Não raras vezes, os agentes de tratamento podem figurar simultaneamente como controlador e operador na mesma operação.
Nestas situações é perfeitamente possível que existam múltiplos controladores sob os mesmos dados pessoais, o que chamaremos de “co-controladores”.
Importante ressaltar que a LGPD não define a figura deste “agente”, muito menos elenca tal hipótese. Trata-se de um entendimento interno firmado com base na General Data Protection Regulation (GDPR) para solução de situações práticas e urgentes até que a Autoridade Nacional de Proteção de Dados (ANPD) emita parecer ou documento oficial a respeito do tema.
O artigo 26 da GDPR dispõe:
Artigo 26.o
Responsáveis conjuntos pelo tratamento
- Quando dois ou mais responsáveis pelo tratamento determinem conjuntamente as finalidades e os meios desse tratamento, ambos são responsáveis conjuntos pelo tratamento. Estes determinam, por acordo entre si e de modo transparente as respectivas responsabilidades pelo cumprimento do presente regulamento, nomeadamente no que diz respeito ao exercício dos direitos do titular dos dados e aos respetivos deveres de fornecer as informações referidas nos artigos 13.o e 14.o, a menos e na medida em que as suas responsabilidades respetivas sejam determinadas pelo direito da União ou do Estado-Membro a que se estejam sujeitos. O acordo pode designar um ponto de contacto para os titulares dos dados.
- O acordo a que se refere o n.o 1 reflete devidamente as funções e relações respectivas dos responsáveis conjuntos pelo tratamento em relação aos titulares dos dados. A essência do acordo é disponibilizada ao titular dos dados.
- Independentemente dos termos do acordo a que se refere o n.o 1, o titular dos dados pode exercer os direitos que lhe confere o presente regulamento em relação a cada um dos responsáveis pelo tratamento.
Note que o controle compartilhado dos dados não afeta nem prejudica o direito do Titulares, ao contrário, a GDPR, além de deixar evidente a responsabilidade solidária entre eles, indica que todos poderão ser acionados e acessados. Ou seja, o titular que normalmente contaria com a atenção e resposta de apenas um ponto de contato, agora passa a ter vários.
Assim, temos que a previsão legal inserida na GDPR, além de ser claramente benéfica ao titular, esclarece e regulamenta diversas situações cotidianas, como, por exemplo a compra de passagem aérea e pacote turístico por um website, que ficará responsável também pelo transporte e acomodação. Neste modelo, muitas vezes, embora haja a individualização dos vários processos que tratarão dados pessoais (transporte, acomodação e passeios), pode ser impossível determinar quem é de fato o único controlador ou o operador daquele tratamento, pela própria natureza simbiótica formada (e desejada) entre os sistemas.
Em outras palavras, em determinadas situações é impossível ao titular definir se o preenchimento de determinado formulário está sendo, de fato, realizado na plataforma que aparenta ser controlada pelo website visitado (e não diretamente nos parceiros – cias aéreas, hotéis e etc.)
E a omissão da LGPD em relacionar tal situação, por sua vez, muitas vezes faz com que tal fato passe despercebido nos contratos que regem a relação entre o website e seus parceiros, vindo a tona somente nos momentos tortuosos como incidentes ou reclamação dos titulares.
Por este motivo se faz altamente necessário que a ANPD emita diretrizes e/ou premissas para regulamentação dessas hipóteses que existem e não são raras. A multiplicidade de controladores é frequente e, num mundo altamente globalizado e conectado, tende a ser ainda mais recorrente.
Enquanto não encontramos caminhos genuínos e seguros, nós do Assis e Mendes Advogados, continuaremos utilizando as ferramentas e práticas descritas no cenário internacional com o intuito de suprir as lacunas existentes, sempre em busca da melhor solução para nossos clientes.
Caso tenha dúvidas quanto a posição da sua empresa no tratamento de dados pessoais, entre em contato com nossos advogados especialistas em Direito Digital, Privacidade e Proteção de Dados Pessoais, pelo site www.assisemendes.com.br.
BIANCA PINHEIRO é advogada na área de Direito Digital e Proteção de Dados no Assis e Mendes Advogados. Especialista em Direito Público e Lei Geral de Proteção de Dados. Pós-graduanda em Governança de Tecnologia da Informação pela Unicamp. Certificações: DPO (Data Protection Officer) – LGPD pela Assespro/RS; PDPE (Privacy and Data Protection Essentials) e PDPF (Privacy and Data Protection Foundation) – EXIN.