RESOLUÇÃO CD/ANPD Nº 18, DE 16 DE JULHO DE 2024

O agente de tratamento deve prover meios humanos, técnicos e administrativos necessários para o exercício das atribuições do encarregado.

O agente de tratamento deve solicitar assistência e orientação do encarregado em atividades e decisões estratégicas referentes ao tratamento de dados pessoais.

O agente de tratamento deve garantir autonomia técnica ao encarregado, livre de interferências indevidas na orientação sobre práticas de proteção de dados.

O agente de tratamento deve assegurar meios céleres, eficazes e adequados para comunicação dos titulares com o encarregado e exercício de direitos.

O encarregado deve ter acesso direto à alta hierarquia, aos responsáveis por decisões estratégicas de tratamento e às demais áreas da organização.

O agente de tratamento permanece responsável pela conformidade do tratamento de dados pessoais nos termos da LGPD.

O encarregado pode ser pessoa natural, integrante ou externa à organização do agente, ou pessoa jurídica.

O encarregado deve ser capaz de comunicar-se com titulares e com a ANPD de forma clara, precisa e em língua portuguesa.

O exercício da atividade de encarregado não pressupõe inscrição em entidade, certificação ou formação profissional específica.

O encarregado deve aceitar reclamações e comunicações dos titulares, prestar esclarecimentos e adotar providências cabíveis.

O encarregado deve receber comunicações da ANPD, adotar providências, encaminhar demandas internamente e indicar representante quando aplicável.

O encarregado deve orientar funcionários e contratados sobre práticas a serem adotadas em relação à proteção de dados pessoais.

O encarregado deve executar outras atribuições determinadas pelo agente de tratamento ou estabelecidas em normas complementares.

O encarregado deve prestar assistência e orientação sobre registro e comunicação de incidente, registro das operações de tratamento e relatório de impacto.

O encarregado deve prestar assistência sobre mecanismos internos de supervisão e mitigação de riscos, medidas de segurança e políticas internas de proteção de dados.

O encarregado deve prestar assistência sobre boas práticas, programa de governança em privacidade, produtos e serviços com privacidade por padrão e decisões estratégicas.

O encarregado deve prestar assistência sobre instrumentos contratuais relacionados ao tratamento de dados pessoais e transferências internacionais de dados.

O desempenho das atividades dos arts. 15 e 16 não torna o encarregado responsável perante a ANPD pela conformidade do tratamento realizado pelo controlador.

O encarregado deve atuar com ética, integridade e autonomia técnica, evitando situações que possam configurar conflito de interesse.

O encarregado pode acumular funções e atuar para mais de um agente de tratamento se atender plenamente cada agente e inexistir conflito de interesse.

O conflito pode decorrer de atribuições internas, atuação para agentes distintos ou acúmulo com decisões estratégicas de tratamento pelo controlador.

A existência de conflito de interesse será verificada no caso concreto e poderá ensejar sanção ao agente de tratamento.

O Regulamento estabelece normas complementares sobre indicação, definição, atribuições e atuação do encarregado previsto na LGPD.

O encarregado deve declarar ao agente de tratamento qualquer situação que possa configurar conflito de interesse.

O agente deve evitar que o encarregado exerça atribuições conflitantes e, diante de risco de conflito, não indicar, mitigar o risco ou substituir a pessoa designada.

Agentes de tratamento são o controlador e o operador; controlador decide sobre o tratamento e operador realiza tratamento em nome do controlador.

Conflito de interesse é situação que possa comprometer, influenciar ou afetar indevidamente a objetividade e o julgamento técnico do encarregado.

O Regulamento adota definições de dado pessoal, titular e tratamento para delimitar o objeto das atividades relacionadas ao encarregado.

Encarregado é a pessoa indicada pelo controlador e operador para atuar como canal entre controlador, titulares e a ANPD.

A indicação do encarregado deve ser realizada por ato formal do agente de tratamento, com formas de atuação e atividades a desempenhar.

O ato formal deve ser documento escrito, datado e assinado, demonstrando de forma clara e inequívoca a intenção de designar pessoa natural ou jurídica.

O documento de indicação do encarregado deve ser apresentado à ANPD quando solicitado.

Agentes de tratamento de pequeno porte dispensados de indicar encarregado devem disponibilizar canal de comunicação com o titular de dados.

Nas ausências, impedimentos e vacâncias do encarregado, a função deve ser exercida por substituto formalmente designado.

Ausências, impedimentos e vacâncias do encarregado não podem impedir o exercício de direitos dos titulares nem o atendimento às comunicações da ANPD.

Pessoas jurídicas de direito público devem indicar encarregado quando realizarem operações de tratamento de dados pessoais.

A indicação de encarregado por pessoa jurídica de direito público deve ser publicada no Diário Oficial correspondente à esfera de atuação.

Entes despersonalizados da Administração Pública com obrigações típicas de controlador podem indicar encarregado próprio conforme contexto e volume dos tratamentos.

A indicação de encarregado por operadores é facultativa e pode ser considerada política de boas práticas de governança, se observadas as normas do Regulamento.

Cabe ao agente de tratamento estabelecer qualificações profissionais necessárias ao encarregado, considerando conhecimento, contexto, volume e risco dos tratamentos.

O agente de tratamento deve divulgar e manter atualizadas a identidade e as informações de contato do encarregado.

A identidade e contato do encarregado devem ser divulgados publicamente, de forma clara e objetiva, em local de destaque e fácil acesso no sítio eletrônico.

Agente de tratamento sem sítio eletrônico pode divulgar identidade e contato por outros meios disponíveis, especialmente os usados para contato com titulares.

A divulgação deve conter nome completo ou dados da pessoa jurídica e pessoa natural responsável, além de meios de comunicação para titulares e ANPD.

A Resolução aprova o Regulamento sobre a atuação do encarregado pelo tratamento de dados pessoais, constante do Anexo.

A Resolução entra em vigor na data de sua publicação oficial.