O TCE SP deseja aprimorar a gestão de pessoal utilizando um novo software. Para isso, o Setor Geral de Pessoal delegou à Diretoria de Gestão de Pessoas (DGP) a tarefa de determinar os meios pelos quais este software será implementado. A DGP decidiu contratar a empresa SisPesSoft para desenvolver o software em parceria com a equipe interna da Diretoria de Tecnologia da Informação. De acordo com a Lei nº 13.709/2018 – Lei Geral de Proteção de Dados (LGPD), nesse contexto, a empresa SisPesSoft atua como:
- A)operador;
Certa, porque a empresa trata dados em nome de quem definiu a finalidade e os meios do sistema, enquadrando-se como operador pela LGPD.
- B)controlador;
Errada, porque controlador é quem toma as decisões sobre o tratamento, e não quem apenas desenvolve ou executa a solução contratada.
- C)encarregado;
Errada, porque encarregado é a pessoa indicada para fazer a comunicação entre controlador, titulares e ANPD, não a empresa desenvolvedora do software.
- D)órgão de pesquisa;
Errada, porque órgão de pesquisa é a entidade voltada a estudos e pesquisas, com disciplina própria na LGPD, sem relação com o papel descrito no enunciado.
- E)autoridade nacional.
Errada, porque autoridade nacional é o órgão de fiscalização e regulamentação da LGPD, não a contratada para desenvolver sistema.
Gabarito: A
A LGPD trabalha com papéis bem definidos para evitar confusão sobre quem faz o quê no tratamento de dados. Em linhas gerais, controlador é quem decide as finalidades e os meios do tratamento, enquanto operador é quem realiza o tratamento em nome do controlador, seguindo suas instruções. Já encarregado, órgão de pesquisa e autoridade nacional são figuras diferentes, com funções próprias na lei. No caso narrado, a DGP decidiu contratar a SisPesSoft para desenvolver o software em parceria com a equipe interna, ou seja, a empresa vai executar atividades de tratamento conforme a orientação do poder público que definiu a finalidade do projeto. Isso encaixa exatamente no conceito legal de operador, previsto no art. 5º, VII, da LGPD: pessoa natural ou jurídica, de direito público ou privado, que realiza o tratamento de dados pessoais em nome do controlador. O ponto-chave é este: a empresa não está decidindo sozinha por que e como os dados serão tratados; ela está prestando um serviço técnico para viabilizar o sistema. Na prática de prova, sempre desconfie quando a banca descreve uma contratada que desenvolve ou executa solução sob comando de outro agente. Em regra, isso puxa para operador. Então, o gabarito A está correto porque a SisPesSoft atua como executora do tratamento em nome da Administração, e não como quem define a finalidade do tratamento. É a clássica diferença entre mandar no jogo e jogar obedecendo ao roteiro.