A Lei Geral de Proteção de Dados Pessoais –LGPD institui a figura dos Agentes de Tratamento: Controlador, Operador e Encarregado.
A identificação e determinação desses agentes no âmbito das empresas que realizam tratamento de dados pessoais, sejam elas ME’s, EPP’s, empresas de médio ou grande porte, e até mesmo no caso de MEI's, é condição obrigatória imposta pela legislação.
A LGPD dedica um capítulo inteiro para tratar sobre o tema, trazendo influências da legislação europeia ao estipular funções, determinações e responsabilidades gerais de cada uma dessas figuras.
O Controlador é aquele a quem compete tomar as decisões referentes ao tratamento de dados pessoais, sendo o responsável por determinar e traçar as diretrizes de toda a ação de tratamento daquela empresa, iniciando-se desde o diagnóstico interno até a construção da política de privacidade e a elaboração do relatório de impacto, caso solicitado pela Autoridade Nacional de Proteção de Dados-ANPD.
O Operador é aquele que está diretamente subordinado ao Controlador, realizando o tratamento dos dados pessoais em nome e conforme os mandamentos daquele.
O Encarregado tem como função principal atuar como canal de comunicação entre os envolvidos em uma operação de tratamento de dados pessoais, a saber: titular dos dados pessoais, Autoridade Nacional de Proteção de Dados Pessoais, outros órgãos legais e os demais agentes de tratamento.
As previsões legais de atividades que podem ser exercidas por cada um dos agentes de tratamento não são taxativas, podendo as empresas, por meio de instrumento legal competente, ampliar ou mitigar o rol de atuação de cada uma dessas figuras.
A legislação não impõe que os agentes sejam, obrigatoriamente, funcionários ou sócios das empresas, podendo tais funções serem realizadas por pessoas físicas ou jurídicas externas a essas, promovendo-se uma espécie de terceirização no exercício do encargo legal.
Importante destacar, que são os agentes aqueles que respondem em nome da empresa em eventuais questionamentos, inquisições ou processos sobre operações de tratamento de dados pessoais, seja perante à Autoridade Nacional de Proteção de Dados-ANPD, órgãos de defesa do consumidor ou ainda judicialmente.