Responsabilidade solidária do controlador por falhas do operador

O controlador pode ser responsabilizado por falhas cometidas pelo operador de dados quando deixar de supervisionar adequadamente o cumprimento das obrigações previstas na LGPD, não estabelecer garantias contratuais suficientes ou escolher operador que não ofereça medidas de segurança compatíveis com o tratamento realizado. A responsabilidade é solidária em diversas situações.

O que a Lei Geral de Proteção de Dados estabelece sobre a responsabilidade do controlador?

O artigo 42, §1º, inciso II, da Lei 13.709/2018 determina que o controlador ou o operador que causar dano patrimonial, moral, individual ou coletivo, em violação à legislação de proteção de dados, é obrigado a repará-lo. O dispositivo estabelece que os agentes de tratamento só não serão responsabilizados quando provarem que não realizaram o tratamento de dados que lhes é atribuído, que não houve violação à legislação ou que o dano é decorrente de culpa exclusiva do titular ou de terceiro.

O artigo 42, §2º da LGPD reforça que o operador responde solidariamente pelos danos causados pelo tratamento quando descumprir as obrigações da legislação de proteção de dados ou quando não tiver seguido as instruções lícitas do controlador. Isso significa que o controlador pode ser chamado a responder mesmo quando a falha operacional partiu do operador contratado.

Além disso, o artigo 44 da LGPD prevê expressamente que o tratamento de dados por operador deve ser regido por contrato ou instrumento jurídico que vincule o operador ao controlador. Esse documento precisa disciplinar a matéria específica do tratamento, a duração, a finalidade, os direitos e obrigações das partes e as medidas de segurança exigidas.

A ausência de contrato adequado ou de cláusulas que estabeleçam as responsabilidades e medidas de segurança pode ser interpretada como negligência do controlador na escolha e fiscalização do operador. Essa omissão reforça a cadeia de responsabilização prevista na lei.

Como os tribunais brasileiros têm decidido sobre essa responsabilidade solidária?

A jurisprudência brasileira ainda está em formação nesta matéria, mas já existem alguns precedentes importantes. O Superior Tribunal de Justiça, em casos envolvendo vazamento de dados e proteção ao consumidor, tem aplicado a teoria do risco da atividade econômica, responsabilizando a empresa controladora mesmo quando terceiros participam do tratamento de dados.

Decisões de tribunais estaduais têm reconhecido que a escolha do fornecedor de tecnologia ou do prestador de serviços que atua como operador é de responsabilidade do controlador. Nessas decisões, o argumento de que a falha foi exclusivamente do operador não afasta automaticamente a responsabilidade do controlador, especialmente quando não há prova de fiscalização e de cláusulas contratuais robustas.

Há julgados que aplicam a inversão do ônus da prova em favor do titular dos dados, exigindo que o controlador demonstre ter adotado todas as medidas técnicas e administrativas para proteger os dados. A simples alegação de que o problema ocorreu na infraestrutura do operador não tem sido suficiente para eximir o controlador.

Por outro lado, alguns tribunais têm admitido a exclusão da responsabilidade do controlador quando comprovada a culpa exclusiva do operador e a existência de contrato detalhado que prevê auditorias, relatórios de conformidade e cláusulas de segurança da informação. Nesses casos, a diligência do controlador na escolha e fiscalização do operador pode ser determinante.

Como essa responsabilidade solidária impacta a atuação do advogado que trabalha com LGPD?

Na consultoria preventiva, o advogado precisa orientar o cliente controlador a formalizar contratos de processamento de dados que especifiquem não apenas o objeto do tratamento, mas também as obrigações de segurança, os protocolos de notificação de incidentes e as hipóteses de responsabilização. A ausência desses elementos pode ser usada contra o cliente em eventual ação de reparação de danos.

É fundamental incluir cláusulas de auditoria e direito de fiscalização, permitindo que o controlador verifique periodicamente se o operador está cumprindo as determinações contratuais e legais. Documentar essas fiscalizações por meio de relatórios, checklists e registros de conformidade cria um acervo probatório essencial para demonstrar diligência.

No contencioso, a tese de defesa deve ser construída com base na demonstração de que o controlador adotou todas as medidas razoáveis de governança, incluindo a devida diligência na escolha do operador, a existência de contrato adequado e a fiscalização contínua. Provas documentais como certificações de segurança, relatórios de auditoria e registros de tratamento de dados são indispensáveis.

Quando o advogado representa o titular dos dados, a estratégia muda: é possível acionar tanto controlador quanto operador solidariamente, ampliando as chances de sucesso na reparação. A cadeia de responsabilidade prevista na LGPD favorece a proteção do consumidor, permitindo que se busque a reparação junto ao agente que oferecer maior garantia de solvência.

Na prática de atendimento ao cliente, o advogado deve mapear todos os operadores contratados, revisar os contratos existentes e implementar um programa de gestão de terceiros. Isso inclui avaliar a maturidade em proteção de dados dos fornecedores antes da contratação e estabelecer indicadores de desempenho relacionados à segurança da informação.

Perguntas frequentes