A Lei Geral de Proteção de Dados Pessoais (LGPD), promulgada no Brasil, introduziu a figura do Encarregado pelo Tratamento de Dados Pessoais, também conhecido como Data Protection Officer (DPO), que tem um papel importante que agora passou a ser uma exigência legal para controladores de dados no Brasil, conforme estipulado pelo artigo 41 da LGPD.
Para quem ainda não sabe o artigo 41 da LGPD estabelece que o controlador deve nomear um encarregado pelo tratamento de dados pessoais, onde a identidade e as informações de contato do encarregado devem ser divulgadas publicamente de forma clara, preferencialmente no site do controlador. Além disso, ainda determina que as atividades do encarregado incluem aceitar reclamações e comunicações dos titulares, prestar esclarecimentos e adotar providências; receber comunicações da autoridade nacional e adotar providências; orientar os funcionários e contratados sobre práticas de proteção de dados; e outras atribuições determinadas pelo controlador ou por normas complementares.
Assim como dizia que a autoridade nacional pode definir normas complementares e dispensar a necessidade de nomeação do encarregado conforme a natureza, porte da entidade ou volume de operações de tratamento de dados, foi o que fizeram agora em mais detalhes sobre as responsabilidades, requisitos e obrigações do DPO, conforme estabelecido pela Resolução CD/ANPD nº 18, publicada recentemente, e anunciada pelo Diretor-Presidente Waldemar Gonçalves da Agência Nacional de Proteção de Dados Pessoais durante a conferência CPDP LatAm no Rio de Janeiro, detalha as funções do Encarregado, incluindo a divulgação de sua identidade e informações de contato, os deveres dos agentes de tratamento e as situações de conflito de interesse.
O regulamento visa aumentar a segurança jurídica nas operações de tratamento de dados e foi elaborado com significativa participação social, analisando quase 1200 contribuições de mais de 200 pessoas através de Tomada de Subsídios, Consulta Pública e Audiência Pública, destacando ainda mais a importância do Encarregado na consolidação de uma cultura de proteção de dados no Brasil, fundamental para garantir o direito à proteção dos dados pessoais e promover a mudança na cultura de negócios no país.
Queria resumir então abaixo os principais pontos desta nova norma na minha opinião:
Nomeação do Encarregado:
Todos os controladores de dados são obrigados a nomear um Encarregado, exceto aqueles que se enquadram nas exceções previstas para agentes de tratamento de pequeno porte.
Operadores, embora não obrigados, são incentivados a nomear um Encarregado como uma boa prática que pode mitigar eventuais sanções da ANPD. Na prática, é raro que operadores não sejam também controladores, especialmente em relação aos dados pessoais de seus empregados, tornando a nomeação do Encarregado recomendada para todos os agentes de tratamento.
A nomeação deve ser formalizada por meio de um documento escrito, datado e assinado, que especifica as atividades e formas de atuação do Encarregado. Este documento deve ser disponibilizado à ANPD quando solicitado.
Além disso, é necessário designar formalmente um substituto para o Encarregado em casos de ausência, impedimentos ou vacância, idealmente já mencionado no ato de nomeação inicial.
Critérios para Nomeação:
O Encarregado não precisa ser um empregado do Controlador e pode ser uma pessoa física ou jurídica, como uma empresa que oferece serviços de DPO ou uma consultoria externa.
É possível que um DPO nomeado por controladores em outros países também atue no Brasil, desde que possa cumprir suas atribuições e se comunicar eficazmente com a ANPD e os titulares de dados em português.
Informações Públicas e Qualificações:
As informações do Encarregado, incluindo nome completo ou nome empresarial (no caso de pessoa jurídica), devem ser divulgadas publicamente, junto com meios de comunicação para facilitar o exercício dos direitos dos titulares de dados.
Não é (ainda) exigida certificação específica para atuar como Encarregado, mas conhecimentos em legislação de proteção de dados, regulação e tecnologia da informação são recomendados para uma atuação eficaz. Mas as certificações podem ser úteis para demonstrar comprometimento e contínuo aperfeiçoamento do profissional.
Responsabilidades do Encarregado:
Embora o Encarregado não tenha responsabilidade pessoal pela conformidade com a LGPD, sua atuação é fundamental para auxiliar o agente de tratamento a cumprir as obrigações legais, e entre suas atribuições estão:
Prestar assistência na elaboração, definição e implementação de políticas internas e medidas de segurança.
Registrar e comunicar incidentes de segurança e operações de tratamento de dados pessoais.
Elaborar relatórios de impacto à proteção de dados e supervisionar a mitigação de riscos.
Assegurar a conformidade com as regras de boas práticas e governança.
Facilitar transferências internacionais de dados de forma segura e em conformidade com a legislação.
Obrigações do Agente de Tratamento:
O agente de tratamento deve fornecer os recursos necessários para que o Encarregado desempenhe suas funções, garantir autonomia técnica, assegurar meios eficazes de comunicação com os titulares de dados e permitir acesso direto à alta administração e áreas responsáveis por decisões estratégicas.
Conflitos de Interesse:
O Encarregado não pode ter conflitos de interesse no exercício de suas funções. Caso identificado, o Encarregado deve ser substituído. Conflitos podem ocorrer se o Encarregado acumular funções que envolvam decisões sobre tratamento de dados pessoais, especialmente em cargos sêniores de gestão ou administração.
Como podemos ver acima este papel do Encarregado é bem importante para garantir a conformidade com a LGPD, protegendo os direitos dos titulares de dados e assegurando que as práticas de tratamento de dados estejam alinhadas com os requisitos legais e regulatórios, pois ele atua como um elo vital entre o controlador, a ANPD e os titulares de dados, promovendo uma cultura de proteção de dados dentro da organização.
Por fim deixo a dica de quem quer saber mais para ler a resolução completa em:
https://www.in.gov.br/en/web/dou/-/resolucao-cd/anpd-n-18-de-16-de-julho-de-2024-572632074
Assim como conheça a Lei Geral de Proteção de Dados Pessoais em:
https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm
Material disponibilizado pela Okai.
