A Lei Geral de Proteção de Dados (LGPD) quando aborda as empresas que tratam dados pessoais, conceitua estas como agentes de tratamento de dados. Contudo, estes agentes são classificados em dois tipos: o controlador e o operador.
Segundo a LGPD, o controlador é pessoa natural ou jurídica a quem competem as decisões referentes ao tratamento de dados pessoais. Como podemos ver, o controlador pode ser uma pessoa física, por exemplo um profissional liberal como um dentista, um advogado etc. e não só uma empresa.
A característica mais relevante para qualificar um agente de tratamento de dados pessoais como controlador, é observar se este decide sobre o tratamento de dados pessoais. Estas decisões podem ser desde a opção de contratação de empresas ou pessoas para tratar estes dados pessoais em seu nome, como também efetivamente a forma do tratamento de tais dados.
De outro lado, o operador definido na LGPD é descrito como pessoa natural ou jurídica, que realiza o tratamento de dados pessoais em nome do controlador. Da mesma forma, percebemos que o operador poderá ser uma pessoa física e não somente uma empresa. Contudo, a informação mais relevante nesta definição é que o operador tem a principal característica de realizar (agir) o tratamento de dados pessoais em nome do controlador.
Para facilitar o entendimento, podemos usar de exemplo uma empresa A que contrata a empresa B para enviar e-mails para os clientes da primeira. Para isto, a empresa A entregará para a empresa B uma lista de nomes e e-mails que queira atingir com as mensagens, definindo a empresa A uma periodicidade de envio, o texto que será enviado e qual a ação quando o seu cliente responder.
No exemplo acima, a empresa A será considerada o agente de tratamento do tipo controlador, pois decidiu pela contratação, bem como determinou quais pessoas receberiam a mensagem enviando o nome e e-mail de seus clientes, qual era a periodicidade e o teor da mensagem e, ainda, qual a tratativa dada no retorno das mensagens enviadas.
De outro lado, a empresa B será considerada o agente de tratamento do tipo operador por cumprir exatamente as regras e formas apresentadas pela empresa A, encaminhando única e exclusivamente para a lista definida, com a periodicidade contratada e com o texto devidamente entregue para o envio.
Como veremos em outras postagens estes agentes têm responsabilidades e deveres diferenciados, mas uma responsabilidade é comum aos dois tipos de agentes: cumprir as regras apresentadas pela lei, sob pena de responderem por não observarem estas regras.