao titular dos dados. Uma empresa madura em proteção de dados costuma ter os dois.
O que acontece se não houver DPA?
A empresa fica exposta. Sem DPA, não há limites escritos para o operador nem prova de que o controlador o instruiu. Em uma fiscalização ou incidente, as duas partes têm mais dificuldade de demonstrar conformidade.
Preciso de DPA com uma ferramenta estrangeira?
Sim, e com cuidado extra. Além do DPA, a relação envolve transferência internacional de dados, que a LGPD regula. Verifique as garantias oferecidas pela ferramenta e registre a relação no seu contrato.
Conclusão
Entender a diferença entre controlador e operador é o primeiro passo para acertar qualquer contrato que envolva dados pessoais. O controlador decide, o operador executa, e o papel de cada um define responsabilidades e cláusulas. Sempre que os dados de uma empresa passam para outra, o DPA é o documento que protege as duas. Ignorá-lo é deixar aberta uma brecha que a ANPD e os titulares podem cobrar. Antes de fechar um contrato com fluxo de dados, defina os papéis e estruture o DPA. Poucas linhas bem escritas hoje evitam uma disputa cara depois. Para fazer isso com segurança, fale com um advogado da Souza & Castro.
Precisa de orientação jurídica sobre esse assunto para o seu negócio?
Falar com um advogado