Por A LGPD chama de agentes de tratamento o controlador e o operador. Controlador é quem toma decisões referentes ao tratamento; operador realiza o tratamento em nome do controlador. Uma organização pode assumir papéis diferentes em operações distintas. A qualificação depende das atividades e decisões efetivas, não apenas do nome usado no contrato.
Onde esse conceito aparece?
Os arts. 5º, 37 a 39 e 42 da LGPD estabelecem definições, deveres de registro, instruções e responsabilidade. O controlador deve manter registros e orientar o operador; este deve tratar os dados segundo instruções lícitas e observar a lei. Mais de uma entidade pode participar de uma operação, e a distribuição real de decisões importa para identificar responsabilidades.
Como registrar os papéis
Mantenha um inventário por operação com finalidade, categorias de dados, titulares, sistemas, compartilhamentos e prazo. Indique quem decide e quem executa cada etapa, a base legal analisada e os controles acordados. Reavalie os papéis quando o fornecedor passar a reutilizar dados para finalidade própria ou quando uma atividade for internalizada.
Por que importa em uma decisão?
Desenhe o fluxo de dados: quem define finalidade e meios essenciais, quem executa tarefas, quais instruções recebe, quem escolhe retenção e destinatários e quem responde a titulares. Compare o fluxo com contratos, avisos e práticas técnicas. Defina responsabilidades de segurança, incidentes, atendimento de direitos, subcontratação e descarte, e documente mudanças no arranjo.
Limites e cuidados de interpretação
Chamar uma empresa de operadora não afasta eventual atuação como controladora em outra atividade ou quando toma decisões próprias sobre finalidades e meios. A LGPD prevê responsabilidade conforme os papéis e as hipóteses legais. O enquadramento exige análise factual; não é aconselhamento jurídico aplicável automaticamente a todo contrato de tecnologia.
Controlador, operador e encarregado não são sinônimos
A LGPD distingue controlador, que toma decisões referentes ao tratamento, e operador, que o realiza em nome do controlador, conforme as circunstâncias concretas. O encarregado é pessoa indicada para atuar como canal de comunicação nos termos da lei vigente. Um mesmo grupo pode desempenhar papéis diferentes em operações distintas; o contrato não define sozinho a realidade funcional. Mapeie quem determina finalidade e elementos essenciais, quem executa instruções e quem recebe solicitações. Consulte controlador de dados, operador de dados e encarregado de dados.
Indicação e atribuições do encarregado
A Lei nº 15.352/2026 alterou a LGPD para definir o encarregado como pessoa indicada pelo controlador e pelo operador para atuar como canal de comunicação entre agentes, titulares e Autoridade Nacional de Proteção de Dados. As atribuições, forma de contato e divulgação devem ser tratadas conforme redação legal e regulamentação aplicável. A ANPD prevê hipóteses de dispensa para certos agentes de pequeno porte que cumpram requisitos, sem afastar o dever de disponibilizar canal de comunicação. Verifique texto atualizado, regras específicas do setor e atos posteriores antes de descrever a função como obrigatória em qualquer cenário.
Instruções, contratos e responsabilidade
Quando operador atua em nome de controlador, documente objeto, duração, finalidades, categorias de dados, instruções, confidencialidade, segurança, subcontratação, atendimento a titulares, incidentes, auditoria e eliminação ou devolução. Instruções devem ser lícitas e suficientemente claras; operador que excede os limites pode assumir responsabilidades previstas em lei. O controlador continua responsável por decisões que lhe cabem e pela seleção e supervisão adequada. A distribuição contratual organiza a relação entre as partes, mas não elimina direitos dos titulares nem altera competências regulatórias.
Governança, registro e resposta a incidentes
Mantenha inventário das operações, responsáveis e bases legais; avalie riscos, controles de acesso, retenção e transferências; treine equipes e teste o canal de atendimento. Em incidente, o operador deve avisar o controlador sem demora indevida conforme contrato e colaborar com investigação. A comunicação regulatória e aos titulares é atribuída pela LGPD e pelo regulamento da ANPD ao controlador nos casos que preencham os critérios aplicáveis; a regulamentação estabelece prazo e conteúdo próprios, com particularidades para agentes de pequeno porte. Consulte a política de privacidade e o procedimento interno de incidentes.
Controlador, operador e decisões efetivas
A LGPD distingue controlador, que toma decisões referentes ao tratamento, e operador, que trata dados em nome do controlador, conforme instruções e lei. A classificação depende da operação concreta, não apenas do título no contrato. Uma empresa pode ser controladora em cadastro próprio e operadora em serviço prestado a cliente. Mapeie quem define finalidade, dados essenciais, retenção e destinatários e quem executa rotinas. Partes podem compartilhar decisões e precisar de arranjo claro. A LGPD e o tratamento de dados pessoais ajudam a separar funções.
Encarregado e alteração legislativa de 2026
A LGPD foi alterada pela Lei nº 15.352/2026, que atualizou a definição de encarregado como pessoa indicada pelo controlador e operador para atuar como canal de comunicação entre agentes, titulares e ANPD. Essa redação deve ser lida junto com regulamentos da Autoridade, que detalham indicação, atribuições e eventuais regras diferenciadas por porte ou papel. Não conclua, apenas pelo texto resumido, que todos os agentes têm dever idêntico em qualquer contexto: verifique lei e regulamentação vigentes para a operação e organização. Mantenha contato público atualizado, independência funcional adequada, recursos, substituição e forma de escalonamento. Encarregado não substitui controlador nem assume automaticamente responsabilidade por toda decisão. Consulte fonte oficial e registre revisão jurídica quando a regra mudar.
Instruções e contrato entre agentes
Contrato deve indicar objeto, duração, finalidade, categorias de titulares e dados, instruções, segurança, suboperadores, compartilhamento, atendimento a direitos, incidentes, auditoria proporcional, retenção e saída. Instrução precisa ser documentada e compatível com base legal e direitos. Operador deve avisar se percebe instrução que possa violar lei e não reutilizar dados para interesse próprio sem fundamento. Controlador continua responsável por decidir finalidade e demonstrar governança. Se papéis mudam, atualize contrato, aviso e inventário. Rótulo “operador” não resolve situação em que fornecedor decide por conta própria.
Responsabilidades, registro e prestação de contas
Cada agente tem deveres próprios segundo a LGPD. Controlador deve fornecer transparência, atender direitos, definir base legal e medidas, enquanto operador atua conforme instruções e coopera. Responsabilidade civil depende de conduta, dano, nexo e hipóteses legais; não se presume solidariedade contratual ampla nem se afasta por cláusula. Mantenha registro de operações, avaliações, decisões, comunicações e evidência de segurança. Em incidente, coordene rapidamente informação sobre natureza, dados, titulares, período e contenção. Contrato deve definir canal e prazo de aviso, sem reduzir prazo legal. Uma matriz RACI ajuda, mas não altera competência jurídica.
Suboperadores, compartilhamento e transferência
Antes de incluir suboperador, avalie função, acesso, local, segurança, retenção e capacidade de atender instruções. Exija fluxo de obrigações e autorização prevista. Compartilhamento entre controladores exige finalidade, base e transparência próprias; não se resolve apenas por cláusula de operador. Transferência internacional deve atender mecanismos e regras vigentes, com país, destinatário e garantias definidos. Mantenha lista atualizada e informe mudanças relevantes. Revogue acessos ao fim e confirme eliminação ou devolução.
Direitos de titulares e canal de resposta
O encarregado ou canal designado deve permitir que titulares enviem pedidos e recebam orientação; organização precisa de processo interno para localizar dados, verificar identidade, coordenar operadores e cumprir prazos. Protocolo, responsável e resposta devem ser registrados. Não exija que o titular conheça organograma nem transfira responsabilidade de um agente para outro sem encaminhamento. Se pedido envolve segredo ou dado de terceiro, avalie restrição pontual e explique. A direito de acesso aos dados e o aviso de privacidade apoiam transparência.
Segurança, incidentes e encerramento
Defina controles compatíveis com risco: acesso por função, autenticação, logs, proteção de cópias, testes de restauração, resposta a incidente e descarte. Revise medidas com escala e sensibilidade. Em encerramento, inventarie bancos, backups, suboperadores, credenciais e transferências; devolva ou elimine dados conforme instruções e retenções legais. Certificado de exclusão deve descrever escopo e exceções. Preserve apenas evidência necessária. A segurança da informação integra governança, mas não substitui análise de finalidade e base legal.
Fontes e leitura complementar
Consulte o texto institucional e a regra aplicável ao conceito. A interpretação em uma situação concreta depende dos documentos e do contexto.