LGPD e agentes de tratamento de dados pessoais
A LGPD, como é sabido, é legislação que regulamenta o tratamento (uso) de dados de pessoas físicas no Brasil, valendo para dados armazenados e arquivados em meios digitais e físicos.
Diz o art. 5º, X, da LGPD, que “tratamento” é sinônimo de coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação ou controle da informação, modificação, comunicação, transferência, difusão ou extração de dados.
E quem trata (usa, arquiva, coleta, armazena, etc.) os dados pessoais são os agentes de tratamento de dados, ou seja, o Poder Público, as pessoas naturais empreendedoras e as empresas privadas que utilizam informações pessoais para vender produtos e prestar serviços.
As empresas, portanto, independentemente do porte, do tamanho e do segmento, são consideradas pela LGPD “agentes de tratamento de dados pessoais” e poderão ser “controladoras” ou “operadoras” de dados, dependendo da posição na operação de tratamento de dados pessoais.
“Controladora” é a empresa a quem compete tomar decisões referentes ao tratamento de dados pessoais, e “operadora” é a que realiza o tratamento de dados pessoais em nome da controladora.
A empresa será controladora quando determina e toma decisões sobre o tratamento de dados pessoais. Ou seja, o controlador definirá a finalidade do tratamento de dados e tomará as decisões quanto ao armazenamento, compartilhamento de dados, etc.
A empresa será operadora quando obedecer orientações da empresa controladora sobre o tratamento de dados.
Mas, poderá ocorrer, por exemplo, de uma organização ser controladora e operadora ao mesmo tempo.
Contudo, nem sempre é possível identificar, de pronto, se a empresa é controladora ou operadora, o que é importante para definir responsabilidades contratuais dos agentes relacionadas ao tratamento de dados pessoais.
Sabedora das dificuldades enfrentadas pelas empresas a ANPD – Autoridade Nacional de Proteção de Dados Pessoais, que fiscaliza o cumprimento da LGPD na esfera administrativa, publicou um Guia Orientativo para Definições dos Agentes de Tratamento de Dados Pessoais em maio de 2021 (Disponível em https://www.gov.br/anpd/pt-br/documentos-e-publicacoes/2021.05.27GuiaAgentesdeTratamento_Final.pdf) com vistas a prestar esclarecimentos e auxílio aos empresários sobre o tema.
No referido guia, encontramos o seguinte exemplo para compreensão da definição de quem é quem numa operação de tratamento de dados pessoais:
“A título exemplificativo, uma empresa decide enviar propagandas aos seus clientes com a finalidade de alavancar as vendas de determinado produto. Para isso, contrata agência de publicidade, que elaborará a campanha de marketing com fotos de pessoas utilizando o produto. A empresa informa todos os critérios para a campanha, tais como o público-alvo e estabelece os critérios de como deve ser a aparência física dos modelos fotográficos. A agência de publicidade trata dados pessoais para prestar o serviço para a empresa, ao selecionar modelos fotográficos e armazenar as fotos desses titulares. Após a conclusão do serviço pela agência, o funcionário da empresa envia as propagandas aos clientes.”
Neste exemplo, a empresa atua como controladora ao determinar o tratamento de dados e definir os seus elementos essenciais.
A agência de publicidade atua como operadora ao tratar dados conforme a finalidade do tratamento definida pelo controlador.
E o funcionário, ao enviar os e-mails para os clientes, atua sob o poder diretivo da empresa e não se caracteriza como agente de tratamento.”
Portanto, embora o controlador realize o tratamento de dados pessoais, o que distingue a sua atuação da do operador é o poder de decisão. O controlador é sempre quem decide sobre o tratamento de dados e fornece instruções para que um terceiro (“operador”) realize o tratamento em seu nome.
Outras questões relevantes sobre os agentes de tratamento, tais como “controladoria conjunta” e possibilidade de existência de “suboperadores” de dados, são complexas e serão abordadas, oportunamente, em outro ensaio.
Izabela Lehn - Advogada
Integrante do Comitê Jurídico da ACI-NH/CB/EV
Izabela Lehn Advocacia
