Controlador

O controlador do tratamento de dados pessoais no INPI é o próprio INPI, enquanto responsável por tomar as decisões, com efetivo poder de decisão e capacidade de fornecer instruções para que o operador realize o tratamento em seu nome.

No entanto, não é apenas o controlador quem toma todas as decisões relacionadas a uma atividade de tratamento de dados pessoais. A rigor, basta que o controlador mantenha sua influência sobre as principais decisões, aquelas relacionadas aos elementos essenciais para cumprir as finalidades e os meios de tratamento.

A ANPD considera as seguintes decisões como essenciais para o controlador:

I — definir a finalidade do tratamento e sua respectiva base legal;
II — definir a natureza dos dados pessoais tratados (por exemplo, dados de beneficiários de plano de saúde ou de pessoas cadastradas em banco de dados oficial); e
III — definir a duração do tratamento, ou seja, por quanto tempo os dados serão tratados, incluindo o prazo para eliminar esses dados.

Segundo a ANPD, outros elementos também podem ser considerados essenciais, a depender do contexto e das particularidades de cada caso.

Além disso, a ANPD entende que a controladoria pode envolver mais de um controlador, a depender do caso. Surge, assim, a figura do controlador conjunto.

A hipótese não está expressa na LGPD, porém, para conceituar essa figura, a ANPD se inspira no art. 26 do Regulamento Geral de Proteção de Dados (GDPR) e estabelece o conceito de controladoria conjunta como “a determinação conjunta, comum ou convergente, por dois ou mais controladores, das finalidades e dos elementos essenciais para a realização do tratamento de dados pessoais, por meio de acordo que estabeleça as respectivas responsabilidades quanto ao cumprimento da LGPD”.

Para verificar a existência de controladoria conjunta, é necessário observar os seguintes critérios:

I — Se mais de um controlador possui poder de decisão sobre o tratamento de dados pessoais;
II — Se há interesse mútuo de dois ou mais controladores, com base em finalidades próprias, sobre um mesmo tratamento; e
III — Se dois ou mais controladores tomam decisões comuns ou convergentes sobre as finalidades e elementos essenciais do tratamento.

O INPI desempenha com exclusividade a função de controlador dos dados pessoais sob a sua responsabilidade, sem haver co-controladores.