Empresa: controladora ou operadora?
Você sabe no que isso influência a responsabilidade da sua empresa?
Vale pontuar que esse texto será dirigido a pessoas jurídicas, por isso todo o contexto tratado aqui se refere a organização como agente de tratamento.
Não é novidade a obrigatoriedade das empresas estarem adequadas a Lei Geral de Proteção de dados no que se refere ao tratamento dos dados pessoais dos titulares, sob pena de eventuais sanções pela Autoridade Nacional de Proteção de Dados. Clique aqui para saber mais sobre as penalidades.
Parte da adequação a essa lei se refere a definição de quem é o controlador e o operador na relação.
O controlador e o operador, segundo a lei, são considerados como agentes de tratamento dos dados pessoais.
Quem é o controlador?
O controlador é o agente responsável por tomar as decisões referentes ao tratamento de dados pessoais, ou seja, ele define a finalidade do tratamento.
Art. 5º Para os fins desta Lei, considera-se:
VI - controlador: pessoa natural ou jurídica, de direito público ou privado, a quem competem as decisões referentes ao tratamento de dados pessoais;
Quem é o operador?
O operador é o agente responsável por realizar o tratamento de dados pessoais conforme ordens do controlador, bem como conforme a finalidade delimitada por este.
Art. 5º Para os fins desta Lei, considera-se:
VII - operador: pessoa natural ou jurídica, de direito público ou privado, que realiza o tratamento de dados pessoais em nome do controlador;
Responsabilidades distintas entre controlador e operador
É de grande importância a distinção de ambos na relação, visto que a lei atribui obrigações distintas para os agentes.
A principal diferença entre ambos é o poder de decisão no que se refere a forma com que os dados serão tratados na empresa.
É importante deixar claro que ambas as partes possuem responsabilidades, bem como a lei determina que a responsabilidade por eventual dano causado para o titular, é solidária entre ambos. Porém, vamos deixar o assunto responsabilidade para outro artigo no blog, o que acham?
No que se refere a responsabilidade referente as obrigações de cada um, elas são determinadas de acordo com o papel exercido por cada um. Vamos a algumas situações, no caso do:
Controlador:
- Exercício dos direitos dos titulares;
- Elaboração do relatório de impacto à proteção de dados pessoais;
- Comunicação de incidente de segurança para a ANPD - Autoridade Nacional de Proteção de Dados;
Operador:
A princípio: seguir as instruções do controlador referente ao tratamento de dados, visto que o operador não tem a autonomia para definir como será realizado esse tratamento.
Ainda, eventual contrato que o operador fizer com outro sub-operador (aquele que tem relação direta com o operador para auxiliar este no tratamento de dados pessoais), ele tem a obrigação de notificar o controlador.
Demais responsabilidades devem ser descritas no contrato entre ambos, que irão depender de cada caso.
Sua empresa se encaixa como controladora ou operadora?
Conforme exposto, já conseguimos entender que o agente de tratamento é definido conforme a forma da operação de tratamento dos dados pessoais.
Apenas um profissional da área de proteção de dados é que pode te afirmar isso, cada caso concreto exige uma analise específica, bem como, em eventual elaboração de contrato para delimitar a responsabilidade de ambos.
Gostou desse conteúdo? Não se esqueça de deixar seu comentário e curtir clicando no coração. Sua interação é importante para que eu entenda se esse conteúdo está sendo proveitoso para você.
Dra. Isabele Manhani | Advogada Contratual & Consultora em Proteção de Dados.
Comments