Seu escritório é o controlador. O sistema é só o operador.

O que a lei chama de controlador, e por que é você

O art. 5º da LGPD separa dois papéis. Controlador é a quem competem as decisões referentes ao tratamento de dados pessoais. Operador é quem realiza o tratamento em nome do controlador.

Aplicado a um escritório de advocacia, isso não tem zona cinzenta. Quem decide que vai cadastrar o cliente, guardar a procuração, anexar o laudo, manter o histórico da conversa e por quanto tempo tudo isso fica é o escritório. Nenhuma dessas decisões é do fornecedor do sistema — ele executa o que o escritório mandou fazer, e é isso, exatamente, que o art. 39 determina:

“O operador deverá realizar o tratamento segundo as instruções fornecidas pelo controlador, que verificará a observância das próprias instruções e das normas sobre a matéria.”

Repare na segunda metade da frase, que quase ninguém lê: o controlador verificará. Não basta instruir. O dever de conferir se as instruções estão sendo cumpridas também é do escritório.

Contratar bem transfere o dever?

Não. E o art. 42 é direto sobre quem repara o dano:

“O controlador ou o operador que, em razão do exercício de atividade de tratamento de dados pessoais, causar a outrem dano patrimonial, moral, individual ou coletivo, em violação à legislação de proteção de dados pessoais, é obrigado a repará-lo.”

O § 1º acrescenta a hipótese em que o operador responde solidariamente: quando descumprir as obrigações da legislação ou quando não tiver seguido as instruções lícitas do controlador — e aí, diz a lei, ele se equipara ao controlador.

Leia isso como um advogado leria qualquer cláusula de solidariedade: ela acrescenta um responsável, não substitui. O titular lesado não precisa descobrir de quem foi a falha para escolher quem processar. Ele procura quem contratou o serviço — e quem contratou o serviço é o escritório.

E o sigilo profissional entra onde?

Numa camada acima, e ela não é da LGPD. O art. 34, VII do Estatuto da Advocacia define como infração disciplinar violar, sem justa causa, sigilo profissional. Esse dever é pessoal do advogado e não se delega: não existe contrato de prestação de serviços que faça o fornecedor responder perante a OAB no seu lugar.

Na prática, o escritório carrega dois deveres sobrepostos sobre o mesmo arquivo. Perante o titular e a ANPD, ele é controlador. Perante o cliente, a OAB e o juiz, ele é o advogado. O fornecedor não aparece em nenhuma das duas relações.

O que o contrato com o operador precisa ter

Ele não transfere o dever, mas resolve outras três coisas — e as três aparecem quando algo dá errado:

• As instruções por escrito.O art. 39 fala em “instruções fornecidas pelo controlador”. Se elas nunca foram escritas, não há como demonstrar que foram descumpridas — e a solidariedade do § 1º do art. 42 perde a base.
• Quem faz o quê num incidente. A comunicação à ANPD é do controlador, mas quem tem o registro técnico costuma ser o operador. Sem isso combinado antes, o prazo corre enquanto os dois trocam e-mails.
• O que acontece na saída. Eliminação ou devolução dos dados ao fim do contrato, em formato utilizável, sem custo e sem depender de boa vontade.

E o registro do art. 37

A LGPD manda o controlador e o operador manterem registro das operações de tratamento que realizarem. Para o escritório, esse registro responde perguntas banais que ficam difíceis justamente no dia ruim: que dados eu trato, para quê, por quanto tempo guardo e quem tem acesso.

Escritório enquadrado como agente de pequeno porte pode fazer esse registro de forma simplificada — mas não está dispensado dele, e esse enquadramento tem uma condição que pega muita gente. É o assunto de O prazo em dobro pode não ser seu.

Quem responde pelo quê

Em uma frase

O fornecedor pode ser excelente, ter certificação, ter contrato robusto — e ainda assim quem o titular procura, e quem a ANPD notifica, é o escritório. Escolher bem o operador não é uma forma de terceirizar o dever. É a forma de conseguir cumpri-lo.