Operador de dados: definição na LGPD
Operador é a pessoa natural ou jurídica, de direito público ou privado, que realiza o tratamento de dados pessoais em nome do controlador (LGPD, art. 5º, VII). Ele não decide para que os dados servem: executa o tratamento seguindo as instruções de quem decide.
Operador e controlador
A diferença está no poder de decisão. O controlador define a finalidade e os meios. O operador executa. Exemplos típicos de operador são empresas contratadas para hospedar sistemas, processar folha de pagamento ou enviar comunicações por conta de outra organização.
O art. 39 determina que o operador realize o tratamento segundo as instruções fornecidas pelo controlador, que verifica se elas estão sendo seguidas.
Obrigações do operador
Mesmo sem decidir, o operador tem deveres próprios na LGPD:
- Manter registro das operações de tratamento que realizar (art. 37).
- Adotar medidas de segurança técnicas e administrativas para proteger os dados (art. 46).
- Seguir as instruções do controlador e as normas sobre a matéria (art. 39).
Por que o papel importa
Saber quem é controlador e quem é operador ajuda o titular a saber a quem dirigir um pedido. Também ajuda as organizações a escrever contratos claros sobre quem responde pelo quê.
Na Kolibri
Na Kolibri, o acesso de cada associação ou fundação aos dados do paciente depende do que ele autorizou, item por item, e pode ser revogado. A verificação de identidade é feita uma vez pelo nosso parceiro de pagamento, só quando há dinheiro envolvido.
Perguntas frequentes
Um fornecedor de software é sempre operador?
Nem sempre. Depende de quem decide sobre o tratamento. Se o fornecedor usa os dados para finalidade própria, passa a decidir e pode ser controlador nessa parte.
O operador precisa de encarregado?
O texto atual do art. 5º, VIII, define o encarregado como pessoa indicada pelo controlador e operador. Regras de dispensa dependem da autoridade nacional.
O titular pode pedir seus direitos ao operador?
Os direitos do art. 18 são exercidos perante o controlador. Se o pedido chegar a quem não é agente de tratamento, a resposta deve indicar, sempre que possível, quem é.
Fontes
Conteúdo informativo, que não substitui orientação médica ou jurídica. Atualizado em 30/09/2026.