Entenda a LGPD: controlador, bases legais e por que a interdisciplinaridade é essencial

O primeiro pilar de uma boa governança de dados é o entendimento correto da lei. Parece simples, mas a LGPD é cheia de conceitos abstratos que, mal interpretados, levam a decisões equivocadas — como apontar o presidente do órgão como controlador ou tratar o consentimento como base legal principal no setor público.

Controlador e operador no setor público

A LGPD define o controlador como a pessoa, natural ou jurídica, que toma as decisões sobre o tratamento de dados, e o operador como quem trata os dados em nome do controlador. No setor público, porém, a definição de controlador como pessoa natural não se sustenta, por causa da teoria do órgão e do princípio da impessoalidade. O presidente de um órgão representa a instituição perante terceiros, mas não age em nome próprio — age em nome da instituição. Por isso, indicar o presidente como controlador é um erro grave, ainda comum em muitas organizações.

Há ainda a questão da personalidade jurídica. Entidades, como empresas estatais, são mais simples de enquadrar. Mas ministérios e tribunais, por integrarem a administração direta, não têm personalidade jurídica própria — e o CNPJ é apenas um cadastro fiscal, que não a confere. A solução adotada pelo Tribunal de Contas da União, em 2021, foi definir o controlador como a própria União, pessoa jurídica de direito público. A ANPD concordou com essa tese no mês seguinte, e a decisão pôde ser tomada com segurança jurídica antes mesmo de o regulador se pronunciar, graças a processos de governança bem estruturados.

Controladoria conjunta

Nem sempre as decisões sobre tratamento são tomadas por uma única organização. Quando um órgão contrata uma banca para realizar um concurso público, por exemplo, quem é o controlador? Se a banca seleciona os candidatos e repassa a lista, a decisão é dela ou do órgão? Situações assim configuram a controladoria conjunta, com dois controladores ao mesmo tempo, e mostram como os conceitos da lei nem sempre se encaixam diretamente na realidade do dia a dia.

Nem toda a LGPD se aplica a todos

Entender a lei também significa reconhecer sua aplicabilidade. Entre as bases legais de tratamento, o consentimento não é a principal para o setor público — embora a maioria dos cursos gaste muito mais tempo nele do que nas demais hipóteses. É preciso conhecer todo o cardápio de bases legais e saber escolher a mais adequada a cada situação. Vale também conhecer o histórico e as referências da lei: a doutrina distingue privacidade de proteção de dados, mas a LGPD usa os termos de forma praticamente intercambiável, e saber disso ajuda a aplicar a lei com mais segurança.

Por que a LGPD exige interdisciplinaridade

A LGPD não é uma lei para ser vista apenas sob o ponto de vista jurídico, nem apenas sob o ponto de vista técnico ou de TI. Olhar só para o lado jurídico enviesa a análise; olhar só para a TI, também. Um comitê de proteção de dados precisa reunir competências jurídicas, técnicas e de negócio, porque quanto mais olhares diferentes houver sobre a mesma situação, melhor será a compreensão dela.

Uma analogia ajuda: diante de um trem a vapor em movimento, cada ciência enxerga um aspecto — a física estuda a inércia e o atrito, a química a combustão que gera energia, a biologia a regulação térmica do maquinista, a engenharia a eficiência, a engenharia ambiental a poluição. Um único olhar capta apenas parte do fenômeno. Com a LGPD é igual: vê-la apenas como peça jurídica, ou apenas como questão de TI, é enxergar um pedaço do todo. O risco de não fazer isso é concreto — um parecer jurídico que, lendo a exigência de bases interoperáveis, determinou integrar todos os sistemas de um órgão chegou a um custo estimado de duas a três vezes o orçamento da instituição, o equivalente a anos sem pagar salários ou contas.

Principais pontos

• Entender corretamente os conceitos abstratos da LGPD é pré-condição para decidir bem.
• No setor público, o presidente não é o controlador; na administração direta, o controlador é o ente (a União).
• A controladoria conjunta aparece, por exemplo, na contratação de bancas de concurso.
• O consentimento não é a base legal principal no setor público; é preciso conhecer todo o cardápio.
• A LGPD exige interdisciplinaridade: jurídico, TI, negócio e outras áreas juntos.

Quer implementar a LGPD no seu órgão sem burocracia e protegendo o valor público? Conheça nossa formação em governança e compliance de dados no setor público e capacite a sua equipe para decidir melhor.