Quem são os responsáveis para manter registro das operações de tratamento de dados pessoais?

Conteúdo

LGPD – Obrigações do controlador

Cabe ao controlador tomar as decisões acerca do tratamento de dados pessoais, bem como zelar por sua conservação. (Lei 13.709 de 14 de agosto de 2018)
Obrigações do controlador:
– Obter consentimento específico do titular para fim próprio quando houver, por parte do controlador, a necessidade de comunicar ou compartilhar dados pessoais com outros controladores, exceto em caso de o titular dos dados tê-los tornado manifestamente públicos. (Art. 7º, §§ 4º e 5º)
– Provar que o consentimento foi obtido em conformidade com a Lei. (Art. 8º, § 2º)
– Nas hipóteses em que o consentimento for requerido, se houver mudança da finalidade para o tratamento de dados pessoais não compatíveis com o consentimento original, o controlador deverá informar previamente o titular sobre as mudanças de finalidade. Nesse momento, o titular poderá optar por renovar o consentimento ou revoga-lo. (Art. 9, §2º)
– Tratar somente dados pessoais estritamente necessários para a finalidade pretendida – quando o tratamento for baseado no legítimo interesse do controlador – e adotar medidas para garantir a transparência do tratamento baseado no legítimo interesse. (Art.10, caput, §§ 1º e 2º)
– Manter pública a informação sobre tratamento de dados pessoais de crianças e adolescentes tais com os tipos de dados coletados, a forma de sua utilização e os procedimentos para o exercício dos direitos dos titulares. (Art. 14, §2º)
– Conservar dados pessoais não eliminados, quando encerrado o período de tratamento, para cumprimento de obrigação legal ou regulatória. Também poderá fazer uso exclusivo desses dados, desde que anonimizados, sendo seu acesso por terceiros expressamente vedado na Lei. (Art. 16, inc. IV)
– Confirmar a existência ou providenciar o acesso a dados pessoais, mediante requisição do titular, em formato simplificado, imediatamente, ou por meio de declaração clara e completa, que indique a origem dos dados, a inexistência de registro, os critérios utilizados e a finalidade do tratamento, observados segredos comercial e industrial, fornecida no prazo de até 15 (quinze) dias, contados da data do requerimento do titular. (Art. 19)
– Nas decisões automatizadas o controlador deverá fornecer, sempre que solicitadas, as informações claras e adequadas a respeito dos critérios e procedimentos para a decisão automatizada, observados os segredos comercial e industrial. (Art. 20, §1º)
– Oferecer e comprovar garantias de cumprimento dos princípios, dos direitos do titular e do regime de proteção de dados na forma da LGPD, nos casos de transferência internacional de dados pessoais. (Art. 33)
– Manter registro das operações de tratamento de dados pessoais que realize, podendo a autoridade nacional determinar que seja elaborado relatório de impacto à proteção de dados (pessoais ou sensíveis) referente às suas operações. (Arts. 37 e 38)
– Fornecer instruções para o operador realizar o tratamento de dados pessoais, devendo o operador verificar a observância das próprias instruções e normas sobre a matéria. (Art.39)
– Indicar o encarregado pelo tratamento dos dados pessoais, divulgando publicamente, de forma clara e objetiva, preferencialmente no seu sítio eletrônico, a identidade do encarregado e suas informações de contato. (Arts. 23 e 41)
– Reparar, solidariamente com o operador ou não, se, em razão do exercício de atividade de tratamento de dados pessoais, causar a outrem dano patrimonial, moral, individual ou coletivo, em violação ou descumprimento à legislação de proteção de dados. (Art. 42)
– Adotar medidas de segurança, técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou lícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito. (Art.46)
– Comunicar à autoridade nacional e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares. (Art. 48)
– Pode formular regras de boas práticas e de governança que estipulem condições de organização, procedimentos, normas de segurança, padrões técnicos, obrigações específicas, mecanismos internos de supervisão e mitigação de riscos, bem como outros aspectos relacionados ao tratamento de dados pessoais, desde que respeitadas suas competências. (Art. 50)

Índice Show

LGPD – Obrigações do controlador
Entenda seu papel
Uma empresa é sempre controladora?
Papel do controlador e operador
RH é uma área-chave
Quem é responsável pelo tratamento de dados pessoais?
Quem são os responsáveis pela coleta de dados?
Quem é o responsável por determinar as finalidades e os meios de tratamento de dados pessoais?
Quais são os dois agentes igualmente responsáveis pelo tratamento de dados pessoais?

Página principal
Dado pessoal, dado pessoal sensível e dado anonimizado
Controlador e encarregado
Requisitos para o tratamento legítimo de dados
Obrigações dos controladores
Direitos dos titulares

Com a aproximação das sanções administrativas da Lei Geral de Proteção de Dados (LGPD), que passam a valer a partir de 1º de agosto de 2021, torna-se ainda mais urgente a adequação às mudanças previstas. Nesse momento, é fundamental compreender os papéis do controlador e operador na LGPD para evitar multas.

Para contribuir com as empresas, a Autoridade Nacional de Proteção de Dados (ANPD) publicou, em 28 de maio, o “Guia Orientativo para Definições dos Agentes de Tratamento de Dados Pessoais e do Encarregado”. O documento busca estabelecer diretrizes não-vinculantes aos agentes de tratamento e explicar quem pode exercer a função do controlador, do operador e do encarregado; as definições legais; os respectivos regimes de responsabilidade; casos concretos que exemplificam as explicações da ANPD e as perguntas frequentes sobre o assunto.

Helio Cordeiro, Sócio-Diretor no Grupo Daryus e líder de LGPD, esclarece pontos importantes e fala sobre as responsabilidades do RH no cumprimento da lei.

Entenda seu papel

Imagine que você é dono de uma empresa e seu funcionário infringiu uma regra na proteção de dados dos seus clientes. Você sabe quais as sanções deverão ser empregadas? Compreende quais são as responsabilidades da companhia e do colaborador? Em situações como essa, o papel do controlador e operador na LGPD devem estar claros para evitar possíveis sanções.

Segundo Helio, um controlador é uma pessoa natural ou jurídica, de direito público ou privado, responsável pelas decisões referentes ao tratamento de dados. “Cabe a ele determinar sua atuação, regras de acordo com seu modelo de negócios e seu legítimo interesse, em conformidade com a lei”, explica.

Já um operador é uma pessoa natural ou jurídica, de direito público ou privado, que realiza o tratamento de dados pessoais em nome do controlador. “Ele processa e gerencia as informações de acordo com as regras estabelecidas pelo controlador”, esclarece o especialista.

No exemplo citado, segundo Helio, a empresa atua como controladora e o funcionário como operador. “Importante ressaltar que um operador deve ter clareza em sua atuação, de forma a não exercer mais responsabilidades do que aquelas que deveriam estar definidas em seu contrato com um controlador”, alerta.

Uma empresa é sempre controladora?

O especialista reforça que uma empresa pode assumir o papel de controladora e operadora, a depender do contexto. Por exemplo, ela pode ser responsável internamente pelos dados dos funcionários e clientes ou, ainda, contratar uma terceirizada que conte com essa finalidade. A terceirizada, nesse caso, assume o papel de operadora.

Sendo assim, Helio explica que o papel de controlador e operador na LGPD depende do assunto em questão e do entendimento dos líderes da companhia. “A avaliação de uma empresa considera aspectos de negócio, cadeia de valor, atuação e responsabilidades. Esta definição e especificação é realizada com a alta direção, considerando seus produtos e serviços, de forma a adequá-los à legislação”, explica.

Desta forma, o especialista recomenda que esse aspecto não seja fruto de uma decisão rápida, utilizando somente uma visão simplista da operação em si. “Uma boa regra simples, que deve ser utilizada com cautela, é: um controlador controla e um operador opera (em nome de um controlador). Ambos são responsáveis em manter os registros de suas respectivas atuações e responsabilidades”, argumenta.

Papel do controlador e operador

Helio explica que um controlador tem como papel e responsabilidade a gestão das informações. Ele deve gerenciar todas as atividades que envolvam dados pessoais relacionados aos clientes, consumidores e colaboradores, como:

Coleta;
Produção;
Recepção;
Classificação;
Utilização;
Acesso;
Reprodução;
Transmissão;
Distribuição;
Processamento;
Arquivamento;
Armazenamento;
Modificação;
Comunicação;
Transferência;
Difusão ou extração;
Eliminação, avaliação ou controle da informação.

O profissional pondera que não há diferença de responsabilidades entre controlador e operador na LGPD quanto ao registro das operações de tratamento de dados pessoais que realizarem, especialmente quando baseado em legítimo interesse.

RH é uma área-chave

Com um RH cada vez mais automatizado e, muitas vezes, movimentando grandes volumes de dados, Helio recomenda que a área busque parceiros de tecnologia de confiança para evitar problemas na LGPD.

“O RH possui responsabilidade direta na gestão e uso de dados pessoais e sensíveis de seus colaboradores, incluído de crianças e adolescentes disponíveis no ecossistema de cadastro destes funcionários. Ainda que terceirize parte destas atividades com outras empresas, parceiros, prestadores, plataformas web ou startups, o departamento permanece como controlador destes dados”, ressalta Helio.

Sendo assim, independentemente do papel de controlador e operador na LGPD, diversos tipos de dados fundamentais à área devem passar por regras de segurança criteriosas, inclusive de pessoas que estão participando de processos seletivos.

“Informações de candidatos, currículos e bases cadastrais que antes eram guardados de forma permanente, agora, precisam de consentimento por parte dos titulares de dados para que sejam utilizados somente para a finalidade específica da contratação ou do recrutamento. Além disso, o período de armazenamento precisa ser claramente determinado e especificado aos titulares”, finaliza.

Agora que você já sabe a diferença entre controlador e operador na LGPD, confira como está o nível de adequação da sua empresa. Clique aqui e acesse nosso checklist do controlador, que mede o grau de conformidade da sua companhia com a lei.

Quem é responsável pelo tratamento de dados pessoais?

No âmbito da LGPD, o tratamento dos dados pessoais pode ser realizado por dois agentes de tratamento, o controlador e o operador. O controlador é definido pela Lei como a pessoa natural ou jurídica, de direito público ou privado, a quem competem as decisões referentes ao tratamento de dados pessoais.

Quem são os responsáveis pela coleta de dados?

Quem é o controlador na LGPD? Todas as empresas que fazem parte dos órgãos públicos e privados devem eleger uma pessoa responsável para realizar a parte de tratamento dos dados. O encarregado será responsabilizado quando possíveis incidentes ou situações ilegais ocorrerem.

Quem é o responsável por determinar as finalidades e os meios de tratamento de dados pessoais?

O responsável pelo tratamento determina as finalidades e os meios pelos quais os dados pessoais são tratados. Portanto, a sua empresa/organização é a responsável pelo tratamento se decide «porquê» e «como» os dados pessoais devem ser tratados.

Quais são os dois agentes igualmente responsáveis pelo tratamento de dados pessoais?

De acordo com a LGPD, os agentes de tratamento de dados pessoais são o operador e o controlador, os quais são assim definidos pela legislação: Art. 5º, VI – controlador: pessoa natural ou jurídica, de direito público ou privado, a quem competem as decisões referentes ao tratamento de dados pessoais; Art.