Alexandra Krastins Lopes

Clarisse Monte Serrat

A Lei Geral de Proteção de Dados (LGPD – Lei 13.708/2019) classifica os agentes de tratamento como controladores ou operadores. Realizar a análise para determinar o papel de cada agente é essencial na adequação das operações de tratamento de dados à LGPD, pois disso decorre a atribuição de obrigações e responsabilidades.
O controlador, nos termos do art. 5º, inciso VI, da LGPD, é qualquer pessoa natural ou jurídica, de direito público ou privado, a quem competem as decisões referentes ao tratamento de dados pessoais.  A EDPS (European Data Protection Supervisor), em sua <a href="https://edps.europa.eu/sites/edp/files/publication/19-11-07_edps_guidelines_on_controller_processor_and_jc_reg_2018_1725_en.pdf">guideline</a> sobre os agentes de tratamento, estabelece a necessidade de analisar alguns requisitos para sua definição:
<ol>
<li>Quem pode ser considerado controlador? Segundo o General Data Protection Regulation (GDPR), qualquer entidade pode ser considerada controladora de dados. No mesmo sentido estabelece a LGPD. Ressalta-se que, embora a pessoa física possa ser classificada como controladora, não se deve confundir essa possibilidade com os papéis de CEO da empresa, Encarregado, ou com qualquer profissional responsável por projeto de adequação de operações de tratamento de dados pessoais, pois estes estarão agindo em nome da organização que continuará respondendo como controladora e operadora<a href="#_ftn1" name="_ftnref1">[1]</a>.</li>
<li>O agente deve ter poder de decisão. Deve ser avaliado o real poder de controle do agente sobre o tratamento de dados pessoais. Na prática, o agente deve ter o o poder de resposta sobre questões como: Por quais razões os dados serão tratados? Quem deve iniciar o tratamento dos dados? Quem se beneficiará do tratamento dos dados?</li>
<li>Definição das finalidades e dos meios de tratamento. O controlador é quem define o porquê e como os dados serão tratados.</li>
</ol>
<a href="https://conteudo.jota.info/risco-politico" target="_blank" rel="noopener noreferrer"><img class="aligncenter wp-image-244336 size-full" src="https://www.jota.info/wp-content/uploads/2020/04/cta-risco-politico.png" alt="" width="1080" height="1080" /></a>
Em relação à escolha da finalidade, é o agente quem definirá, de fato, o motivo pelo qual os dados pessoais serão tratados. Em relação à determinação dos meios de tratamento considera-se o poder decisão quanto aos elementos essenciais e não essenciais dos meios de tratamento.
São considerados elementos essenciais, nos termos do <a href="https://ec.europa.eu/justice/article-29/documentation/opinion-recommendation/files/2010/wp169_en.pdf018_1725_en.pdf">parecer 1/2010</a> do Article 29 Data Protection Working Party, posteriormente substituído pelo EDPB (European Data Protection Board), para determinar os meios de tratamento aqueles que incluem a escolha dos tipos de dados pessoais que serão tratados, sobre quais indivíduos coletar, prazos de armazenamento, quem terá acesso aos dados (controles de acesso), a base legal que justifica a realização do tratamento e a responsabilidade quanto a garantia dos direitos dos titulares. Por outro lado, os elementos não essenciais se referem ao poder de escolha quanto às medidas técnicas que serão utilizadas para tutelar os dados pessoais, objeto do tratamento.
<blockquote class="jota-article__eye">Portanto, para a definição do controlador é necessária a definição da finalidade e dos elementos essenciais dos meios de tratamento, mas não necessariamente dos elementos não essenciais.</blockquote>
A título de exemplo, uma empresa ABC realiza o tratamento de dados de seus colaboradores para fins de cumprimento de obrigação legal ou regulatória. Para armazenar tais dados decide contratar a empresa especializada em serviços de armazenamento em nuvem XYZ. A empresa ABC decide quanto à realização do tratamento de dados pessoais (ao contratar os colaboradores), a finalidade (cumprir a obrigação legal ou regulatória), quais dados pessoais tratar (quais dados são necessários para o cumprimento da obrigação), sobre quais indivíduos (colaboradores), o período de armazenamento (período de cumprimento de obrigação) e quem terá acesso aos dados (por exemplo, setor de recursos humanos).
Por outro lado, a empresa XYZ apenas tratará os dados solicitados para armazená-los e concederá acesso somente às pessoas determinadas pela empresa ABC, pelo período por esta solicitado. É possível que a empresa ABC determine uma ou outra medida técnica a ser cumprida pela empresa XYZ. Contudo, há medidas que se referem à especialidade (expertise) da empresa XYZ, razão pela qual é contratada. Natural, portanto, que essa empresa XYZ defina as medidas técnicas necessárias para a boa prestação dos serviços. Nota-se claramente que a empresa ABC é a controladora, pois possui poder decisório e determinou os elementos essenciais dos meios de tratamento. Enquanto a empresa XYZ, prestadora dos serviços de armazenamento em nuvem, seguiu o que lhe foi solicitado na contratação, definindo apenas elementos não essenciais do tratamento.
No que concerne à figura do operador, a LGPD o define como uma pessoa natural ou jurídica, de direito público ou privado, que age em nome do controlador. Os requisitos para que o agente seja classificado como operador são:
<ul>
<li>Tipo de atores que podem ser considerados operadores: A existência do operador depende de uma decisão do controlador, que pode decidir realizar certas operações de tratamento de dados por si mesmo ou delegar parte desse tratamento ao operador.</li>
<li>Atuar em nome do controlador: Na prática, o controlador define a finalidade e os meios de tratamento, e o operador faz a implementação destes. O operador age de acordo com os interesses do controlador, o que não elimina a sua própria independência dentro do escopo dos serviços.</li>
</ul>
Segundo orientações do parecer 1/2010, o operador, pelo fato de ter que agir em nome do controlador, não deve ser considerado seu subordinado. O operador ainda terá autonomia para exercer os seus serviços. Além disso, se acordado com o controlador, o operador poderá decidir sobre os elementos não essenciais do tratamento, como por exemplo, o hardware e software a ser utilizado, bem como medidas técnicas de segurança que entender serem mais eficientes ou adequada para tutelar os dados pessoais.
Tendo em consideração o exemplo da empresa mencionado anteriormente, ainda que a empresa prestadora dos serviços de nuvem tenha a autonomia de escolher a forma de armazenamento e quais as técnicas que utilizará para proteger os dados contra acessos indevidos, perda e destruição, não se afasta a o papel da empresa ABC como controladora. Desse modo, diante do exposto, na ausência de autonomia quanto à escolha da finalidade e elementos essenciais dos meios de tratamento, o agente será considerado operador de dados pessoais, podendo dispor de forma autônoma sobre os elementos não essenciais, como por exemplo, medidas técnicas de segurança da informação.
<blockquote class="jota-article__eye">Vale ressaltar que o GDPR, em seu artigo 7, dispõe expressamente, ao definir o controlador, que as finalidades e meios de uma mesma operação de tratamento de dados podem ser definidas por mais de uma pessoa. Enquanto o seu artigo 26 regula a hipótese de atuação de agentes em conjunto como controladores de dados pessoais, desde determinem, em conjunto, as finalidades e meios de tratamento.</blockquote>
Apesar de a LGPD não mencionar de forma expressa o conceito dos co-controladores, estabelece, em seu art. 42, inciso II, a possibilidade de que dois controladores respondam de forma solidária perante os danos que causarem ao titular, o que reforça a possibilidade da existência de dois controladores atuando sobre o mesmo tratamento no direito brasileiro, porém não necessariamente nos mesmos termos da existente controladoria conjunta no direito europeu.
Segundo a <a href="https://edps.europa.eu/sites/edp/files/publication/19-11-07_edps_guidelines_on_controller_processor_and_jc_reg_2018_1725_en.pdf.">guideline</a> da EDPS, a noção de determinação conjunta deve ser compreendida como a situação em que cada controlador possui a chance/direito de determinar as finalidades e elementos essenciais dos meios de uma operação de tratamento. Isso significa que, antes de firmar um acordo entre partes, cada controlador é ciente da finalidade geral e dos elementos essenciais dos meios de tratamento (...).
Isso, por si só, desencadeia a controladoria conjunta. Assim, o ponto relevante para a definição da controladoria conjunta no direito europeu é a determinação conjunta da finalidade e dos meios de tratamento.
Destaca-se exemplo mencionado nas referidas guidelines da EDPS, segundo o qual uma empresa pode fazer o uso de câmeras com a finalidade de manter a segurança do local.
Em uma hipótese de tentativa de assalto a empresa compartilhará os dados coletados pelas câmeras para as autoridades investigatórias. As duas partes envolvidas não determinam conjuntamente a finalidade e os meios de tratamento de dados, e por isso, não atuam como co-controladoras. Tal exemplo demonstra como, em relação aos mesmos dados, a empresa e a autoridade investigatória atuam na posição de controladoras, mas sem o acordo prévio quanto às finalidades e meios de tratamento.
Ainda é obscuro se o direito brasileiro abarcará o conceito da co-controladoria europeu, porém é certo que existe a possibilidade de dois ou mais agentes atuarem como controladoras autônomas em relação aos mesmos dados.
A correta qualificação dos agentes de tratamento na fase de mapeamento para registro das operações de tratamento de dados é essencial para a definição de responsabilidades em contratos de tratamento firmados entre os agentes, bem como para o cumprimento das obrigações perante os titulares e a Autoridade Nacional de Proteção de Dados.
&nbsp;
<hr />
<a href="#_ftnref1" name="_ftn1">[1]</a> LGPD: Lei Geral de Proteção de Dados comentada/coordenadores Viviane Nóbrega Maldonado e Renato Opice Blum. – 2. ed. rev. atual. e ampli. São Paulo: Thomson Reuters Brasil, 2019. P. 109.

laptop-820274_1920

https://images.jota.info/wp-content/uploads/2021/09/copy-of-jota-logo-high-cmyk.jpeg

JOTA

Existe a possibilidade de dois ou mais agentes atuarem como controladoras autônomas em relação aos mesmos dados

Requisitos para definição dos agentes de tratamento de dados pessoais

Existe a possibilidade de dois ou mais agentes atuarem como controladoras autônomas em relação aos mesmos dados