Controlador e operador na LGPD: quando a agência de marketing é operadora

Toda campanha de marketing que usa uma base de clientes coloca pelo menos duas empresas diante dos mesmos dados: quem contratou e quem executa. Na maioria dos contratos, ninguém escreve qual é o papel de cada uma. E, quando surge uma reclamação de cliente, um vazamento ou um pedido de exclusão, a primeira pergunta é justamente essa: quem decidia o quê?

A LGPD responde com dois papéis, controlador e operador, e a ANPD publicou um guia com exemplos que parecem tirados do dia a dia de uma agência: campanha com modelos fotográficos, evento de duas marcas, armazenamento em nuvem contratado pela agência. A seguir, as definições da lei, os exemplos da autoridade aplicados a marketing, o ponto em que a agência deixa de ser só operadora e um roteiro de contrato. É um guia de gestão, não um parecer jurídico: caso concreto pede o seu jurídico.

O que é controlador e operador na LGPD?

A Lei Geral de Proteção de Dados (Lei nº 13.709/2018) define os dois papéis no art. 5º. Juntos, eles formam os agentes de tratamento (art. 5º, IX): as pessoas, físicas ou jurídicas, que respondem pelo que acontece com os dados pessoais.

A palavra que separa os dois é decisão. O controlador decide por que os dados serão tratados, quais dados, de quem e por quanto tempo. O operador realiza o tratamento por conta do controlador, e o art. 39 amarra isso: o operador trata os dados segundo as instruções fornecidas pelo controlador, que verifica se elas estão sendo seguidas.

Um terceiro papel costuma entrar na mesma frase, e não é agente de tratamento: o encarregado, que atua como canal de comunicação entre a empresa, os titulares e a ANPD. Quem pode ocupar essa função e como nomear está no nosso guia sobre o DPO e o encarregado de dados.

Qual a diferença entre controlador e operador?

O Guia Orientativo para Definições dos Agentes de Tratamento e do Encarregado da ANPD (versão 1.0, maio de 2021) dá o critério prático: o controlador decide sobre a finalidade e os elementos essenciais do tratamento; o operador pode decidir apenas elementos não essenciais. Essenciais são, por exemplo, a natureza dos dados tratados e a duração do tratamento, incluindo o prazo de eliminação. Não essenciais são escolhas como o software usado e o detalhe das medidas de segurança.

Duas observações evitam confusão. Primeiro, o papel não é um rótulo da empresa, é da operação: o guia diz que a mesma organização pode ser controladora numa operação e operadora em outra. Segundo, vale o que acontece de fato. O contrato ajuda a provar quem decidia, mas, se a prática se afasta do papel, o guia orienta a avaliar quem efetivamente toma as decisões principais.

Onde fica a agência de marketing nessa cadeia?

O primeiro exemplo do guia da ANPD é sobre publicidade. Uma empresa quer impulsionar a venda de um produto e contrata uma agência para criar a campanha com fotos de pessoas usando o produto. A empresa define o público-alvo e os critérios de aparência dos modelos. A agência seleciona os modelos e guarda as fotos. No fim, um funcionário da empresa envia as peças aos clientes.

Repare no detalhe: a agência trata dados pessoais por conta própria no exemplo. Escolhe modelos, armazena imagens de pessoas. Mesmo assim, é operadora, porque faz isso para cumprir a finalidade que o cliente definiu. Tratar dados não transforma ninguém em controlador; decidir a finalidade, sim.

O mesmo raciocínio vale para quem está dentro da empresa. O guia afasta do papel de agente de tratamento os empregados, administradores e sócios que agem em nome da pessoa jurídica. Quem responde é a organização. O analista de mídia da agência e o gerente de marketing do cliente não são, eles mesmos, controlador ou operador.

Se a agência sugere canais e ferramentas, ela vira controladora?

Não, e esse é o ponto que mais tranquiliza quem trabalha com marketing. Agência boa opina: propõe canais, escolhe a ferramenta de automação, sugere o formato do anúncio, desenha a régua de e-mails. O guia da ANPD tratou exatamente esse cenário no Exemplo 5, em que uma agência contratada por duas marcas traz sugestões de como alcançar os clientes e define canais, ferramentas e produtos da campanha.

Opinar sobre os meios não faz a agência controladora; decidir a finalidade faz.

A conclusão da autoridade é que a agência continua operadora. Nas palavras do guia, ainda que opine sobre os meios do tratamento, ela não toma a decisão final e se limita a definir elementos não essenciais, como canais, ferramentas e produtos da campanha. A decisão sobre para que os dados servem, quem será impactado e por quanto tempo segue com o cliente.

Na prática, a fronteira passa pela pergunta: se o cliente disser não, a agência pode seguir assim mesmo? Se a resposta é não, a decisão final é do cliente e a agência está no papel de operadora. Por isso vale registrar por escrito as aprovações do cliente, mesmo as que parecem rotineiras, como a lista que vai receber o disparo.

Quando duas marcas são controladoras conjuntas?

O Exemplo 5 tem um segundo ensinamento. As duas empresas lançaram um produto de marca conjunta e decidiram juntas compartilhar suas bases de clientes, montar a lista de convidados de um evento, definir como enviar os convites, como coletar feedback e quais ações de marketing fariam depois. Por decidirem em conjunto a finalidade e os elementos essenciais, o guia as considera controladoras conjuntas.

A LGPD não usa a expressão, mas o guia a extrai do art. 42, § 1º, II: os controladores diretamente envolvidos no tratamento do qual decorreu o dano respondem solidariamente. Para reconhecer a controladoria conjunta, o guia pede três critérios ao mesmo tempo: mais de um controlador com poder de decisão, interesse mútuo com finalidades próprias sobre o mesmo tratamento e decisões comuns ou convergentes sobre finalidades e elementos essenciais.

O Exemplo 6 mostra a saída desse arranjo. Depois do evento, cada marca contrata a mesma agência para divulgar só os próprios produtos, usando a lista que haviam compartilhado. Aí cada uma passa a ser controladora singular da sua campanha. Para a agência, nada muda de papel: continua operadora de cada uma. Mas muda o cuidado: são dois clientes, duas finalidades e duas ordens de serviço, e os dados de uma campanha não devem atravessar para a outra sem instrução de quem decide.

Quem é suboperador: a nuvem, o CRM, a ferramenta de e-mail?

A LGPD não define suboperador, mas o guia da ANPD usa a figura para explicar cadeias mais longas. Suboperador é quem o operador contrata para ajudá-lo a tratar os dados em nome do controlador. A relação direta dele é com o operador, não com o cliente final. No Exemplo 5, a empresa de armazenamento em nuvem contratada pela agência é suboperadora.

No dia a dia de uma agência, a lista é longa: o servidor ou a nuvem onde ficam as bases, a ferramenta de disparo de e-mail, a plataforma de automação, o CRM em que os leads da campanha caem, o software de agendamento de posts, o fornecedor de API de WhatsApp. Cada um, enquanto processa dados do cliente a pedido da agência, ocupa esse lugar.

O guia faz uma recomendação que vale ouro para o contrato: o operador deve obter autorização formal do controlador para contratar o suboperador, genérica (por exemplo, para qualquer serviço técnico de armazenamento em nuvem) ou específica (para uma empresa determinada). Sem essa autorização, a contratação pode ser lida como tratamento fora das instruções, o que atrai para a agência responsabilidades que normalmente seriam do controlador. E o suboperador, segundo o guia, pode ser equiparado ao operador quanto às atividades que executa, o que estende a cadeia de responsabilidade solidária.

A agência pode ser controladora e operadora ao mesmo tempo?

Pode, e quase sempre é. O guia diz que o agente de tratamento é definido para cada operação, de modo que a mesma organização pode ser controladora e operadora conforme a atuação. A agência é operadora na campanha que executa para o cliente e controladora nos tratamentos que faz para si mesma.

• Controladora: a folha de pagamento e os dados dos próprios funcionários; a base de quem assina a newsletter da agência; os leads que chegam pelo site dela; a prospecção comercial que ela mesma faz.
• Operadora: a base de clientes que recebeu para a régua de e-mails do cliente; os dados de modelos e participantes de uma produção encomendada; os leads captados na landing page da campanha do cliente.
• Zona de atenção: o contato de um cliente final que também entra na lista da própria agência. Se isso acontecer sem base legal própria e sem instrução do cliente, é o tipo de cruzamento que muda o papel.

Separar as duas coisas no sistema é metade do trabalho. Contas, pastas e listas segregadas por cliente, com acesso só de quem atende aquela conta, tornam visível, e auditável, que a base de um não alimenta a do outro. A outra metade é mapear essas operações: o inventário de dados da adequação à LGPD é onde cada uma recebe seu papel.

Como se divide a responsabilidade entre controlador e operador?

A regra geral está no art. 42: o controlador ou o operador que, ao tratar dados pessoais, causar dano patrimonial, moral, individual ou coletivo, em violação à legislação, é obrigado a repará-lo. Cada um responde no âmbito do que faz. O guia da ANPD lembra que, via de regra, as obrigações e responsabilidades de um e de outro são distintas, porque dependem do papel exercido.

O guia chama essa equiparação de excepcionalidade e diz que, a princípio, é a única hipótese em que o operador é tratado como controlador. Em volta dela, a lei completa o quadro com outras regras que interessam a quem contrata e a quem presta serviço:

• Excludentes (art. 43): o agente só não responde se provar que não realizou o tratamento que lhe é atribuído, que tratou sem violar a lei ou que o dano decorre de culpa exclusiva do titular ou de terceiro.
• Segurança (art. 44, parágrafo único): responde pelos danos da violação de segurança o controlador ou o operador que, ao deixar de adotar as medidas do art. 46, der causa ao dano.
• Regresso (art. 42, § 4º): quem reparar o dano ao titular pode cobrar dos demais responsáveis, na medida da participação de cada um.
• Prova (art. 42, § 2º): o juiz pode inverter o ônus da prova a favor do titular quando a alegação for verossímil ou a prova for muito onerosa para ele.
• Sanções da ANPD (art. 52): as sanções administrativas, da advertência à multa, alcançam os agentes de tratamento, o que inclui o operador.

Para a empresa que contrata, a leitura é direta: terceirizar a execução não terceiriza a responsabilidade de quem decide. Para a agência, também: ser operadora não é ser isenta. Ela responde pelo que faz mal e, se sair das instruções, passa a responder como se tivesse decidido.

Em que momento a agência passa a responder como controladora?

Quando decide por conta própria aquilo que cabia ao cliente decidir, ou quando descumpre a lei. O guia da ANPD dá o tom em dois exemplos fora do marketing que se aplicam inteiros: no Exemplo 8, o serviço de pagamento de uma loja virtual não pode usar os dados para finalidades novas, diferentes das definidas pela loja; no Exemplo 9, o call center que trata os dados fora do que foi orientado pode ser responsabilizado.

Traduzindo para o cotidiano de uma agência, as situações que mais preocupam são estas:

• Reaproveitar a base de um cliente na campanha de outro. É a finalidade nova por excelência: o cliente A não decidiu isso, e o cliente B não tem relação com aqueles titulares.
• Comprar ou alugar lista para engordar o disparo sem ordem do cliente. A agência escolheu quais dados e de quem, que é decisão de controlador.
• Guardar a base depois do fim do contrato para usar em prospecção própria ou em outro trabalho.
• Trocar a ferramenta de disparo ou o CRM por outro fornecedor sem a autorização que o contrato prevê.
• Seguir uma instrução ilícita. O art. 42 fala em instruções lícitas: cumprir uma ordem que viola a lei não protege o operador, porque descumprir a legislação já basta para a equiparação.

Esse último ponto merece atenção. Se o cliente pede um disparo para uma base sem nenhuma base legal, a agência que obedece não está a salvo por ter obedecido. O papel dela, como operadora experiente, é apontar o problema por escrito. Muitos disparos de e-mail se apoiam no legítimo interesse, e o teste que a ANPD pede antes de usá-lo está no nosso guia sobre legítimo interesse e o e-mail promocional.

O que colocar no contrato entre cliente e agência?

O guia da ANPD reconhece que a LGPD não obriga expressamente controlador e operador a firmar contrato sobre o tratamento de dados, mas classifica o ajuste como boa prática, porque as cláusulas limitam a atuação do operador, fixam critérios objetivos de responsabilidade e reduzem incertezas. Os pontos que o guia sugere: objeto, duração, natureza e finalidade do tratamento, tipos de dados envolvidos e os direitos, obrigações e responsabilidades de cada parte. Em forma de roteiro:

1. Papéis e finalidade de cada operação

Diga quem é controlador e quem é operador em cada serviço contratado e para que os dados serão usados. Se houver controladoria conjunta, como no evento de duas marcas, vale definir no acordo entre os controladores as responsabilidades de cada um, inclusive quem atende o titular, como sugere o guia.

2. Instruções por escrito e canal de aprovação

Defina quem, no cliente, pode dar instruções e aprovar listas, segmentações e disparos, e por qual canal. Instrução dada em reunião e não registrada é difícil de provar depois.

3. Tipos de dados, titulares e prazo

Liste as categorias de dados (nome, e-mail, telefone, histórico de compra, imagem) e de titulares (clientes, leads, modelos, participantes de evento). Se entrar dado sensível, trate à parte: a LGPD dá a ele regras próprias.

4. Suboperadores autorizados

Anexe a lista de ferramentas e fornecedores que tratarão os dados e a regra para incluir ou trocar um deles: autorização genérica com aviso prévio ou autorização específica caso a caso, como o guia descreve.

5. Segurança e incidente

Descreva as medidas mínimas de segurança (acessos, senhas, segregação por cliente) e o prazo para a agência avisar o cliente de um incidente. É o cliente, como controlador, quem comunica à ANPD e aos titulares quando houver risco ou dano relevante (art. 48), e ele só consegue fazer isso se souber a tempo.

6. Direitos dos titulares e fim do contrato

Combine como a agência ajuda a atender pedidos de acesso, correção e exclusão e o que acontece com os dados no encerramento: devolução, eliminação ou conservação nos casos que a lei permite (art. 16), com registro de que foi feito.

O que muda conforme o serviço de marketing contratado?

O papel típico da agência é o de operadora, mas o ponto de atenção muda com o serviço. A tabela resume os casos mais comuns, partindo dos exemplos do guia da ANPD quando eles existem.

Um detalhe da última coluna aparece em quase todas as linhas: registro. O art. 37 exige que controlador e operador mantenham registro das operações de tratamento que realizarem. Para a agência, isso significa saber, por cliente, que dados recebeu, onde estão, quem acessa e quando serão eliminados.

Por onde começar hoje?

Se você é a empresa que contrata, o primeiro passo é descobrir quantos fornecedores tratam dados dos seus clientes e em quantos contratos isso está escrito. Se você é a agência, é separar o que é seu do que é de cada cliente. Nos dois lados, o roteiro é curto:

1. Liste os fornecedores de marketing que recebem dados pessoais: agência, ferramenta de e-mail, CRM, plataforma de automação, produtora.
2. Para cada um, escreva em uma linha a finalidade e quem decidiu por ela. Se a resposta for o fornecedor, investigue.
3. Confira se o contrato diz papéis, instruções, suboperadores, segurança e destino dos dados no fim.
4. Na agência, segregue contas e listas por cliente e revise quem tem acesso a cada uma.
5. Registre as aprovações de lista e de disparo, mesmo as rotineiras, num canal que fique guardado.

Na Alliance, que também é agência, essa organização faz parte do serviço de adequação à LGPD para marketing e comunicação: mapear quem decide e quem executa em cada operação, rever contratos com fornecedores e separar as bases. Se quiser enxergar primeiro onde dados, CRM e automação estão maduros na sua empresa, o diagnóstico de marketing gratuito mostra isso em um relatório.