Da conceituação do Controlador e Operador na Lei Geral de Proteção de Dados

Abstract

O desenvolvimento da tecnologia da informação, que ganhou força principalmente a partir do início dos anos 2000, intensificou sobremaneira a quantidade e a velocidade com que dados pessoais circulam pelas redes, proporcionando novas situações que colocam em risco a privacidade dos titulares destes dados. Em um movimento no sentido de oferecer maior proteção a estes indivíduos, os países começaram a editar normas para regulamentar o tratamento destes dados pessoais ou mesmo a aprimorar iniciativas já antigas, como é o caso da Diretiva Europeia sobre Proteção de Dados Pessoais de 1995, o Regulamento Geral sobre a Proteção de Dados da União Europeia (RGPD, de 2016) e a Lei n° 13.709/2018 (Lei Geral de Proteção de Dados, LGPD) no Brasil. Para melhor delegação de responsabilidades relativamente a como tratar estes dados, a lei brasileira traz os conceitos de controlador e operador, que são pessoas naturais ou jurídicas que decidem e executam o processamento destes dados em nome do controlador, respectivamente. Os critérios para conceituação e diferenciação de cada uma destas figuras, no entanto, ainda são vagos e por vezes causam confusão, o que se reflete negativamente quando necessária a responsabilização jurídica dos entes. Este trabalho visa a esmiuçar estas figuras criadas pela LGPD brasileira, na tentativa de estabelecer critérios objetivos para a caracterização de cada uma delas, por meio de uma análise que leve em conta o histórico da proteção de dados em outros sistemas jurídicos, decisão de cortes relevantes e doutrina, considerando especialmente a forte influência da tradição europeia na disciplina de proteção de dados. Deste modo, o autor almeja criar algum subsídio para a futura aplicação da lei, diferenciando de maneira concreta conceitos conflitantes através do estabelecimento dos critérios para esta diferenciação.

The development of information technology, which has gained strength mainly since the early 2000s, has greatly intensified the amount and speed with which personal data circulates over networks, providing new situations that put the privacy of the subjects of this data at risk. In a move towards offering greater protection to these individuals, countries have begun to issue standards to regulate the processing of this personal data or even improve on older initiatives, as is the case with the European Directive on Personal Data Protection of 1995, the European Union's General Data Protection Regulation (GDPR, 2016) and Law No. 13.709/2018 (General Personal Data Protection Law, LGPD) in Brazil. For better delegation of responsibilities regarding the execution of the processing of this data, the Brazilian law brings the concepts of controller and processor, which are natural or legal persons who decide on the processing and execute it on behalf of the controller, respectively. The criteria for the conceptualization and differentiation of each of these figures, however, are still vague and sometimes cause confusion, which is reflected negatively when the legal liability of the entities is necessary. This paper aims to scrutinize these figures created by the Brazilian LGPD, in an attempt to establish objective criteria for the characterization of each of them, through an analysis that takes into account the history of data protection in other legal systems, decisions of relevant courts and doctrine, especially considering the strong influence of the European tradition in the discipline of data protection. In this way, the author aims to create some subsidy for the future application of the law, differentiating in a concrete way conflicting concepts by establishing the criteria for this differentiation.