O controlador decide para que e como os dados serão usados. É ele quem responde, em regra, pela conformidade com a LGPD, quem indica o encarregado e quem deve comunicar incidentes à ANPD e aos titulares. Saber quem é o controlador é o primeiro passo para atribuir responsabilidades corretamente dentro da administração.
O que é controlador de dados
O art. 5º, VI, da Lei nº 13.709/2018 define controlador como a pessoa natural ou jurídica, de direito público ou privado, a quem competem as decisões referentes ao tratamento de dados pessoais. Ao lado do operador, forma os chamados agentes de tratamento. No setor público, o controlador é a pessoa jurídica de direito público (o município, a câmara, a autarquia), e não o secretário individualmente; mas os agentes públicos que tomam as decisões respondem conforme o regime próprio.
Para que serve entender o conceito
Para atribuir responsabilidades: a pessoa jurídica de direito público é o controlador, e a ela cabem as obrigações da LGPD. Já os servidores que decidem sobre os tratamentos em cada área respondem, nos termos do regime disciplinar e de responsabilidade aplicável. Distinguir controlador e operador é essencial na elaboração de contratos com fornecedores.
Obrigações do controlador
Competem ao controlador, entre outras obrigações previstas na LGPD:
- Indicar encarregado e divulgar sua identidade e contato (art. 41).
- Manter registro das operações de tratamento (art. 37). Veja registro das operações de tratamento.
- Comunicar incidentes de segurança à ANPD e ao titular, quando houver risco ou dano relevante (art. 48).
- Elaborar relatório de impacto quando a ANPD determinar (art. 38).
- Atender aos direitos dos titulares (art. 18).
- Adotar medidas de segurança e boas práticas de governança.
A Resolução CD/ANPD nº 18/2024 (art. 11) afirma que o agente de tratamento é o responsável pela conformidade do tratamento. As pessoas jurídicas de direito público devem indicar encarregado quando realizarem operações de tratamento de dados pessoais (art. 5º da Resolução), e a indicação deve ser publicada em diário oficial. Esses regulamentos podem ser atualizados pela ANPD, e o município deve conferir as versões vigentes.
Como funciona na prática
Em cada prefeitura, a chefia do Executivo define a política de proteção de dados, e os secretários respondem pelos tratamentos em suas áreas. A Câmara, como controladora própria, precisa de suas próprias estrutura e decisões, e não pode depender do Executivo. Em contratos com fornecedores, o município continua controlador e o fornecedor, em regra, é operador. O encarregado apoia, orienta e faz a interface com titulares e ANPD, mas não substitui o controlador nas decisões.
Imagine uma prefeitura de pequeno porte que contrata uma empresa de software para gerir o cadastro de alunos. A prefeitura decide quais dados coletar e para quê (é a controladora); a empresa hospeda e processa os dados conforme instruções (é operadora). No contrato, a prefeitura exige cláusulas sobre finalidade, sigilo, segurança, comunicação de incidentes e devolução ou eliminação dos dados no fim do contrato.
Controlador, operador e controladores conjuntos
| Agente | Papel | Exemplo |
|---|---|---|
| Controlador | Decide finalidade e meios do tratamento | Prefeitura, Câmara, autarquia |
| Operador | Trata os dados em nome do controlador, seguindo instruções | Empresa de software, nuvem, gráfica |
| Encarregado | Canal de comunicação com titulares e ANPD. Veja encarregado | Servidor designado por portaria |
Quando dois órgãos decidem em conjunto sobre o mesmo tratamento, podem ser considerados controladores conjuntos, o que exige acordo claro sobre as responsabilidades de cada um. O compartilhamento de dados entre órgãos deve seguir as regras de uso compartilhado. Veja compartilhamento de dados no setor público.
Erros comuns
- Delegar a LGPD ao setor de TI, quando ela envolve todas as áreas.
- Não distinguir controlador e operador nos contratos.
- Deixar de indicar e publicar o encarregado.
- Achar que a responsabilidade é só do fornecedor que hospeda os dados.
- Câmara dependendo informalmente do Executivo para cumprir a LGPD.
Responsabilidade civil e administrativa
A LGPD prevê responsabilidade e ressarcimento de danos para controladores e operadores que, em razão do exercício de atividade de tratamento, causarem dano patrimonial, moral, individual ou coletivo a outrem, em violação à legislação de proteção de dados. Na administração pública, essa responsabilidade segue também as regras gerais de responsabilidade do Estado e dos agentes públicos, e a ANPD pode aplicar sanções administrativas a órgãos públicos. Por isso, é prudente que o município documente suas decisões, mantenha registros e demonstre diligência: políticas aprovadas, treinamentos realizados, contratos revisados e incidentes tratados.
Estrutura mínima de governança
Mesmo em municípios pequenos, vale ter uma estrutura simples: política de proteção de dados aprovada por decreto, encarregado designado, um grupo de trabalho com representantes das principais áreas (saúde, educação, assistência, tributos, pessoal, TI e jurídico), um plano de resposta a incidentes e uma agenda anual de treinamentos. Essa estrutura distribui responsabilidades, evita que a LGPD vire um tema apenas “da informática” e dá ao controlador instrumentos para demonstrar que age de modo organizado.
