Proteção de Dados e Responsabilidade Jurídica: quem responde pelo tratamento inadequado de dados?

1. Responsabilidade começa pela identificação dos papéis

Antes de discutir responsabilidade, é necessário saber qual papel cada participante exerce.

A LGPD trabalha, entre outros conceitos, com as figuras do controlador e do operador.

De forma simplificada:

• Controlador é quem toma as principais decisões relativas ao tratamento dos dados pessoais.
• Operador realiza o tratamento em nome do controlador e conforme as instruções recebidas.

A qualificação, porém, não depende apenas do nome utilizado no contrato.

Uma empresa não se torna automaticamente “operadora” apenas porque uma cláusula contratual assim determina.

É necessário analisar como a atividade funciona efetivamente.

A própria Autoridade Nacional de Proteção de Dados — ANPD — orienta que as responsabilidades devem ser examinadas de acordo com o papel concretamente exercido por cada participante.

2. Empregados da empresa são operadores?

Em regra, não.

Esse é outro ponto que costuma provocar confusão.

Empregados, administradores, sócios e outras pessoas naturais que integram a estrutura da pessoa jurídica e atuam sob sua autoridade não são considerados operadores simplesmente porque manipulam dados durante suas atividades.

O operador normalmente será uma pessoa distinta do controlador, atuando em seu nome no tratamento.

Isso não significa, evidentemente, que empregados possam utilizar dados livremente.

A organização continua responsável por definir acessos, instruções, políticas, treinamento e controles adequados.

A ANPD também diferencia expressamente essas funções em seu guia sobre agentes de tratamento.

3. O controlador possui papel central

O controlador ocupa posição especialmente relevante porque define aspectos essenciais do tratamento.

Entre outras decisões, pode determinar:

• quais dados serão coletados;
• para quais finalidades;
• por quanto tempo serão utilizados;
• quais fornecedores participarão da operação;
• quais sistemas serão empregados;
• quais medidas de governança serão adotadas.

Consequentemente, a gestão de proteção de dados não pode ser totalmente terceirizada.

Uma empresa pode contratar consultores, empresas de tecnologia, plataformas ou prestadores especializados, mas continua precisando exercer governança sobre aquilo que ocorre com os dados sob sua responsabilidade.

4. O operador também pode responder

A existência de um controlador não elimina a responsabilidade do operador.

A LGPD prevê situações nas quais agentes envolvidos no tratamento podem ter dever de reparar danos.

Segundo orientação da ANPD, controlador e operador possuem responsabilidades relacionadas às respectivas esferas de atuação. O operador pode, inclusive, ser responsabilizado quando descumpre a legislação ou deixa de seguir instruções lícitas do controlador.

Isso torna especialmente importante documentar:

• quais atividades o operador poderá realizar;
• quais dados poderá utilizar;
• para quais finalidades;
• se poderá contratar suboperadores;
• quais medidas de segurança deverá manter;
• como deverá comunicar incidentes;
• o que acontecerá após o encerramento da relação contratual.

Em proteção de dados, um contrato genérico pode esconder riscos relevantes.

5. Nem todo incidente significa automaticamente responsabilidade

Um incidente de segurança é um evento que precisa ser investigado.

Mas sua ocorrência, isoladamente, não permite concluir automaticamente quem é juridicamente responsável nem qual será a consequência.

É necessário examinar, entre outros fatores:

• o que aconteceu;
• quais dados foram atingidos;
• quem controlava o tratamento;
• quem executava a operação;
• quais medidas preventivas existiam;
• se houve descumprimento da legislação ou de instruções aplicáveis;
• se houve efetivamente dano;
• qual é o nexo entre a conduta e o prejuízo alegado.

Essa análise é importante porque responsabilidade jurídica não deve ser confundida com mera ocorrência técnica.

6. O que pode ser considerado tratamento irregular?

A LGPD estabelece parâmetros para avaliar a regularidade do tratamento.

Em termos práticos, problemas podem surgir quando dados são utilizados sem fundamento adequado, para finalidades incompatíveis, de maneira excessiva ou com medidas de segurança insuficientes.

Alguns exemplos de situações que merecem atenção:

• coleta desnecessária de informações;
• compartilhamento sem justificativa;
• utilização para finalidade diferente daquela originalmente definida;
• acesso por pessoas que não deveriam visualizar os dados;
• manutenção de informações além do período necessário;
• envio de documentos ao destinatário errado;
• uso de dados por fornecedor para finalidade própria não autorizada;
• falhas relevantes de segurança;
• ausência de procedimentos para atender direitos dos titulares.

Cada situação, contudo, precisa ser examinada concretamente.

7. Segurança da informação e responsabilidade jurídica estão conectadas

Não existe programa de proteção de dados consistente sem segurança da informação.

A organização precisa adotar medidas compatíveis com seus riscos.

Isso pode envolver, conforme o contexto:

• controle de acessos;
• autenticação adequada;
• registro de atividades;
• backup;
• atualização de sistemas;
• gestão de dispositivos;
• políticas de senha;
• criptografia quando apropriado;
• classificação de informações;
• treinamento de equipes;
• gestão de terceiros.

Não se trata de afirmar que todas as empresas precisam implementar exatamente os mesmos controles.

Uma pequena empresa e uma organização que trata milhões de registros possuem realidades diferentes.

O importante é que as medidas adotadas sejam proporcionais à natureza das operações e aos riscos existentes.

8. Um contrato com o fornecedor transfere toda a responsabilidade?

Não necessariamente.

Contratos são fundamentais, mas não funcionam como mecanismo absoluto de transferência de risco perante titulares ou autoridades.

Eles servem para organizar a relação entre as partes e estabelecer obrigações internas.

Uma empresa pode definir, por exemplo, que determinado fornecedor deverá:

• obedecer às instruções documentadas;
• restringir o uso dos dados;
• adotar medidas de segurança;
• informar incidentes;
• colaborar no atendimento de titulares;
• excluir ou devolver dados ao término do contrato.

Mas a existência dessas cláusulas não elimina a necessidade de acompanhamento da relação.

A proteção de dados exige também gestão de fornecedores.

9. O problema dos suboperadores

Em cadeias digitais, o fornecedor contratado frequentemente utiliza outros fornecedores.

Uma plataforma pode contratar serviços de hospedagem, armazenamento, processamento, atendimento ou infraestrutura.

Assim, o fluxo pode assumir a seguinte forma:

empresa → fornecedor → subfornecedor → infraestrutura tecnológica.

Quanto maior a cadeia, maior a necessidade de conhecer quem participa do tratamento.

A ANPD reconhece a existência de estruturas mais complexas e utiliza o conceito de suboperador em suas orientações.

Por isso, contratos e processos de contratação devem verificar se terceiros poderão participar da operação e em quais condições.

10. Quem deve comunicar um incidente à ANPD?

A regulamentação atualmente vigente estabelece deveres específicos ao controlador.

A Resolução CD/ANPD nº 15/2024 disciplina a comunicação de incidentes de segurança envolvendo dados pessoais.

Segundo a ANPD, o controlador deve comunicar à Autoridade e aos titulares quando o incidente puder ocasionar risco ou dano relevante. O regulamento também prevê manutenção do registro de incidentes por pelo menos cinco anos.

Isso demonstra por que empresas precisam possuir um procedimento interno de resposta.

O fornecedor técnico pode detectar o incidente primeiro, mas a organização precisa saber:

quem recebe o alerta → quem avalia o impacto → quem reúne as informações → quem decide sobre comunicações obrigatórias → quem registra as providências adotadas.

Sem esse fluxo, perde-se tempo justamente quando rapidez e organização são mais necessárias.

11. O encarregado assume a responsabilidade da empresa?

Não.

O encarregado possui função importante, mas não substitui o controlador.

A regulamentação da ANPD trata o encarregado como canal de comunicação entre titulares, agentes de tratamento e a Autoridade, além de reconhecer atividades relacionadas à orientação interna sobre proteção de dados.

Portanto, nomear um encarregado não significa transferir a ele todas as responsabilidades relacionadas à LGPD.

A governança continua pertencendo à organização e às estruturas responsáveis pelas decisões de tratamento.

12. E empresas de pequeno porte?

Pequeno porte não significa ausência de responsabilidade.

Há regras específicas e simplificações aplicáveis a determinados agentes que preencham os requisitos regulatórios, inclusive em relação ao encarregado.

A própria ANPD informa que algumas categorias de agentes de pequeno porte podem estar dispensadas da indicação formal do encarregado, conforme a regulamentação aplicável.

Isso, entretanto, não elimina os demais deveres de proteção de dados.

Uma pequena empresa continua precisando conhecer os dados que utiliza, proteger informações, respeitar direitos e organizar minimamente seus processos.

13. Documentação também é proteção jurídica

Uma organização pode efetivamente adotar boas práticas e, ainda assim, enfrentar dificuldades se não conseguir demonstrá-las.

Por isso, documentação é parte da governança.

Alguns registros importantes podem incluir:

• inventário de tratamentos;
• definição de bases legais;
• políticas internas;
• registros de treinamento;
• controles de acesso;
• análise de fornecedores;
• contratos;
• registros de incidentes;
• solicitações de titulares;
• decisões sobre retenção e descarte;
• procedimentos de resposta.

Isso materializa um princípio essencial da LGPD:

não basta buscar conformidade; é importante conseguir demonstrar como a organização procura alcançá-la.

14. Responsabilidade jurídica não começa depois do vazamento

Esse talvez seja o ponto mais importante.

Muitas empresas começam a discutir LGPD somente depois de um problema.

Mas a maior parte da gestão de responsabilidade ocorre antes.

Ela está presente quando a empresa decide:

• que dado coletará;
• por que precisa dele;
• quem poderá acessá-lo;
• por quanto tempo será mantido;
• qual sistema será utilizado;
• que fornecedor será contratado;
• quais cláusulas estarão no contrato;
• quais medidas de segurança serão exigidas.

Cada uma dessas decisões pode aumentar ou reduzir a exposição jurídica da organização.

Um método simples de análise

Ao avaliar responsabilidade em proteção de dados, seis perguntas ajudam a organizar o problema:

1. Quem decidiu?

   Identifique quem determinou finalidade e elementos essenciais do tratamento.

2. Quem executou?

   Verifique quem efetivamente realizou a operação.

3. O que estava autorizado?

   Compare a atividade realizada com a legislação, contratos e instruções existentes.

4. Qual foi a falha?

   Identifique se houve desvio de finalidade, acesso indevido, falha de segurança ou outra irregularidade.

5. Houve dano ou risco relevante?

   A consequência jurídica depende também da natureza e dos efeitos da ocorrência.

6. Quais medidas foram adotadas?

   Avalie prevenção, resposta, documentação e providências posteriores.

Esse roteiro não substitui a análise jurídica do caso concreto, mas ajuda a evitar conclusões precipitadas.

Conclusão

Proteção de dados envolve muito mais do que evitar vazamentos.

A responsabilidade jurídica nasce da forma como a organização estrutura todo o ciclo de tratamento.

Quem decide. Quem executa. Quem acessa. Quem recebe. Quem protege. Quem fiscaliza. E quem consegue demonstrar o que foi feito.

Quanto mais complexa a cadeia de fornecedores e sistemas, maior a importância de definir funções e responsabilidades.

Uma estrutura adequada combina governança, contratos, segurança da informação, treinamento e documentação.

O objetivo não é imaginar que todo risco possa ser eliminado.

É criar condições para que dados pessoais sejam tratados de forma juridicamente justificável, tecnicamente protegida e administrativamente organizada.