O PAPEL DOS CO-CONTROLADORES SOB A ÓTICA DA GDPR

22 de junho de 2021

O PAPEL DOS CO-CONTROLADORES SOB A ÓTICA DA GDPR

Escrito por and

Quem acompanhou o trâmite de aprovação da Lei Geral de Proteção de Dados muito ouviu sobre o papel do controlador, um dos agentes de tratamento que possui consubstancial importância para o tratamento de dados pessoais.

Nos termos do art.5º da Lei Geral de Proteção de Dados, considera-se controlador:

“VI – controlador: pessoa natural ou jurídica, de direito público ou privado, a quem competem as decisões referentes ao tratamento de dados pessoais;”

Além do conceito trazido pela lei, também podemos nos basear pelos parâmetros estabelecidos nas Guidelines 07/2020 da União Europeia, já que a LGPD recebeu grande influência da GDPR (Regulamento Geral de Proteção de Dados da União Européia) e que definem o controlador como sendo:

“A pessoa natural ou jurídica, autoridade pública, agência ou outro órgão que determina, sozinho ou conjuntamente com outros, os objetivos e os meios do tratamento dos dados pessoais”

Portanto, vemos que as referidas Guidelines estabelecem que o controlador pode definir os meios e finalidades dos tratamentos de forma conjunta. Isto significa dizer que o controlador não precisa determinar todos os trâmites de tratamento dos dados e nem que ele possua acesso a todos esses.

Nesse sentido, chegamos a uma nova figura, a do co-controlador, que não será uma relação definida por controlador de um lado, estabelecendo as diretrizes do tratamento, e operador de outro, realizando o tratamento em nome do controlador e de acordo com as instruções definidas. Teremos, então, dois (ou mais) controladores atuando e decidindo sobre o tratamento em conjunto.

Mas e o que são co-controladores, “joint controlleship” ou os controladores conjuntos abordados do GDPR?

Seguindo o art. 26 (1) do Regulamento Europeu, quando dois ou mais controladores determinarem conjuntamente os propósitos e meios de processamento, eles devem ser considerados controladores conjuntos e, por consequência, determinarem seu escopo de responsabilidade no cumprimento das obrigações legais, especialmente no que tange ao exercício dos direito dos titulares de dados e o fornecimento de informações, por meio de acordo entre eles, a não ser que estas obrigações já estejam determinadas pela legislação do Estado-Membro.

O que importa neste primeiro momento é que cada controlador tenha ciência do objetivo geral e dos meios de processamentos dos dados antes de ter acordado com uma ou mais partes, portanto, a relação contratual deve estabelecer especificamente a finalidade e os elementos essenciais de tratamento, pois essa questão é, por si só, uma situação de “joint controllership”.

Na LGPD, não possuímos essa figura de maneira explícita, mas na prática, algumas empresas funcionam como co-controladoras, ou seja, controladores com responsabilidades conjuntas, determinadas mediante acordo entre as partes. A partir dessa responsabilidade conjunta, é fornecida ao titular do dado a opção do exercício dos seus direitos perante um ou outro controlador.

Para ilustrar o papel de co-controlador, imaginemos o seguintes caso:

A empresa A, dona de uma marca de roupas, reuniu-se com a marca B, de maquiagens, para lançamento de uma coleção em parceria. Essas duas empresas realizam um sorteio e por meio de ambos os sites disponibilizam a inscrição aos participantes requisitando o nome, e-mail e telefone.

Obedecendo uma finalidade específica (sorteio) e fazendo a exclusão dos dados ali angariados ao final do processo, poder-se-ia dizer que enquanto os dados foram tratados, coletados, armazenados e ao final excluídos pelas duas marcas, ambas eram controladoras dos dados dos participantes, portanto, co-controladoras, que deverão definir a atribuição de suas responsabilidades e a demonstração de boas práticas por meio contratual.

Por isso é tão importante entender a relação entre as partes, quais são os meios e as finalidades dos tratamentos envolvidos, para, então, definir com mais precisão os papéis de cada parte e garantir que as responsabilidades refletirão a realidade do tratamento realizado.