Responsabilidade solidária entre controlador e operador: o que diz o artigo 42 da LGPD 

A lei permite que controlador e operador respondam juntos em hipóteses específicas de dano decorrente do tratamento de dados, e os contratos de prestação de serviço precisam refletir esse risco 

Uma empresa contrata um fornecedor para processar folha de pagamento, hospedar sistema de CRM ou disparar campanha de e-mail marketing. O contrato de prestação de serviço tem cláusula de confidencialidade, cláusula de indenização, às vezes até um anexo específico sobre proteção de dados. Quando o fornecedor sofre um incidente de segurança e expõe dado de cliente final, a empresa contratante costuma presumir que o problema é do fornecedor. Não é essa a lógica que a LGPD adota. 

O artigo 42 disciplina a reparação dos danos causados pelo tratamento de dados pessoais. A solidariedade não é automática em toda relação entre controlador e operador: ela alcança o operador nas hipóteses do § 1º, inciso I, e os controladores diretamente envolvidos no tratamento do qual decorreram danos, conforme o inciso II. Isso altera a forma como o contrato deve ser redigido e como a relação com o fornecedor deve ser acompanhada. 

O que diz o artigo 42 da LGPD sobre responsabilidade solidária 

O artigo 42 da LGPD prevê reparação quando controlador ou operador, em razão do tratamento de dados pessoais, causa dano patrimonial ou moral, individual ou coletivo, em violação à legislação de proteção de dados. O § 1º disciplina hipóteses de solidariedade, ressalvadas as exclusões do artigo 43. Portanto, dano, conduta, nexo e hipótese legal precisam ser examinados; a mera existência de um contrato entre agentes não basta. 

Solidariedade do operador e dos controladores diretamente envolvidos 

No inciso I, o operador responde solidariamente pelos danos quando descumpre a legislação de proteção de dados ou não segue instruções lícitas do controlador, hipótese em que se equipara ao controlador para fins de responsabilização. No inciso II, os controladores diretamente envolvidos no tratamento do qual decorreram danos respondem solidariamente, ressalvadas as hipóteses de exclusão do artigo 43. O guia da ANPD sobre agentes de tratamento reforça que a classificação depende das decisões efetivamente tomadas em cada operação, e não apenas do nome adotado no contrato. 

Onde a distinção teórica encontra a realidade da operação 

Considere um prestador de folha de pagamento que reutiliza dados dos colaboradores para treinar um modelo de IA destinado a finalidade própria. Essa nova operação pode colocá-lo na posição de controlador, conforme as decisões que efetivamente toma. A mudança exige avaliar base legal, transparência, instruções e direitos dos titulares. Eventual solidariedade dependerá dos requisitos legais e do envolvimento de cada agente, sem alcançar automaticamente o contratante. 

Operador que descumpre instrução do controlador, ou que trata dado fora do escopo contratado 

A retenção de backups além do prazo acordado ou a reutilização de contatos de um cliente em campanha de outro exigem investigação do escopo, das instruções e de eventual fundamento legal de conservação. Se houver tratamento irregular e dano, a responsabilidade deve ser apurada à luz dos artigos 42 e 43. Uma cláusula contratual, sozinha, não define a licitude do tratamento nem torna toda a cadeia solidariamente responsável. 

O erro recorrente: achar que o contrato de prestação de serviço já resolve isso 

Quando o contrato trata a proteção de dados apenas como cláusula acessória, pode deixar lacunas operacionais. O texto regula a relação interna, mas não afasta a responsabilidade perante o titular ou a ANPD. Uma estrutura adequada combina instruções claras, revisão contratual, auditoria e registros de execução. 

Cláusula de indenização não substitui auditoria e não afasta a responsabilidade perante a ANPD 

Mesmo que o contrato preveja indenização do controlador pelo operador, a cláusula produz efeitos entre as partes e não elimina o direito do titular à reparação nas hipóteses legais. A ANPD, por sua vez, apura a conduta de cada agente e aplica sanções administrativas de forma individualizada, sem transportar automaticamente a solidariedade civil para a esfera sancionadora. A auditoria e os registros são essenciais para demonstrar o papel e a atuação de cada parte. 

Incidente do operador, exposição do controlador 

O titular pode procurar primeiro a empresa com a qual mantém relação direta, ainda que a falha tenha ocorrido no ambiente do fornecedor. Por isso, o controlador precisa ter condições de receber a demanda, obter informações e participar da resposta. Essa exposição operacional e reputacional não equivale, por si só, à conclusão de responsabilidade civil ou administrativa. 

Por que o controlador costuma ser o primeiro a responder, mesmo quando a falha é do fornecedor 

A escolha do operador é decisão de gestão de risco. Empresas que contratam sem avaliação de maturidade e due diligence de fornecedores podem deixar de identificar falhas relevantes antes de um incidente. 

O que muda na prática: due diligence de operador e cláusulas de alocação de risco 

A resposta juridicamente adequada não é evitar a terceirização, e sim estruturar a relação com o operador de forma que o risco fique claramente alocado e que a empresa tenha meios reais de verificar o cumprimento das instruções passadas. 

Elementos mínimos de um contrato de operador que resiste a um incidente real 

Três elementos diferenciam um contrato efetivo de um texto decorativo: delimitação da finalidade e do escopo; direito de auditoria exercido na prática; e procedimento de notificação recíproca de incidente, com prazo que permita ao controlador cumprir o dever de comunicação à ANPD e aos titulares afetados. 

Leia também: Comunicação de incidente de segurança na LGPD: critérios de relevância, prazos e registros; IA generativa na empresa: como usar ChatGPT, Copilot e Gemini sem expor dados; Due diligence de fornecedores: o escudo estratégico contra fraudes e riscos empresariais. 

A SMN Advogados apoia a revisão contratual de operadores, a estruturação de controles dentro do serviço de DPO externo e a preparação para incidentes.