16. LGPD: agentes, direitos e incidentes

A proteção de dados depende de identificar quem decide, quem executa e como o titular exerce seus direitos. Esses papéis também orientam a resposta a incidentes. O capítulo apresenta controlador, operador, encarregado e direitos, acrescentando um roteiro de comunicação de incidentes. As funções são determinadas pelas atividades concretas, e não apenas pelo nome do contrato. O texto considera a LGPD compilada e as orientações oficiais consultadas em setembro de 2026.

Depois de aprender a examinar os dados, organizamos as responsabilidades que os mantêm compreensíveis, corretos, protegidos e utilizáveis durante todo o ciclo de vida. Este é o capítulo 16 de 20 da disciplina Qualidade e Governança de Dados. Ele retoma LGPD: princípios e bases legais e utiliza essa base para avançar. Na sequência, estudaremos Anonimização, pseudonimização e reidentificação.

O fio condutor

Ciência de Dados começa com uma pergunta e termina com uma decisão que precisa ser compreendida, avaliada e acompanhada. Entre esses dois pontos, dados são coletados, examinados e transformados; métodos são escolhidos; resultados são validados; e limitações são comunicadas. Nenhuma etapa compensa automaticamente uma falha grave ocorrida na etapa anterior.

Neste capítulo, use LGPD: agentes, direitos e incidentes para acompanhar três dimensões: o problema que se deseja resolver, a evidência disponível e o critério usado para avaliar o resultado. Essa separação ajuda a evitar soluções tecnicamente sofisticadas que não respondem à necessidade real.

Controlador

Começamos por Controlador, pois essa base organiza os conceitos e exemplos que aparecerão no restante do capítulo.

Controlador toma decisões referentes ao tratamento de dados pessoais.

O controlador é a pessoa natural ou jurídica a quem competem decisões referentes ao tratamento. Define elementos relevantes da finalidade e dos meios, segundo a situação concreta. Contratar um fornecedor não elimina suas obrigações, e a mesma organização pode ser controladora em uma operação e operadora em outra. O papel interno de data owner não equivale automaticamente ao controlador legal. Registre decisões, bases e instruções pertinentes, incluindo como atender direitos e avaliar riscos. Em arranjos com vários participantes, examine a atuação real para não atribuir papéis apenas por conveniência contratual.

Operador

Depois de compreender Controlador, passamos a Operador. A nova seção acrescenta outra etapa ao mesmo raciocínio e mostra como as decisões anteriores influenciam as próximas.

Operador trata dados pessoais em nome do controlador.