Governança de dados na LGPD: bases legais, papéis e resposta a incidentes

Bases legais, papéis de controlador e operador e o prazo para comunicar incidentes à ANPD formam o núcleo prático da governança de dados na LGPD.

Toda operação de tratamento de dados pessoais — da coleta de um cadastro ao envio de uma campanha de marketing — precisa se apoiar em um fundamento legal específico. O art. 7º da LGPD (Lei nº 13.709/2018) lista dez hipóteses que autorizam o tratamento, entre elas consentimento, cumprimento de obrigação legal, execução de contrato e legítimo interesse do controlador. O erro mais comum é tratar o consentimento como base padrão para qualquer atividade, quando a operação já pode estar amparada por outra hipótese.

Controlador e operador

A LGPD distribui responsabilidades entre dois papéis, definidos no art. 5º: o controlador, a quem "competem as decisões referentes ao tratamento" (inciso VI), e o operador, que "realiza o tratamento em nome do controlador" (inciso VII). O Guia Orientativo da ANPD esclarece que essa distinção é funcional, não contratual.

A mesma organização pode assumir os dois papéis simultaneamente, a depender da operação. A lei também impõe ao controlador a obrigação de indicar um encarregado — canal de comunicação com titulares e ANPD —, cuja identidade deve ser divulgada publicamente, embora não precise ser registrada perante a autoridade.

Resposta a incidentes de segurança

O art. 48 da LGPD impõe o dever de comunicar incidente que possa acarretar risco relevante, mas deixa o prazo em aberto — fala em "prazo razoável", a ser definido pela ANPD. Esse espaço só foi preenchido em 2024, pela Resolução CD/ANPD nº 15, que fixou três dias úteis, contados do conhecimento do incidente, tanto para a comunicação à ANPD quanto ao titular. Para agentes de pequeno porte, o prazo é contado em dobro.

Reunidos, fundamento legal por operação, papéis claros com encarregado identificado, e um procedimento desenhado para incidentes formam a espinha dorsal de uma governança de dados auditável e demonstrável — e não apenas declarada.

Imagem: panumas nikhomkhai, via Pexels.