João é contador e atua como profissional liberal em seu pequeno escritório no Município de Luzerna/SC. João não tem funcionários, por isso é o responsável direto pelo atendimento dos clientes e organização do escritório. Nesse sentido, João armazena todos os dados pessoais, financeiros e tributários de seus clientes em seu computador de trabalho, sendo ele o responsável pelas decisões relativas ao tratamento desses dados, agindo, assim, de forma independente e em nome próprio. Com base na situação hipotética narrada e nas disposições da Lei Geral de Proteção de Dados (LGPD), João está exercendo o papel de:
- A)Operador.
Errada, porque operador é quem trata dados em nome do controlador, e João toma as decisões por conta própria.
- B)Encarregado.
Errada, porque encarregado é o canal de comunicação entre controlador, titulares e ANPD, não quem decide o tratamento.
- C)Controlador.
Certa, porque João define de forma independente as decisões sobre o tratamento dos dados pessoais.
- D)Titular.
Errada, porque titular é a pessoa natural a quem os dados se referem, como os clientes de João.
- E)Supervisor.
Errada, porque supervisor não é um papel definido pela LGPD como agente de tratamento de dados.
Gabarito: C
A LGPD organiza os papéis do tratamento de dados para deixar claro quem faz o quê. O ponto central aqui é simples: quem decide as finalidades e os meios do tratamento atua como controlador, enquanto quem apenas executa o tratamento em nome de alguém tende a ser operador. No caso narrado, João é quem define como os dados de seus clientes serão armazenados e usados, em nome próprio e com autonomia profissional. Isso encaixa exatamente no conceito legal de controlador previsto no art. 5º, VI, da Lei nº 13.709/2018. Perceba que João não está apenas cumprindo ordens de um terceiro. Ele é o profissional que organiza o escritório, guarda os dados e toma as decisões sobre o tratamento. Em outras palavras, ele manda no jogo do tratamento, mesmo sendo um pequeno escritório e sem funcionários. A LGPD não exige empresa grande para existir controlador: basta haver decisão independente sobre a finalidade e os meios. Por isso, o gabarito é a letra C. O controlador é a pessoa natural ou jurídica, de direito público ou privado, a quem competem as decisões referentes ao tratamento de dados pessoais. Essa definição está no art. 5º, VI, da LGPD. Já o operador, segundo o art. 5º, VII, é quem realiza o tratamento em nome do controlador, o que não é o caso de João. Então, guarde a lógica de prova: decidiu o que fazer com os dados? Controlador. Só executou ordem alheia? Operador. Essa diferença costuma aparecer bastante em questões da LGPD, e a banca adora trocar os papéis para testar se você lê com atenção.