Papéis na LGPD

Objetivos

Nesta aula você vai:

Entender quem é o titular e quais direitos possui
Diferenciar controlador de operador na cadeia de tratamento
Saber quando e por que nomear um encarregado de dados (DPO)

Conteúdo

Aviso educacional: este conteúdo tem finalidade informativa e não substitui orientação jurídica. A classificação de papéis depende de contratos e do controle efetivo sobre os dados.

Titular: dono dos direitos

O titular é a pessoa natural a quem os dados pessoais se referem — seu cliente, colaborador, fornecedor pessoa física ou visitante do site.

O titular não "cede" seus direitos ao se cadastrar. Ele pode, entre outras coisas, pedir confirmação de tratamento, acesso aos dados, correção, eliminação e portabilidade, conforme previsto na LGPD.

Exemplo: Maria compra em sua loja online. Os dados dela (nome, endereço, histórico de pedidos) pertencem ao universo de direitos de Maria como titular — sua empresa apenas os trata conforme regras legais.

Controlador: quem decide

O controlador é quem toma as decisões sobre para que e como os dados serão tratados. Define finalidades, bases legais, prazos de guarda e com quem compartilhar.

Na maioria dos casos, sua empresa é controladora dos dados de clientes quando vende produtos ou presta serviços diretamente.

Responsabilidades típicas do controlador:

Informar titulares sobre o tratamento (transparência)
Garantir base legal para cada uso dos dados
Responder solicitações de titulares
Contratar operadores que ofereçam garantias adequadas
Notificar incidentes de segurança quando aplicável

Operador: quem executa

O operador trata dados em nome do controlador, seguindo instruções deste. Não define a finalidade — executa o que foi contratado.

Exemplos de operadores:

Plataforma de e-mail marketing que envia campanhas para sua lista
Gateway de pagamento que processa transações
ERP na nuvem que armazena cadastro de clientes
Contabilidade externa que acessa dados fiscais de funcionários

Contratos com operadores devem deixar claro o escopo do tratamento, medidas de segurança e dever de auxiliar o controlador em pedidos de titulares.

Cuidado: se sua empresa presta serviço de hospedagem de dados para terceiros, pode ser operadora em relação a esses clientes e controladora em relação aos dados dos seus próprios colaboradores.

Encarregado (DPO): ponte entre empresa e titulares

O encarregado de proteção de dados — também chamado de DPO (Data Protection Officer) — é o profissional indicado para:

Aceitar comunicações de titulares e da ANPD
Orientar colaboradores sobre práticas de proteção de dados
Acompanhar a conformidade e sugerir melhorias

A LGPD exige encarregado para controladores em situações específicas (como tratamento em larga escala de dados sensíveis) e para operadores. Mesmo quando não obrigatório, muitas empresas nomeiam alguém interno ou terceirizado para centralizar a gestão de privacidade.

O encarregado não substitui assessoria jurídica, mas facilita a organização e a comunicação.

Mapa rápido de responsabilidades

Papel	Pergunta-chave	Exemplo
Titular	De quem são os dados?	Cliente que se cadastrou
Controlador	Quem decide o uso?	Sua loja virtual
Operador	Quem processa por ordem do controlador?	Plataforma de pagamento
Encarregado	Quem orienta e recebe demandas?	Responsável por privacidade

Resumo

Titular é a pessoa cujos dados são tratados e detém direitos previstos na LGPD
Controlador define finalidades; operador executa instruções do controlador
Contratos com fornecedores devem deixar papéis e obrigações bem definidos
O encarregado (DPO) apoia conformidade e serve como canal com titulares e ANPD