João desempenha a função de operador, conforme o artigo 5º, inciso VII, da LGPD, que define operador como a pessoa natural ou jurídica, de direito público ou privado, que realiza o tratamento de dados pessoais em nome do controlador.

Como João realiza o tratamento em nome do controlador, sem definir as finalidades e os meios do tratamento, ele não se enquadra como controlador, mas sim como operador.

Quanto à responsabilidade, o artigo 42, parágrafo primeiro, inciso I, da LGPD estabelece que o operador responde solidariamente pelos danos causados pelo tratamento quando descumprir as obrigações da legislação de proteção de dados ou quando não tiver seguido as instruções lícitas do controlador, hipótese em que o operador se equipara ao controlador, salvo nos casos de exclusão previstos no artigo 43 da mesma lei.

O caput do artigo 42 estabelece a regra geral de que o controlador ou o operador que causar dano patrimonial, moral, individual ou coletivo, em violação à legislação de proteção de dados pessoais, é obrigado a repará-lo.

Contudo, o operador possui responsabilidade condicionada, já que em regra atua sob determinação do controlador, conforme o artigo 39, segundo o qual o operador deve realizar o tratamento de acordo com as instruções fornecidas pelo controlador.

Assim, o operador só responde solidariamente, equiparando-se ao controlador, em duas situações: quando descumpre obrigação própria imposta pela legislação de proteção de dados, ou quando age fora ou contra as instruções lícitas recebidas do controlador.

Se o dano decorrer de conduta realizada dentro dos limites das instruções lícitas do controlador, sem violação legal autônoma por parte do operador, a responsabilidade tende a recair exclusivamente sobre o controlador.

No caso apresentado, como João, no exercício de sua atividade de tratamento, violou a legislação de proteção de dados e causou dano moral a Gisele, configura-se a hipótese de responsabilidade solidária prevista no artigo 42, parágrafo primeiro, inciso I.

Vale mencionar ainda as excludentes de responsabilidade do artigo 43, segundo o qual os agentes de tratamento não serão responsabilizados quando provarem que não realizaram o tratamento de dados pessoais que lhes é atribuído, que, embora tenham realizado o tratamento, não houve violação à legislação de proteção de dados, ou que o dano é decorrente exclusivamente de culpa do titular dos dados ou de terceiro.

A alternativa D é a correta.

A questão informa que João realiza o tratamento de dados pessoais em nome do controlador. De acordo com a LGPD (Lei nº 13.709/2018), essa é exatamente a definição de operador.

• Controlador: toma as decisões referentes ao tratamento dos dados pessoais.
• Operador: realiza o tratamento de dados pessoais em nome do controlador.

Além disso, o art. 42, § 1º, da LGPD estabelece que o operador responde solidariamente pelos danos causados pelo tratamento quando:

• descumprir as obrigações da legislação de proteção de dados, ou
• não seguir as instruções lícitas do controlador.

Como o enunciado afirma que João, em violação à legislação de proteção de dados, causou dano moral a Gisele, aplica-se exatamente essa hipótese.

✅ Alternativa D.

A) Incorreta.

João não é o encarregado (DPO), mas sim o operador.

B) Incorreta.

A culpa exclusiva da vítima ou de terceiro é uma hipótese de exclusão de responsabilidade (art. 43), mas a alternativa ignora a regra específica do art. 42, §1º, sobre a responsabilidade solidária do operador quando viola a LGPD ou desobedece instruções lícitas do controlador.

C) Incorreta.

João também não é o encarregado. Além disso, a hipótese de exclusão de responsabilidade está prevista no art. 43, e não nos termos apresentados.

D) Correta.

Reproduz o disposto no art. 42, § 1º, da LGPD.

E) Incorreta.

A LGPD não estabelece prazo decadencial de 90 dias para que o titular comunique formalmente o dano ao controlador.

Memorize:

• Controlador → decide o quê e como tratar os dados.
• Operador → executa o tratamento em nome do controlador.
• Encarregado (DPO) → canal de comunicação entre controlador, titulares e a ANPD.

Gabarito: Letra D.

Fundamento: LGPD (Lei nº 13.709 de 2018).

Seção III

Da Responsabilidade e do Ressarcimento de Danos

Art. 42. O controlador ou o operador que, em razão do exercício de atividade de tratamento de dados pessoais, causar a outrem dano patrimonial, moral, individual ou coletivo, em violação à legislação de proteção de dados pessoais, é obrigado a repará-lo.

§ 1º A fim de assegurar a efetiva indenização ao titular dos dados:

I - o operador responde solidariamente pelos danos causados pelo tratamento quando descumprir as obrigações da legislação de proteção de dados ou quando não tiver seguido as instruções lícitas do controlador, hipótese em que o operador equipara-se ao controlador, salvo nos casos de exclusão previstos no art. 43 desta Lei;