João desempenha a função de operador, conforme o artigo 5º, inciso VII, da LGPD, que define operador como a pessoa natural ou jurídica, de direito público ou privado, que realiza o tratamento de dados pessoais em nome do controlador.

Como João realiza o tratamento em nome do controlador, sem definir as finalidades e os meios do tratamento, ele não se enquadra como controlador, mas sim como operador.

Quanto à responsabilidade, o artigo 42, parágrafo primeiro, inciso I, da LGPD estabelece que o operador responde solidariamente pelos danos causados pelo tratamento quando descumprir as obrigações da legislação de proteção de dados ou quando não tiver seguido as instruções lícitas do controlador, hipótese em que o operador se equipara ao controlador, salvo nos casos de exclusão previstos no artigo 43 da mesma lei.

O caput do artigo 42 estabelece a regra geral de que o controlador ou o operador que causar dano patrimonial, moral, individual ou coletivo, em violação à legislação de proteção de dados pessoais, é obrigado a repará-lo.

Contudo, o operador possui responsabilidade condicionada, já que em regra atua sob determinação do controlador, conforme o artigo 39, segundo o qual o operador deve realizar o tratamento de acordo com as instruções fornecidas pelo controlador.

Assim, o operador só responde solidariamente, equiparando-se ao controlador, em duas situações: quando descumpre obrigação própria imposta pela legislação de proteção de dados, ou quando age fora ou contra as instruções lícitas recebidas do controlador.

Se o dano decorrer de conduta realizada dentro dos limites das instruções lícitas do controlador, sem violação legal autônoma por parte do operador, a responsabilidade tende a recair exclusivamente sobre o controlador.

No caso apresentado, como João, no exercício de sua atividade de tratamento, violou a legislação de proteção de dados e causou dano moral a Gisele, configura-se a hipótese de responsabilidade solidária prevista no artigo 42, parágrafo primeiro, inciso I.

Vale mencionar ainda as excludentes de responsabilidade do artigo 43, segundo o qual os agentes de tratamento não serão responsabilizados quando provarem que não realizaram o tratamento de dados pessoais que lhes é atribuído, que, embora tenham realizado o tratamento, não houve violação à legislação de proteção de dados, ou que o dano é decorrente exclusivamente de culpa do titular dos dados ou de terceiro.