Fornecedores de sistemas, empresas de nuvem, gráficas que imprimem carnês e laboratórios que processam exames podem ser operadores. O operador não decide a finalidade: executa. Mas isso não o isenta de responsabilidade: a LGPD impõe a ele deveres próprios e a possibilidade de ser responsabilizado em determinadas situações.
O que é operador de dados
O art. 5º, VII, da Lei nº 13.709/2018 define operador como a pessoa natural ou jurídica, de direito público ou privado, que realiza o tratamento de dados pessoais em nome do controlador. O que distingue o operador é o fato de agir em nome de outro e conforme suas instruções. Se a empresa passa a decidir por conta própria sobre finalidades e meios, deixa de ser mera operadora e pode assumir o papel de controladora em relação àquele tratamento.
Exemplos no setor público
- Empresa que fornece e hospeda o sistema de gestão de saúde, de protocolo ou de folha de pagamento.
- Provedor de nuvem que armazena os backups da prefeitura.
- Gráfica que imprime carnês de IPTU com nome e endereço dos contribuintes.
- Laboratório que processa exames de usuários do sistema de saúde.
- Empresa de comunicação que dispara mensagens para listas fornecidas pelo município.
Já os servidores da prefeitura que tratam dados no exercício de suas funções não são operadores: agem como parte do controlador.
Deveres do operador
Os agentes de tratamento devem adotar medidas de segurança, técnicas e administrativas, aptas a proteger os dados de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão (art. 46 da LGPD). O operador deve realizar o tratamento segundo as instruções fornecidas pelo controlador, que verificará a observância das próprias instruções e das normas sobre a matéria. A indicação de encarregado por operadores é facultativa e considerada boa prática de governança (Resolução CD/ANPD nº 18/2024, art. 6º). Os regulamentos da ANPD podem ser atualizados, e o município deve conferir as versões vigentes.
O que prever em contratos e termos de referência
- Finalidade e instruções: o operador só trata os dados para a finalidade e conforme as instruções do município.
- Sigilo e confidencialidade: obrigação de manter sigilo e de limitar o acesso a pessoas autorizadas.
- Subcontratação: proibição ou autorização prévia e por escrito para subcontratar.
- Segurança: medidas mínimas exigidas, certificações ou padrões, quando cabível.
- Incidentes: dever de comunicar ao município, em prazo curto, qualquer incidente envolvendo os dados.
- Direitos dos titulares: apoio ao município para atender os pedidos.
- Devolução ou eliminação: destino dos dados ao fim do contrato.
- Auditoria: direito de o município verificar o cumprimento.
- Localização dos dados: quando relevante, onde os dados ficam armazenados.
Imagine uma prefeitura de pequeno porte que contrata um sistema de gestão de contratos. No termo de referência, exige que a contratada trate os dados apenas para executar o contrato, mantenha sigilo, comunique incidentes em até um dia útil, permita auditoria e devolva a base ao fim do contrato. Quando precisa trocar de fornecedor, a prefeitura consegue migrar os dados com segurança.
Operador e controlador: quem responde por quê
O controlador é o principal responsável perante titulares e a ANPD, mas o operador também pode ser responsabilizado quando descumprir a legislação ou as instruções lícitas do controlador. Daí a importância de documentar as instruções e de escolher fornecedores com boas práticas de segurança. Contratar sem exigir cláusulas de proteção de dados é um risco que recai sobre o município. Veja também Lei Geral de Proteção de Dados Pessoais.
Erros comuns
- Contratar fornecedores de sistemas sem cláusulas de proteção de dados.
- Não identificar quem é operador e quem é controlador em cada tratamento.
- Permitir que o fornecedor use os dados do município para fins próprios.
- Não prever o destino dos dados ao final do contrato.
- Não exigir comunicação de incidentes em prazo compatível com o prazo da prefeitura para comunicar à ANPD.
Operador público: quando o operador também é órgão
O operador pode ser outro órgão ou entidade pública, como uma empresa pública de tecnologia que hospeda os sistemas de vários municípios, ou um consórcio que presta serviços compartilhados. Nesses casos, os mesmos cuidados valem: instrumento formal (contrato, convênio ou termo), definição das instruções, medidas de segurança, comunicação de incidentes e regras sobre o fim da relação. A natureza pública do operador não dispensa a clareza sobre quem decide e quem executa o tratamento.
Como fiscalizar o operador
O contrato só protege se for acompanhado. O gestor do contrato deve pedir periodicamente evidências das medidas de segurança, relatórios de acessos, confirmação de eventuais subcontratações e informações sobre incidentes. Em contratos de maior risco, vale prever auditorias e testes, e registrar tudo nos autos do processo. Ao encerrar o contrato, o município deve exigir a devolução ou a eliminação segura dos dados e um termo que confirme o encerramento.
