Por Controlador é a pessoa natural ou jurídica, de direito público ou privado, a quem competem as decisões referentes ao tratamento de dados pessoais. A função se identifica pelas decisões efetivas sobre finalidade e aspectos essenciais da operação, e não simplesmente pelo porte, propriedade do sistema ou rótulo contratual. Uma organização pode ser controladora em alguns fluxos e operadora em outros.
Onde esse conceito aparece?
A LGPD define controlador no art. 5º e estabelece deveres de transparência, registro, atendimento de titulares e segurança em vários dispositivos. O controlador deve definir hipótese legal e finalidade, observar princípios e orientar operadores. Controladoria conjunta ou participação de múltiplas entidades exige identificar quem determina cada aspecto e como os direitos serão atendidos na prática.
Controlador e operador na prática
O controlador define propósitos e orientações da operação; o operador executa tratamento em nome dele, segundo instruções lícitas. Se um prestador decide reutilizar dados para objetivo próprio, esse uso pode demandar avaliação de papel e base legal distinta. Documente o fluxo real, não apenas os nomes usados na minuta.
Por que importa em uma decisão?
Para mapear o papel, pergunte quem decide por que os dados são coletados, quais categorias são necessárias, por quanto tempo ficam retidos e com quem serão compartilhados. Compare respostas com arquitetura, instruções, contratos e conduta efetiva. Publique canal adequado, registre operações e estabeleça governança para incidentes, solicitações, subcontratação e eliminação.
Limites e cuidados de interpretação
O controlador não é automaticamente o dono dos dados e não pode usar a posição para afastar direitos do titular. Contratos ajudam a documentar responsabilidades, mas não alteram a realidade quando as decisões mostram outro papel. A responsabilização depende dos deveres aplicáveis, da participação e das hipóteses legais; avalie cada operação separadamente.
Quem decide finalidades e elementos essenciais
Controlador é quem toma as principais decisões sobre tratamento de dados pessoais e define finalidade e elementos essenciais, conforme a LGPD. A identificação depende da atuação real, não apenas do rótulo no contrato. Uma empresa pode ser controladora em um fluxo e operadora em outro.
Obrigações e atendimento ao titular
O controlador deve definir base legal, transparência, controles, atendimento de direitos e governança compatíveis com suas operações. Se contratar fornecedor, continua responsável por instruções e supervisão que lhe cabem; terceirização não elimina deveres legais.
Decisão conjunta e cadeias
Mais de um agente pode participar de decisões, e contratos ou arranjos complexos exigem mapear quem determina propósito, dados, retenção e destinatários. Não presuma controladoria conjunta apenas porque duas empresas compartilham dados; identifique a influência efetiva em cada etapa.
Documente responsabilidade
Mantenha inventário de operações, base, fluxo, decisões, fornecedores e canal de contato; atualize quando a operação mudar. Em incidentes, o controlador avalia comunicação regulatória e aos titulares nos termos aplicáveis, com informações fornecidas pelo operador. Consulte operador de dados e LGPD.
Responsabilidade precisa ser demonstrável
A definição do controlador depende de quem toma as decisões essenciais na operação, e não apenas do nome inserido no contrato. Registre finalidade, categorias de dados, critérios de acesso, prazo, destinatários e decisões sobre retenção. Em fluxo compartilhado, uma organização pode ser controladora independente em uma etapa e operadora em outra. Contratos devem refletir o desenho real e prever cooperação em solicitações de titulares, incidentes, auditorias e descarte. A ANPD recomenda examinar a atuação concreta e as instruções fornecidas ao operador; documentar esse raciocínio torna possível explicar responsabilidades e corrigir uma classificação incorreta quando o serviço muda. Consulte operador de dados e compartilhamento de dados.
Quem é o controlador
Controlador é a pessoa natural ou jurídica, de direito público ou privado, a quem competem as decisões referentes ao tratamento de dados pessoais, nos termos da LGPD. O papel é definido pela atuação real, não apenas pelo nome usado no contrato ou na política. Controlador determina finalidade e elementos essenciais do tratamento; operador trata dados em nome do controlador e conforme instruções válidas. Uma organização pode ser controladora em uma operação e operadora em outra. Consulte operador de dados, política de privacidade e retenção de dados.
Responsabilidades de governança
O controlador deve identificar base legal e finalidade, informar titulares, respeitar direitos, adotar medidas de segurança, manter registros pertinentes e avaliar riscos conforme LGPD e regulamentação. Em situações aplicáveis, pode precisar elaborar relatório de impacto e comunicar incidente segundo regras atuais. Atribuir tarefas ao operador não elimina a responsabilidade de orientar, selecionar e supervisionar prestadores. Papéis podem ser conjuntos ou complexos em uma cadeia; determine quem decide cada finalidade e meios essenciais, documentando fronteiras e canais de atendimento.
Como definir o papel em contratos e produtos
Faça um mapa por operação: quem define para que os dados são usados, quais campos são coletados, quem determina retenção, com quem se compartilha e quem decide sobre titulares. Se o fornecedor escolhe finalidade própria, pode atuar como controlador para essa atividade específica, mesmo que seja operador em outra. O contrato deve refletir instruções, segurança, suboperadores, incidentes, auditoria e devolução de dados, sem contrariar realidade operacional. Revisite papéis quando produto, tecnologia ou parceria mudar.
Direitos dos titulares e decisões automatizadas
Estabeleça canal para receber solicitações, localizar dados, verificar identidade de forma proporcional e responder nos termos legais. Decisões automatizadas que afetem interesses podem exigir transparência, informação e possibilidade de revisão conforme a LGPD e regulamentação. A revisão deve ser efetiva, não meramente formal. Se dados estiverem incorretos, corrija sistemas derivados e avalie destinatários. O encarregado pode ser canal de comunicação quando designado, considerando regras e eventuais dispensas aplicáveis a agentes de pequeno porte.
Perguntas frequentes
O contrato define sozinho quem é controlador? Não; a função decorre da decisão real sobre o tratamento. Operador pode decidir como prestar serviço? Pode definir meios não essenciais dentro de instruções, mas não deve usar dados para finalidade própria sem base e transparência. Empresa que recebe dados é sempre controladora? Depende da finalidade e do papel. Preciso designar encarregado? Confira LGPD e regulamentação da ANPD, inclusive hipóteses de dispensa. Mapeie cada fluxo em vez de atribuir um único rótulo a toda a empresa.
Matriz simples para mapear controladoria
Para cada operação, responda: quem define o propósito; quem decide categorias e pessoas afetadas; quem estabelece retenção e destinatários; quem responde aos titulares; e quem pode mudar esses elementos. Registre divergências entre contrato e prática e revise o enquadramento com áreas de negócio, privacidade e jurídico. Em parceria, cada parte pode ser controladora independente para uma finalidade e operadora para outra. A cadeia pode incluir suboperadores e transferências internacionais, exigindo controles e transparência próprios.
Seleção e supervisão de operadores
Avalie capacidade técnica, medidas de segurança, localização de dados, subcontratação, incidentes, auditoria, eliminação e apoio a direitos. Contrato deve limitar instruções e uso, prever confidencialidade, assistência, evidência de conformidade e comunicação tempestiva de incidentes. Monitore a execução com questionários, evidências e testes proporcionais, em vez de depender de cláusula padrão. Se o prestador passar a decidir finalidade própria, reavalie seu papel para aquele fluxo. O controlador mantém responsabilidade por escolhas de governança que não pode delegar integralmente.
Incidentes, transparência e registro
Mantenha inventário atualizado de operações, bases legais, destinatários e sistemas para responder a incidente ou solicitação. A avaliação de incidente deve determinar natureza dos dados, titulares, impacto, medidas de contenção e necessidade de comunicação segundo a LGPD e regulamentos atuais da ANPD. Aviso genérico de que a empresa “cumpre a LGPD” não substitui informação clara sobre o tratamento. Preserve documentação, registre decisões e atualize comunicação quando a operação mudar.
Responsabilidade e prestação de contas
A qualificação como controlador pode influenciar obrigações de transparência, segurança, direitos, registros e eventual reparação, mas a responsabilização concreta depende da lei, conduta, dano, nexo, excludentes e decisão competente. Não confunda papel de controlador com culpa automática. Demonstre medidas adotadas, análise de riscos, treinamento, contratos e correções. Se houver mais de um controlador, defina canal de contato e distribuição operacional sem limitar direitos do titular por acordo interno.
Controlador e operador: papéis diferentes
Compare o conceito com situações próximas e confirme o enquadramento na fonte e nos documentos do caso.
| Conceito | O que significa | O que conferir |
|---|---|---|
| Controlador | Toma decisões referentes ao tratamento de dados pessoais. | Define finalidade e elementos essenciais, observada a lei. |
| Operador | Realiza o tratamento em nome do controlador. | Segue instruções lícitas e obrigações contratuais e legais. |
| Encarregado | Atua como canal de comunicação nos termos da LGPD. | Não deve ser confundido automaticamente com controlador ou operador. |
Quadro educativo. O enquadramento depende da regra aplicável, dos documentos e do contexto.
Fontes e leitura complementar
Consulte o texto institucional e a regra aplicável ao conceito. A interpretação em uma situação concreta depende dos documentos e do contexto.