Controlador de dados pessoais: definição e obrigações
Controlador é a pessoa natural ou jurídica, de direito público ou privado, a quem competem as decisões referentes ao tratamento de dados pessoais (LGPD, art. 5º, VI). É quem define para que e como os dados são usados. Uma associação que mantém o cadastro dos seus associados, por exemplo, atua como controladora desses dados.
O que diferencia o controlador
O critério é o poder de decisão. Quem apenas executa o tratamento seguindo instruções de outro é operador, não controlador. Juntos, controlador e operador formam os agentes de tratamento (art. 5º, IX).
Principais obrigações
A LGPD atribui ao controlador deveres próprios. Entre eles:
- Provar que o consentimento, quando usado, foi obtido conforme a lei (art. 8º, §2º).
- Atender aos direitos do titular listados no art. 18.
- Manter registro das operações de tratamento, junto com o operador (art. 37).
- Indicar um encarregado pelo tratamento de dados (art. 41).
- Adotar medidas de segurança técnicas e administrativas (art. 46).
- Comunicar à autoridade nacional e ao titular incidente de segurança que possa acarretar risco ou dano relevante (art. 48).
Na Kolibri
Na Kolibri, associações e fundações só leem o que o paciente autorizou. Cada abertura de receita pela associação vai para a trilha do titular, e toda leitura do cofre, inclusive as barradas, fica registrada. Na fundação, o auditor externo tem acesso só de leitura, com cada leitura registrada.
Perguntas frequentes
Uma organização pode ser controladora e operadora ao mesmo tempo?
Pode, em tratamentos diferentes. O papel é definido em cada operação: decide sobre ela, é controladora; executa por conta de outro, é operadora.
O controlador precisa ter um encarregado?
O art. 41 manda o controlador indicar encarregado. A autoridade nacional pode prever hipóteses de dispensa conforme a natureza, o porte ou o volume de tratamento.
Quem responde se houver vazamento?
A lei impõe deveres de segurança aos agentes de tratamento e de comunicação de incidente ao controlador. A responsabilidade em cada caso concreto exige análise jurídica.
Fontes
Conteúdo informativo, que não substitui orientação médica ou jurídica. Atualizado em 30/09/2026.