A empresa X disponibiliza o serviço web OuvidorApp para registrar reclamações e elogios de usuários. A empresa Y contratou o serviço OuvidorApp da empresa X e definiu quais informações dos usuários quer coletar, quais tratamentos e análises quer realizar, e o tempo de descarte dos dados. Para atender requisitos de tratamento da empresa Y, a empresa X tomou algumas decisões sobre as configurações da infraestrutura e segurança para armazenar esses dados e as respectivas políticas de backup. De acordo com a Lei Geral de Proteção de Dados (LGPD), a empresa Y exerce o papel de:
- A)operador;
Errada, porque operador é quem trata os dados em nome do controlador, seguindo suas instruções, e não quem define as finalidades do tratamento.
- B)encarregado;
Errada, porque encarregado é o canal de comunicação entre controlador, titulares e ANPD, não quem decide o tratamento dos dados.
- C)controlador;
Certa, porque a empresa Y definiu as finalidades, os tratamentos, as análises e o tempo de retenção dos dados, assumindo o papel de controladora.
- D)corregedoria;
Errada, porque corregedoria não é figura prevista na LGPD para definir papéis no tratamento de dados.
- E)procuradoria.
Errada, porque procuradoria é órgão de representação jurídica, sem relação com os papéis de controlador, operador ou encarregado na LGPD.
Gabarito: C
Na LGPD, o ponto central para identificar os papéis é simples: quem decide o que fazer com os dados costuma ser o controlador; quem trata os dados em nome de outro, seguindo instruções, é o operador. A lei define controlador como a pessoa natural ou jurídica, de direito público ou privado, a quem competem as decisões referentes ao tratamento de dados pessoais (art. 5º, VI, da LGPD). No caso, a empresa Y escolheu quais informações coletar, quais tratamentos e análises realizar e por quanto tempo os dados seriam guardados. Isso mostra que ela não só pediu um serviço, mas determinou as finalidades e os meios essenciais do tratamento. Em outras palavras: Y está mandando no jogo, então assume a posição de controladora. A empresa X, por sua vez, forneceu a plataforma e ainda tomou decisões técnicas sobre configuração da infraestrutura, segurança e backup para viabilizar o tratamento conforme as exigências de Y. Isso é bem compatível com a atuação de operador, porque X executa o tratamento em nome de Y, sem definir a finalidade principal do uso dos dados. Então o gabarito é a letra C. Em prova de LGPD, sempre faça esta pergunta: quem define o porquê e o como principal do tratamento? Se a resposta for a própria entidade, ela tende a ser controladora. Se ela apenas executa ordens, tende a ser operadora.