Quem é quem (controlador, operador, encarregado)

Explicando de forma simples

Quando uma empresa ou um órgão público usa seus dados pessoais, a lei separa quem faz o quê. São papéis diferentes, com responsabilidades diferentes. Saber quem é quem ajuda você a cobrar a pessoa certa quando algo dá errado.

São três papéis principais:

• O controlador é quem manda. É a pessoa, a empresa ou o órgão público a quem cabem as decisões sobre o uso dos seus dados. É quem define por que e como eles serão usados.
• O operador é quem executa. É a pessoa ou a empresa que usa os dados em nome do controlador, seguindo as instruções dele. O operador não define as regras: ele cumpre o que foi determinado.
• O encarregado é a ponte de conversa. É a pessoa indicada pelo controlador para ser o canal de contato com os titulares. Também é quem fala com a ANPD — a Agência Nacional de Proteção de Dados, a agência pública que fiscaliza a lei no Brasil. O encarregado não decide como os dados são usados. Ele também é chamado de DPO, sigla em inglês que quer dizer justamente “encarregado de proteção de dados”.

Juntos, o controlador e o operador têm um nome só na lei: agentes de tratamento. (“Tratamento de dados” é como a lei chama qualquer uso dos dados, da coleta até o descarte. É o tema do assunto Tratamento de dados.)

E você? Você é o titular: a pessoa a quem os dados se referem. A lei assegura a você a titularidade desses dados. Isso não faz de você o dono deles, como se fossem um objeto: significa que a lei te dá direitos sobre o modo como eles são usados. Os papéis acima existem justamente para que isso seja respeitado.

Exemplo do dia a dia

Imagine uma loja online de roupas. Ela quer mandar e-mails de promoção para os clientes.

• A loja é o controlador. Foi ela que decidiu coletar seu e-mail e usá-lo para enviar promoções. A decisão é dela.
• A empresa de disparo de e-mails, contratada pela loja, é o operador. Ela só envia as mensagens que a loja pediu, do jeito que a loja mandou.
• Se você quiser sair da lista, quem te atende é o encarregado, a pessoa que a loja indicou como canal de contato.

A empresa de disparo não pode resolver sozinha usar seu endereço para outra finalidade. O papel dela é tratar os dados em nome da loja, seguindo o que a loja pediu.

A mesma divisão vale fora do comércio. Se a prefeitura recolhe seus dados para inscrever você num benefício, quem decide o uso é a prefeitura. Ela é a controladora, e é dela que você cobra.

Quem é o encarregado e como falar com ele?

Esse é o papel que mais confunde — e é o que mais te serve na prática.

A lei diz que o controlador deve indicar um encarregado. A identidade e o contato dessa pessoa devem ser divulgados publicamente, de forma clara e objetiva. O lugar preferido é o site do próprio controlador. Ou seja: encontrar o encarregado não deveria ser difícil.

As tarefas do encarregado, segundo a lei, são estas:

• receber reclamações e pedidos dos titulares, dar explicações e tomar providências;
• receber comunicações da ANPD e tomar providências;
• orientar os funcionários e os contratados da empresa sobre como proteger dados pessoais;
• cumprir as demais tarefas que o controlador definir, ou que a ANPD estabelecer em suas normas.

Duas coisas que costumam confundir:

1. O encarregado não é a ANPD. Ele é uma pessoa dentro da empresa, ou a serviço dela. Conversa com a ANPD quando é preciso. Mas não se confunde com a agência pública que fiscaliza a lei.

2. Nem toda empresa é obrigada a indicar um encarregado. A própria lei autorizou a ANPD a definir quem pode ser dispensado, conforme o porte e o tipo de uso dos dados. Com essa autorização, a agência abriu um caminho mais simples para negócios pequenos: microempresas, empresas de pequeno porte e startups, entre outros. Nesses casos, indicar um encarregado pode não ser obrigatório. Mas nem todo negócio pequeno entra nessa regra — ela tem limites de porte e não vale para quem faz usos de dados considerados de alto risco.

A dispensa também vem com condições. Quem não indica um encarregado precisa manter um canal de comunicação com você mesmo assim. Indicar um encarregado sem ser obrigado, aliás, conta como boa prática. E a dispensa não libera o pequeno negócio do resto da lei: as bases legais, os princípios e a sua condição de titular continuam valendo.

O que você pode fazer?

• Procure o contato do encarregado na política de privacidade do site. É ali que a identidade e o contato dele costumam aparecer. No celular, o caminho mais curto costuma ser o rodapé da página, em links como “Privacidade” ou “Proteção de dados”.
• Escreva para esse canal quando tiver uma reclamação ou um pedido. É por ali que você pede uma cópia dos seus dados, a correção do que estiver errado e, nos casos que a lei prevê, a exclusão. Guarde o número de protocolo ou uma cópia do e-mail enviado.
• Descubra quem é o controlador antes de cobrar. Abra a política de privacidade e procure, logo no começo, o nome e o CNPJ de quem se declara responsável pelos dados. Pode ser uma empresa ou um órgão público. É esse responsável que você cobra, mesmo que haja outras empresas envolvidas: as contratadas respondem ao controlador, e você não precisa procurar uma por uma.
• Se a empresa for pequena e não tiver encarregado, procure o canal de atendimento dela. A dispensa não apaga a obrigação de manter um canal para falar com você. Se não existir nenhum, isso já é um sinal de problema.
• Se ninguém responder, leve o caso à ANPD. Os canais de atendimento estão em gov.br/anpd.

Resumo

O controlador decide como e por que seus dados são usados. O operador apenas executa essas decisões em nome dele. Os dois juntos são os agentes de tratamento. O encarregado, ou DPO, é o canal de comunicação entre a empresa, você (o titular) e a ANPD. Ele não decide o tratamento, e não se confunde com a agência. A regra geral é que o controlador indique um encarregado e divulgue o contato dele. Pequenos negócios podem ser dispensados, desde que mantenham um canal para falar com você. Saber quem é quem é o primeiro passo para cobrar seus direitos da pessoa certa.