Na rede de franquias, o controlador dos dados dos clientes é quem decide a finalidade e os meios do tratamento, e essa posição pode caber ao franqueador, ao franqueado ou aos dois em conjunto, conforme a atividade. O contrato organiza os papéis, mas a LGPD examina quem de fato toma as decisões, e a responsabilidade perante o cliente acompanha esse exame.

O que a LGPD entende por controlador e operador

A Lei 13.709/2018 (LGPD) define controlador, no art. 5º, VI, como a pessoa natural ou jurídica “a quem competem as decisões referentes ao tratamento de dados pessoais”. O operador, pelo art. 5º, VII, é quem “realiza o tratamento de dados pessoais em nome do controlador”. O art. 5º, IX, reúne os dois sob a expressão agentes de tratamento.

O controlador escolhe a base legal do art. 7º, responde aos pedidos dos titulares do art. 18 e comunica incidentes, nos termos do art. 48. O operador segue as instruções do controlador (art. 39), e ambos mantêm registro das operações (art. 37).

Na franquia, a Lei 13.966/2019 descreve o sistema como a autorização para uso de marca e de “métodos e sistemas de implantação e administração de negócio” desenvolvidos pelo franqueador (art. 1º). Quando esses métodos incluem ferramentas de relacionamento com o cliente, o franqueador deixa de ser mero fornecedor de padrão e passa a participar das decisões sobre dados pessoais.

Controladoria conjunta segundo a ANPD

A LGPD não usa a expressão controladoria conjunta, mas o art. 42, § 1º, II, trata dos “controladores que estiverem diretamente envolvidos no tratamento” e impõe responsabilidade solidária a esses controladores. O Guia Orientativo para Definições dos Agentes de Tratamento de Dados Pessoais e do Encarregado, publicado pela ANPD em versão 2.0 em abril de 2022, desenvolveu o conceito.

Segundo o Guia, há controladoria conjunta quando mais de um controlador tem poder de decisão sobre o tratamento, quando existe interesse mútuo de dois ou mais controladores, com base em finalidades próprias, sobre o mesmo tratamento, e quando dois ou mais controladores tomam decisões comuns ou convergentes sobre as finalidades e os elementos essenciais do tratamento.

O critério é funcional. Chamar o franqueado de operador no contrato não transforma a unidade em operadora quando o franqueado decide, por conta própria, usar a base para campanhas locais. Da mesma forma, o franqueador que define campos obrigatórios de cadastro, regras de pontuação e segmentação de campanhas dificilmente sustentará a posição de simples prestador de tecnologia.

Como os papéis se distribuem nas atividades típicas da rede

CRM central e aplicativo de fidelidade

Quando o franqueador mantém um CRM único, define o que será coletado, para quais finalidades e por quanto tempo, e usa a base para inteligência de rede e campanhas nacionais, a posição de controlador do franqueador é a leitura mais consistente. Se o franqueado também usa esse cadastro para ações próprias, com autonomia sobre finalidade, o arranjo tende à controladoria conjunta. No aplicativo de fidelidade, a política de privacidade e o registro de operações precisam refletir quem decide sobre pontos, perfis de consumo e comunicações.

E-commerce da marca

No e-commerce operado pelo franqueador, com retirada ou entrega pela unidade, o franqueador costuma ser controlador do cadastro e do pedido. A unidade que recebe dados apenas para cumprir a entrega, sem uso próprio, pode ser qualificada como operadora nessa etapa, desde que siga instruções documentadas. Se a unidade passa a aproveitar o contato do cliente para ofertas locais, surge uma finalidade nova, com controlador próprio e base legal própria.

Dados coletados no balcão da loja

Dados coletados diretamente pela unidade para emissão de nota fiscal, cadastro de crediário ou atendimento pós-venda são, em regra, tratados pelo franqueado como controlador, porque a unidade decide sobre esses tratamentos para cumprir obrigações próprias. O manual de franquia pode padronizar a coleta, mas a padronização operacional, por si, não desloca a controladoria para o franqueador. A análise muda quando o manual obriga a unidade a inserir os dados no sistema central para uso da rede: nesse ponto, o franqueador passa a decidir sobre aquele tratamento.

Responsabilidade solidária e direito de regresso

O art. 42 da LGPD obriga o controlador ou o operador que causar dano patrimonial ou moral, em violação à legislação de proteção de dados, a repará-lo. O § 1º, I, estabelece que o operador responde solidariamente quando descumpre a legislação ou não segue as instruções lícitas do controlador, hipótese em que se equipara ao controlador. O § 1º, II, prevê a solidariedade entre os controladores diretamente envolvidos no tratamento. O § 4º assegura regresso a quem reparou o dano.

Entre as excludentes do art. 43 está não ter realizado o tratamento atribuído. Para o franqueador, essa prova depende de registro de operações, contratos com fornecedores e cláusulas que delimitem o que cada parte faz.

No campo do dano ao titular, o Superior Tribunal de Justiça, no AREsp 2.130.619/SP (Segunda Turma, Rel. Min. Francisco Falcão, julgado em 7/3/2023), entendeu que o vazamento de dados pessoais comuns não gera dano moral presumido, cabendo ao titular demonstrar o prejuízo. O precedente não afasta a responsabilidade administrativa perante a ANPD.

Compartilhamento de dados entre franqueador e franqueado

O fluxo de dados entre unidade e franqueadora caracteriza uso compartilhado, definido no art. 5º, XVI, da LGPD. Quando a base legal for o consentimento, o art. 7º, § 5º, exige consentimento específico do titular para que o controlador comunique ou compartilhe os dados com outros controladores, ressalvadas as hipóteses de dispensa. Na prática, o termo de cadastro precisa informar ao cliente que os dados circulam na rede e para quais finalidades.

Para ações que não dependem de consentimento, como a análise de desempenho de campanhas da rede, o legítimo interesse do art. 7º, IX, pode ser a base adequada, desde que observados os requisitos do art. 10, entre os quais a transparência e o uso apenas dos dados estritamente necessários.

O que o contrato de franquia e o manual devem prever

A divisão de papéis se materializa no contrato, no manual e em um acordo de tratamento de dados, que costuma tratar de:

• identificação de cada atividade de tratamento e do papel de cada parte (controlador, operador ou controladores conjuntos);
• finalidades permitidas para uso da base pela unidade e pela franqueadora;
• bases legais adotadas e responsável pela coleta de consentimento, quando necessário;
• canal de atendimento aos titulares e prazo interno para repasse de pedidos entre franqueado e franqueador;
• medidas de segurança mínimas, em linha com o art. 46, e padrões de sistemas previstos no art. 49;
• dever de comunicação imediata de incidentes entre as partes;
• auditoria de conformidade e rateio de custos de adequação;
• destino dos dados no fim do contrato.

O art. 50 autoriza controladores e operadores a formular regras de boas práticas e governança, e o franqueador, por concentrar o padrão da rede, pode instituir um programa aplicável a todas as unidades.

Incidentes de segurança na rede

O art. 48 da LGPD obriga o controlador a comunicar à ANPD e aos titulares o incidente que possa acarretar risco ou dano relevante. A Resolução CD/ANPD nº 15, de 24 de abril de 2024, fixou o prazo de três dias úteis para essa comunicação, contado do conhecimento de que o incidente afetou dados pessoais, com prazo em dobro para agentes de pequeno porte. O controlador deve manter registro dos incidentes por no mínimo cinco anos.

Em rede com sistemas integrados, um incidente no CRM central atinge clientes de todas as unidades, e o acordo de tratamento de dados deve definir quem comunica e como as informações de cada unidade são reunidas.

Encarregado e agentes de pequeno porte

O art. 41 exige que o controlador indique encarregado. A Resolução CD/ANPD nº 18, de 16 de julho de 2024, regulamentou a atuação do encarregado, exigindo indicação por ato formal, escrito, datado e assinado, e divulgação pública da identidade e do contato. Para o operador, a indicação é facultativa, embora recomendável.

Muitas unidades franqueadas se enquadram como agentes de tratamento de pequeno porte, disciplinados pela Resolução CD/ANPD nº 2, de 27 de janeiro de 2022, que prevê dispensa de indicação de encarregado para esses agentes, com a obrigação de manter canal de comunicação com os titulares.

Fim do contrato: a quem fica a base de clientes

O término da franquia é o momento em que a divisão de papéis mais pesa. A Lei 13.966/2019, no art. 2º, XV, exige que a Circular de Oferta de Franquia informe a situação do franqueado após a expiração do contrato quanto a know-how, informações confidenciais e implantação de atividade concorrente.

A LGPD acrescenta um filtro. Dados tratados pelo franqueado como controlador, para finalidades próprias, seguem as regras de término do tratamento dos arts. 15 e 16, que admitem a conservação para cumprimento de obrigação legal, por exemplo. Dados tratados pela unidade como operadora devem ser devolvidos ou eliminados conforme instrução da franqueadora. A cláusula que determina a transferência da base à franqueadora deve respeitar a finalidade informada ao cliente no momento da coleta, sob pena de tratamento irregular nos termos do art. 44.

A nova ANPD e a fiscalização

A Lei 15.352, de 25 de fevereiro de 2026, conversão da Medida Provisória 1.317/2025, transformou a ANPD em Agência Nacional de Proteção de Dados, autarquia de natureza especial com autonomia funcional, técnica, decisória, administrativa e financeira (art. 55-A da LGPD).

As sanções continuam previstas no art. 52, que inclui advertência, multa simples de até 2% do faturamento no Brasil, limitada a R$ 50 milhões por infração, publicização, bloqueio e eliminação de dados. A Resolução CD/ANPD nº 4, de 24 de fevereiro de 2023, disciplina a dosimetria, e o próprio art. 52, § 1º, IX, inclui a adoção de política de boas práticas e governança entre os parâmetros considerados na aplicação da sanção.

Perguntas frequentes

O franqueador pode ser responsabilizado por um vazamento ocorrido na unidade?

Pode, se o franqueador for controlador ou controlador conjunto do tratamento de que decorreu o dano, pelo art. 42, § 1º, II, da LGPD. Se a unidade tratava os dados como controladora exclusiva e o franqueador não participou do tratamento, o art. 43, I, oferece a excludente, que depende de prova documental.

Basta o contrato dizer que o franqueado é operador?

Não. A qualificação depende de quem decide sobre finalidade e meios. O contrato serve como prova, mas a ANPD e o Judiciário examinam a prática.

A franqueadora pode exigir que a unidade transfira a base de clientes ao final do contrato?

Pode prever essa obrigação, desde que a transferência seja compatível com a finalidade informada ao titular na coleta e com a base legal adotada. Dados que a unidade deve conservar por obrigação legal seguem as regras do art. 16 da LGPD.

Cada franqueado precisa ter encarregado?

O franqueado que atua como controlador deve indicar encarregado, salvo se enquadrado como agente de pequeno porte nos termos da Resolução CD/ANPD nº 2/2022, caso em que deve manter canal de comunicação com os titulares.

Quem comunica um incidente no sistema central da rede?

O controlador do tratamento afetado, no prazo de três dias úteis fixado pela Resolução CD/ANPD nº 15/2024. Havendo controladoria conjunta, o acordo entre as partes deve definir o responsável pela comunicação e o fluxo de informações entre as unidades.

Leia também

• Até onde pode ir a auditoria do franqueador na unidade
• Franqueado é consumidor perante o franqueador? Como o contrato reduz esse risco
• Cliente processou a unidade: a franqueadora responde solidariamente pelo CDC?

Se a sua empresa está diante dessa situação, a análise do caso concreto por um advogado é o passo seguinte. Entre em contato com nossa equipe.

---

THAÍS SALUM BONINI
OAB/SP 292.666
Sócia Especialista em Franquias da Artuni, Frazatti e Bonini Sociedade de Advogados