Por Operador é a pessoa natural ou jurídica que realiza tratamento de dados pessoais em nome do controlador. Deve seguir instruções lícitas, adotar medidas de segurança e observar a LGPD. O contrato deve explicar tarefas e responsabilidades, mas a qualificação também depende do que o prestador efetivamente faz e decide em cada operação.
Onde esse conceito aparece?
Os arts. 5º, 37 a 39 e 46 da LGPD tratam dos agentes, registros, instruções e segurança. O controlador orienta e fiscaliza; o operador deve tratar dados segundo as instruções e pode responder nas hipóteses previstas em lei. Suboperadores e serviços em nuvem ampliam o fluxo e precisam estar cobertos por governança e controles adequados.
Cláusulas úteis para a relação
Inclua um anexo operacional com instruções, controles mínimos, subcontratados autorizados, localização e fluxo de dados, prazos de comunicação e cooperação em solicitações. Defina evidências de conformidade e processo de encerramento. Uma cláusula genérica de “cumprir a LGPD” não substitui obrigações executáveis e verificáveis.
Por que importa em uma decisão?
No contrato, delimite objeto, finalidade, categorias de dados, duração, instruções documentadas, confidencialidade, controles, notificação de incidentes, apoio a direitos, auditoria, subcontratação, transferência internacional e devolução ou eliminação ao término. Confirme como o fornecedor implementa essas obrigações e quem tem acesso. Revise o arranjo quando a prestação ou a tecnologia mudar.
Limites e cuidados de interpretação
O título contratual de operador não afasta obrigações próprias se o prestador determinar finalidade autônoma. O controlador não transfere toda a responsabilidade ao fornecedor por cláusula padrão. Instruções ilegais não devem ser executadas. A divisão de deveres depende dos fatos e das normas aplicáveis, inclusive regras setoriais ou internacionais.
Classificação por atividade e responsabilidade
O contrato precisa refletir fluxos reais: suporte, analytics, prevenção a fraude, hospedagem e atendimento podem envolver operações diferentes. Para cada uma, identifique finalidade, quem decide uso, instruções, acesso e destinatário. Se operador determinar finalidade própria, não o mantenha rotulado como mero prestador sem reavaliar papel, transparência e base legal. Mantenha inventário atualizado e envolva encarregado ou jurídico em mudanças de escopo. Isso evita lacuna de responsabilidade em incidente e pedido de titular.
Auditoria proporcional e evidências
A auditoria do operador pode incluir lista de sistemas, controles de acesso, criptografia, testes, incidentes, treinamento, subcontratados e cumprimento de instruções. Defina frequência com base em sensibilidade, volume, criticidade e histórico, protegendo segredo comercial e dados de outros clientes. Aceite evidência equivalente quando auditoria presencial não for viável, mas confirme escopo e atualidade. A avaliação precisa gerar ações, prazo e responsável; questionário preenchido sem verificação não prova controle. Reavalie após mudança material de serviço ou incidente.
Controlador, operador ou atuação conjunta
A qualificação exige mapear quem escolhe finalidade e meios essenciais e quem segue instruções para executar o serviço. Um provedor pode decidir meios técnicos sem se tornar automaticamente controlador, mas uso para publicidade própria, combinação de bases ou definição autônoma de finalidade exige análise. Papéis podem variar por operação no mesmo contrato. Faça diagrama de fluxo e matriz de responsabilidades, incluindo suboperadores, afiliadas e destinatários. Nomear uma parte como “operadora” não altera a realidade do tratamento.
Instrução lícita e registro de operações
Controlador deve fornecer instruções documentadas, e operador deve limitar tratamento ao escopo. Instrução não pode legitimar tratamento contrário à lei; operador deve levantar preocupação e aguardar orientação. Registre categorias, acessos, retenção, finalidade e transferências, especialmente quando baseado em legítimo interesse. Defina como responder a auditoria, pedido de titular e solicitação de autoridade. Mudança de finalidade ou compartilhamento exige nova avaliação, não apenas atualização informal de planilha.
Transferência internacional e cadeia de fornecedores
Se dados forem hospedados ou acessados fora do Brasil, identifique país, entidade destinatária, mecanismo legal de transferência e salvaguardas aplicáveis. Mapeie subcontratação e impeça que dado seja repassado sem autorização ou avaliação. Contratos devem prever incidente, cooperação, auditoria, eliminação e continuidade. Revise certificações e evidências de controle, mas não as trate como garantia completa. Limite dados enviados a suporte e use ambiente de teste fictício sempre que possível.
Fim do serviço e prova de eliminação
Encerrado contrato, operador deve devolver ou eliminar dados conforme instrução, obrigação legal e ciclo de backup acordado. Obtenha confirmação técnica, revogue tokens e contas, elimine chaves e retenha apenas registro necessário. Se algum dado precisar ser preservado, documente fundamento, prazo, acesso restrito e bloqueio de uso adicional. Faça inventário de cópias e suboperadores. A responsabilidade por descarte precisa ser atribuída e auditável, não deixada como promessa genérica.
Papel de operador e instruções do controlador
Na LGPD, operador realiza tratamento em nome do controlador, seguindo instruções lícitas e o escopo definido. A função decorre das atividades reais, não apenas do título contratual. Uma empresa pode ser controladora para certas operações e operadora para outras. Identifique quem decide finalidade e elementos essenciais e quem executa tarefas sob orientação. Se fornecedor usar dados para finalidade própria, esse fluxo precisa de análise separada e pode mudar seu papel e responsabilidades.
Contrato, segurança e suboperadores
O contrato deve descrever objeto, duração, categorias de dados, titulares, instruções, segurança, confidencialidade, subcontratação, incidentes, atendimento a direitos, auditoria, devolução e descarte. Instruções precisam ser registráveis e compatíveis com a lei. Operador deve alertar se perceber que orientação viola norma, manter evidência e limitar uso ao necessário. Controlador deve verificar cumprimento, sem delegar sua responsabilidade de governança. A LGPD prevê responsabilidade do operador em hipóteses legais, inclusive descumprimento de obrigações ou instruções lícitas, observadas excludentes legais.
Incidente, direitos e cooperação
Defina prazo interno curto para o operador informar incidente, preservar logs e apoiar avaliação e comunicação do controlador. Estabeleça canal para encaminhar pedidos de titulares sem responder fora de instrução. Se houver acesso ou transferência internacional, registre fluxo, local, subcontratados e salvaguardas. Teste encerramento do contrato: contas removidas, dados devolvidos ou eliminados e cópias de backup tratadas segundo retenção. Um certificado de segurança não substitui verificação concreta de controles e medidas.
Como avaliar um fornecedor
Mapeie dados necessários, finalidade, volume, sensibilidade, retenção, acesso, dependência e impacto de indisponibilidade. Solicite evidências proporcionais — políticas, testes, auditorias e plano de resposta — e confirme quem executa suporte. Evite enviar base real em demonstração quando dado fictício resolve. Registre aprovação, riscos aceitos, plano de mitigação e revisão periódica. Consulte LGPD, tratamento de dados pessoais e relatório de impacto.
Tratamento em nome do controlador
Operador é quem realiza tratamento em nome do controlador e conforme suas instruções, nos termos da LGPD. A função decorre da atividade efetiva; empregado subordinado não é automaticamente operador independente. Um prestador pode assumir papéis distintos em operações diferentes.
Instruções e contrato
Formalize finalidade, categorias de dados, pessoas autorizadas, segurança, subcontratação, retenção, auditoria, incidentes e assistência a direitos. Instruções vagas aumentam risco e dificultam provar conformidade. O contrato não deve autorizar uso próprio incompatível com a finalidade definida pelo controlador.
Segurança e suboperadores
Limite acessos, mantenha registros, avalie suboperadores e reporte incidentes ao controlador sem demora contratual, para que ele cumpra prazos regulatórios. O operador deve fornecer informações necessárias e cooperar com medidas corretivas. A cadeia de fornecedores precisa ter salvaguardas consistentes.
Responsabilidade depende da lei e da conduta
O operador não é imune a responsabilidade: a LGPD prevê hipóteses quando descumpre obrigações legais ou instruções lícitas. Apure papel, ação, nexo, contrato e dano antes de concluir. Consulte controlador de dados e compartilhamento de dados.
Quem decide e quem executa o tratamento?
Compare o conceito com situações próximas e confirme o enquadramento na fonte e nos documentos do caso.
| Conceito | O que significa | O que conferir |
|---|---|---|
| Controlador | Decide sobre o tratamento, sozinho ou em conjunto. | Mapear finalidade e responsabilidades. |
| Operador | Trata dados em nome do controlador. | Formalizar instruções, segurança e limites do serviço. |
| Fornecedor sem acesso a dados | Pode prestar serviço sem realizar tratamento de dados pessoais. | Avaliar as atividades reais, não apenas o nome do contrato. |
Quadro educativo. O enquadramento depende da regra aplicável, dos documentos e do contexto.
Fontes e leitura complementar
Consulte o texto institucional e a regra aplicável ao conceito. A interpretação em uma situação concreta depende dos documentos e do contexto.