Quem é quem (controlador, operador, encarregado)

Explicando de forma simples

Quando uma empresa usa seus dados pessoais, a lei separa quem faz o quê em papéis diferentes. Saber quem é quem ajuda você a entender a quem cobrar quando algo dá errado.

São três papéis principais:

• O controlador é quem manda. É a pessoa ou empresa a quem cabem as decisões sobre o tratamento dos seus dados: decide por que e como eles serão usados. (“Tratamento” é qualquer coisa que se faça com os dados: coletar, guardar, usar, compartilhar, apagar.)
• O operador é quem executa. É a pessoa ou empresa que trata os dados em nome do controlador, seguindo as instruções dele. O operador não decide as regras: ele cumpre o que o controlador determinou.
• O encarregado (também chamado de DPO, sigla em inglês para “Data Protection Officer”, ou “encarregado pela proteção de dados”) é a pessoa indicada para ser o canal de comunicação entre a empresa, os titulares dos dados (você) e a ANPD (Agência Nacional de Proteção de Dados, a agência reguladora que fiscaliza a lei). O encarregado não decide como os dados são usados: ele é a ponte de conversa.

O controlador e o operador, juntos, têm um nome só na lei: agentes de tratamento.

Um detalhe importante: você é o titular dos dados, ou seja, a pessoa a quem os dados se referem. Você tem direitos sobre eles, e os papéis acima existem para que esses direitos sejam respeitados.

Exemplo do dia a dia

Imagine uma loja online que vende roupas e quer enviar e-mails de promoção para os clientes.

• A loja é o controlador: foi ela que decidiu coletar seu e-mail e usá-lo para enviar promoções. A decisão é dela.
• A empresa de disparo de e-mails que a loja contrata para mandar as mensagens é o operador: ela só envia os e-mails que a loja pediu, do jeito que a loja mandou. Ela não decide nada sobre seus dados por conta própria.
• Se você quiser saber como seus dados estão sendo usados, ou pedir para sair da lista, quem te atende é o encarregado: a pessoa que a loja indicou como canal de contato.

Repare: a empresa de e-mails (operador) não pode resolver, sozinha, usar seu endereço para outra finalidade. Se fizer isso, passa a agir por conta própria, e a responsabilidade muda.

Foco no encarregado: o canal entre você, a empresa e a ANPD

O encarregado é o papel que mais gera confusão, então vale detalhar.

A lei (art. 41) diz que o controlador deve indicar um encarregado, e que a identidade e o contato dessa pessoa devem ser divulgados publicamente, de forma clara, de preferência no site da empresa. Ou seja: encontrar quem é o encarregado não deveria ser difícil.

As tarefas do encarregado, segundo a lei, são:

• Receber reclamações e pedidos dos titulares (você), dar explicações e tomar providências;
• Receber comunicações da ANPD e tomar providências;
• Orientar os funcionários e os contratados da empresa sobre as boas práticas de proteção de dados;
• Cumprir outras tarefas que o controlador definir.

Dois cuidados para não cair em ideias erradas:

1. O encarregado não é a ANPD. Ele é uma pessoa dentro (ou a serviço) da empresa, que conversa com a ANPD quando necessário, mas não se confunde com o órgão do governo.

2. Nem toda empresa é obrigada a indicar um encarregado. A ANPD criou um regime mais simples para os chamados “agentes de tratamento de pequeno porte” (como microempresas e pequenos negócios): pela Resolução CD/ANPD nº 2/2022, esses agentes não são obrigados a indicar o encarregado do art. 41. Mas atenção: se não indicarem, eles precisam manter um canal de comunicação com você mesmo assim. E indicar um encarregado, mesmo sem obrigação, é considerado boa prática. Essa dispensa também não libera o pequeno negócio de cumprir o resto da lei (bases legais, princípios e os seus direitos como titular continuam valendo).

O que você pode fazer?

• Procure o encarregado (DPO) no site da empresa. A identidade e o contato dele devem estar disponíveis de forma clara, normalmente na política de privacidade.
• Use o canal de comunicação para exercer seus direitos. É por ali que você pede acesso aos seus dados, correção, exclusão ou esclarecimentos.
• Identifique o controlador. É a empresa que decidiu usar seus dados: é a ela que você cobra explicações em primeiro lugar.
• Não estranhe se houver outras empresas envolvidas. O controlador pode usar operadores (parceiros que tratam dados a mando dele). Você não precisa caçar cada um: comece pelo controlador e pelo encarregado.
• Se a empresa for pequena e não tiver encarregado, ela ainda assim deve oferecer um canal para você falar e exercer seus direitos. Se não encontrar nenhum, isso já é um sinal de problema.
• Se não houver resposta, você pode levar o caso à ANPD, a agência que fiscaliza a lei.

Resumo

Na proteção de dados, o controlador é quem decide como e por que seus dados são usados; o operador apenas executa essas decisões em nome dele; e os dois juntos são os agentes de tratamento. O encarregado (ou DPO) é a pessoa indicada como canal de comunicação entre a empresa, você (titular) e a ANPD, mas não decide o tratamento e não se confunde com a agência. A regra geral é que o controlador indique um encarregado e divulgue seu contato, embora pequenos negócios possam ser dispensados, desde que mantenham um canal para falar com você. Saber quem é quem é o primeiro passo para cobrar seus direitos da pessoa certa.