Controlador é a pessoa física ou jurídica que fixa a finalidade específica para o recolhimento dos dados pessoais. Nenhum dado pode ser colhido sem sua previa fixação (princípio da finalidade).
Por exemplo: a loja que recebe os dados do consumidor é uma controladora desses dados, já que deles necessita para a cobrança e entrega. Os únicos dados que podem ser colhidos são os estritamente necessários para essa operação.
Ao armazenar tais dados, a empresa deverá deixar registrado em seus arquivos que os mantêm exclusivamente para esse fim.
O Operador é a pessoa física ou jurídica contratada pela controladora para efetuar em seu nome o tratamento dos dados. No exemplo da loja, será quem recebe as informações cadastrais para efetuar a entrega do produto, não podendo se servir dessas informações para nenhum outro objetivo.
A loja que detém os dados é a controladora; a entregadora que os recebeu, a operadora.
Controlador e Operador são os agentes de tratamento de dados pessoais, devendo manter registro das operações de tratamento que realizarem, especialmente quando baseadas em legítimo interesse (art. 37).
O Operador deve realizar o tratamento de dados de acordo com as instruções fornecidas pelo controlador (art. 39).
Encarregado é o profissional responsável por zelar pelas regras de tratamento de dados, fiscalizando a controladora e a operadora. Atua como um consultor ou ouvidor, devendo ficar junto ao controlador em função de assessoramento, além de realizar o contato entre a empresa controladora e a operadora e os órgãos públicos de fiscalização.
O controlador deve indicar o encarregado (DPO – Data Protection Officer ) pelo tratamento de dados pessoais (art. 41). Conforme inovação trazida pela redação da Medida Provisória n.º 869/2018, o DPO pode ser pessoa física ou jurídica (nacional ou internacional), que atue como canal de comunicação entre o controlador e a ANPD e os titulares.
Fontes:
Jornal Folha de São Paulo – em 06/09/20 – Entenda como os dados pessoais poderão ser usados com a nova Lei
Jornal Folha de São Paulo – em 06/09/20 – Os Partidos e a Lei Geral de Proteção de dados