Agentes de tratamiento de datos: qué son el controlador, el operador y el encargado en la LGPD

En una reunión del comité de datos, el área jurídica hizo una pregunta simple: ¿quién aquí es controlador y quién es operador del maestro de clientes? Silencio en la sala. Nadie supo responder con seguridad, aunque todos trabajaban con ese maestro todos los días.

Los agentes de tratamiento de datos son las personas o empresas a las que la LGPD (Ley General de Protección de Datos de Brasil) responsabiliza por lo que ocurre con el dato personal, desde el momento en que entra al registro maestro hasta el día en que se elimina. La ley define tres roles: controlador, operador y encargado. Entender la diferencia entre ellos no es un ejercicio jurídico de despacho de abogados. Es la base de cualquier programa de gobernanza de datos que se tome en serio la LGPD, porque cada rol carga una responsabilidad distinta, y equivocarse al definir quién es quién sale caro en caso de incidente.

Qué son los agentes de tratamiento de datos

La Ley General de Protección de Datos separa a quien decide sobre el tratamiento de quien solo ejecuta. El controlador toma las decisiones sobre la finalidad y los medios del tratamiento de datos personales. Es la empresa que decide por qué va a recopilar el CPF (el número de identificación fiscal de las personas físicas en Brasil) de un cliente, para qué va a usar la dirección de un proveedor, cuánto tiempo va a guardar ese dato. El operador trata el dato personal en nombre del controlador, siguiendo las instrucciones que recibe. Es la empresa de enriquecimiento de datos que valida el CNPJ (el número de registro de empresas en Brasil) ante la Receita Federal (la autoridad fiscal de Brasil) a pedido del cliente, el proveedor de nube que aloja la base, la consultoría que hace la limpieza de datos de una base de materiales y clientes.

El encargado de protección de datos (DPO) es la persona designada por el controlador para hacer de puente entre la empresa, los titulares de los datos y la Autoridad Nacional de Protección de Datos, la ANPD (la autoridad de protección de datos de Brasil). El encargado no decide la finalidad ni ejecuta el tratamiento. Su función es orientar, recibir reclamos y garantizar que se cumplan las reglas internas.

Esta distinción explica por qué una misma empresa puede ser controladora en una relación y operadora en otra. Una plataforma de datos maestros que contratas para la limpieza de datos de los registros maestros es operadora de tu dato. Pero si usa parte de ese dato para entrenar su propio producto y lo decide por su cuenta, sin instrucción del cliente, pasa a ser controladora de ese uso específico. Es en esa frontera donde la mayoría de las empresas se pierde.

Cómo aparece la responsabilidad en la práctica del registro maestro

Piensa en un escenario común de compras. La empresa contrata un sistema de homologación de proveedores que consulta automáticamente la situación registral en la Receita Federal, verifica si hay sanciones administrativas y cruza datos contra listas de compliance. Quien decide qué fuentes consultar y con qué frecuencia es la empresa contratante: es la controladora. El proveedor del sistema de homologación, que ejecuta esas consultas siguiendo las reglas definidas por el cliente, es el operador.

Ahora piensa en un proyecto de datos maestros en SAP. El área de TI define que el maestro de clientes se va a enriquecer con datos de geolocalización para mejorar la logística de entrega. La empresa es controladora de esa decisión. Si contrata una consultoría para implementar esa rutina en SAP Master Data Governance, la consultoría actúa como operadora mientras siga las instrucciones recibidas. Si la consultoría decide, por iniciativa propia, usar esos mismos datos de geolocalización para armar un producto de inteligencia de mercado y venderlo a otros clientes, dejó de ser operadora y se volvió controladora de ese nuevo uso, sin autorización.

La LGPD prevé responsabilidad solidaria entre controlador y operador cuando causan daño al titular del dato, y la ANPD ha reforzado ese control en la agenda regulatoria de 2025 y 2026, con foco en responsabilizar a los agentes que no adoptan medidas de seguridad adecuadas. Tercerizar el tratamiento no terceriza la responsabilidad. Si el operador filtra el dato por una falla de seguridad, el controlador también responde, porque fue quien eligió a ese proveedor.

Quién es responsable de esto dentro de la empresa

Clasificar a los agentes de tratamiento no es una tarea aislada del área jurídica. Es un trabajo conjunto entre el área jurídica, el encargado de protección de datos (DPO), el área de gobernanza y los dueños de cada dominio de datos, los data owners de clientes, proveedores y materiales. El área jurídica interpreta la ley y evalúa contratos. El encargado centraliza el mapeo y responde por los canales con la ANPD y con los titulares. El área de gobernanza de datos traduce esa clasificación en proceso: qué sistema trata qué dato, con qué finalidad, bajo instrucción de quién.

Los data stewards entran porque son ellos quienes saben, en la práctica, por dónde circula el dato. Un data steward del maestro de clientes sabe que el CRM intercambia información con la plataforma de cobranza, que la plataforma de cobranza es operadora, y que ese contrato necesita una cláusula de protección de datos compatible con el rol que ejerce. Sin ese mapeo, la empresa firma contratos con proveedores de tecnología sin saber si está contratando a un operador común o abriendo la puerta a un controlador independiente.

Qué herramientas ayudan a mapear y controlar esto

Mapear a los agentes de tratamiento depende de saber dónde está el dato y quién lo toca. Las herramientas de catálogo de datos y data lineage, como Microsoft Purview, Collibra y Alation, ayudan a visualizar el recorrido del dato personal entre sistemas y a señalar en qué punto un tercero entra en la cadena. Las plataformas de Master Data Management, como SAP Master Data Governance, Informatica, Stibo Systems, Reltio, Semarchy, Profisee y Ataccama, centralizan el maestro de clientes, proveedores y materiales y permiten registrar, por dominio, quién es el controlador interno responsable y qué integraciones externas tratan ese dato.

Ninguna de estas herramientas resuelve sola la clasificación jurídica de controlador y operador. Eso sigue siendo una decisión humana, basada en el contrato y en la finalidad. Lo que la tecnología resuelve es la trazabilidad, y sin ella la empresa no tiene cómo completar con honestidad un informe de impacto a la protección de datos ni responder rápido cuando la ANPD pregunta.

Cómo aprender a aplicar esto en la gobernanza de datos

El camino más directo pasa por entender la LGPD en la práctica, no solo el texto de la ley. Eso incluye estudiar los conceptos del DAMA-DMBOK sobre gobernanza y propiedad del dato, que dialogan directamente con los roles de controlador y operador, y buscar certificaciones como la CDMP de DAMA, que cubre privacidad y protección de datos dentro de la disciplina más amplia de la gestión de datos. Vale la pena también revisar caso por caso los contratos que la empresa ya tiene con proveedores de tecnología, nube y tercerización, porque la teoría solo se convierte en competencia cuando se aplica al registro maestro real.

Las oportunidades que abre este conocimiento

Los profesionales que entienden a fondo a los agentes de tratamiento de datos se vuelven un puente entre el área jurídica y la operación, un rol raro y valorado. Los encargados de protección de datos, los data stewards senior, los analistas de gobernanza de datos y los consultores de privacidad con dominio técnico de los registros maestros están entre los perfiles más buscados a medida que la ANPD amplía la fiscalización y aumentan las multas. Las empresas que antes trataban la LGPD como un checklist jurídico ahora necesitan gente que sepa clasificar el dato, mapear el flujo entre sistemas y justificar, con evidencia, por qué cada proveedor es operador y no controlador independiente.

Principales dudas sobre agentes de tratamiento de datos

¿Cuál es la diferencia entre controlador y operador? El controlador decide la finalidad y los medios del tratamiento. El operador ejecuta siguiendo las instrucciones del controlador. Una misma empresa puede ser controladora de un dato y operadora de otro.

¿El encargado de datos es lo mismo que el DPO? Sí. Encargado es el término de la LGPD en portugués, DPO es la sigla en inglés de Data Protection Officer. La función es ser el canal entre la empresa, los titulares de datos y la ANPD.

¿Una empresa puede ser controladora y operadora al mismo tiempo? Puede, y es común. Depende del contexto de cada tratamiento, no de la empresa en su conjunto. Por eso el mapeo debe hacerse por flujo de datos.

¿Qué pasa si el operador filtra datos por su cuenta? La LGPD prevé responsabilidad solidaria. El controlador puede responder junto con él, principalmente si no evaluó las garantías de seguridad del proveedor antes de contratarlo.

¿Cómo prueba la empresa quién es controladora y quién es operadora en un proceso de la ANPD? Con un contrato formal que defina el rol de cada parte y con trazabilidad del dato entre sistemas, lo que exige un mínimo de gobernanza y catalogación implementado antes del incidente.

MDM Academy: dónde aprender gobernanza de datos en la práctica

MDM Academy es la escuela de gobernanza de datos y datos maestros de 4MDG. Nació de la constatación de que la mayoría de los cursos de datos en Brasil habla de tecnología y se olvida del registro maestro, de la gobernanza y de la responsabilidad legal que estructura todo eso. En MDM Academy el profesional aprende a clasificar datos, armar una matriz de responsabilidades, construir una política de gobernanza y entender cómo se aplica la LGPD al maestro de clientes, proveedores y materiales, siempre con ejemplos reales de empresas.

Quien quiera ir más allá de los cursos puede unirse al Club de los Datos, la comunidad de profesionales de datos maestros y gobernanza que intercambia experiencia y sigue de cerca los cambios regulatorios que afectan a quienes trabajan con datos maestros en Brasil. Vale la pena conocer MDM Academy y ver si tiene sentido para el momento de tu carrera o de tu equipo.

Conclusión

Clasificar quién es controlador, quién es operador y quién es encargado parece un ejercicio burocrático hasta el día en que ocurre un incidente de datos y alguien necesita explicar, con pruebas en la mano, quién era responsable de qué. Las empresas que tratan esa clasificación como parte de la gobernanza de datos, y no como un anexo de contrato que nadie lee, llegan más preparadas a ese día. Y, de paso, construyen registros maestros más confiables en el camino.

En tu empresa, ¿alguien ya se detuvo a mapear quién es controlador y quién es operador en cada contrato de datos que han firmado?