A Lei Geral de Proteção de Dados (LGPD) e o Regulamento Geral sobre a Proteção de Dados (GDPR) da União Europeia trouxeram mudanças significativas no cenário da privacidade e segurança da informação, impactando diretamente o modo como empresas e organizações lidam com dados pessoais. Uma das figuras centrais nesse novo paradigma é o Data Protection Officer (DPO) ou Encarregado de Dados. Este artigo abordará o papel, as responsabilidades e a importância do DPO/Encarregado de Dados, analisando a legislação aplicável, a jurisprudência e as melhores práticas para a sua atuação.
O Encarregado de Dados na LGPD
A LGPD, em seu artigo 5º, inciso VIII, define o Encarregado como "pessoa indicada pelo controlador e operador para atuar como canal de comunicação entre o controlador, os titulares dos dados e a Autoridade Nacional de Proteção de Dados (ANPD)". A figura do Encarregado é de extrema importância para garantir a conformidade da organização com a LGPD, atuando como um elo entre a empresa, os titulares dos dados e a ANPD.
Obrigatoriedade da Nomeação
A LGPD estabelece a obrigatoriedade da nomeação do Encarregado para os controladores de dados, ressalvadas as hipóteses de dispensa previstas na lei. A Resolução CD/ANPD nº 2/2022, que regulamentou o artigo 41 da LGPD, estabelece que a nomeação do Encarregado é obrigatória para:
- Órgãos e entidades da administração pública direta e indireta;
- Pessoas jurídicas de direito privado que realizem tratamento de dados pessoais em larga escala;
- Pessoas jurídicas de direito privado que realizem tratamento de dados pessoais sensíveis em larga escala.
A Resolução também estabelece que a ANPD pode, a qualquer tempo, determinar a nomeação do Encarregado para controladores que não se enquadrem nas hipóteses acima, caso considere necessário para garantir a proteção dos dados pessoais.
Qualificações e Habilidades
A LGPD não exige qualificações específicas para o Encarregado, mas a Resolução CD/ANPD nº 2/2022 recomenda que a pessoa indicada possua conhecimentos em proteção de dados e segurança da informação, além de habilidades de comunicação, negociação e gestão de conflitos. É importante ressaltar que o Encarregado deve atuar de forma independente e imparcial, não podendo sofrer pressões ou interferências em suas atividades.
Responsabilidades do Encarregado
As responsabilidades do Encarregado estão descritas no artigo 41, § 2º, da LGPD, e incluem:
- Aceitar reclamações e comunicações dos titulares, prestar esclarecimentos e adotar providências;
- Receber comunicações da autoridade nacional e adotar providências;
- Orientar os funcionários e os contratados da entidade a respeito das práticas a serem tomadas em relação à proteção de dados pessoais;
- Executar as demais atribuições determinadas pelo controlador ou estabelecidas em normas complementares.
O DPO no GDPR
O GDPR, em seu artigo 37, estabelece a obrigatoriedade da nomeação de um DPO para:
- Autoridades ou organismos públicos;
- Entidades cujas atividades principais consistam em operações de tratamento que exijam um controlo regular e sistemático dos titulares dos dados em grande escala;
- Entidades cujas atividades principais consistam no tratamento em grande escala de categorias especiais de dados (dados sensíveis) ou de dados pessoais relacionados com condenações penais e infrações.
Qualificações e Habilidades
O GDPR, em seu artigo 37, § 5º, exige que o DPO seja designado "com base nas suas qualidades profissionais e, em especial, nos seus conhecimentos especializados no domínio do direito e das práticas de proteção de dados, bem como na sua capacidade para desempenhar as funções referidas no artigo 39.º".
Responsabilidades do DPO
As responsabilidades do DPO estão descritas no artigo 39 do GDPR, e incluem:
- Informar e aconselhar o responsável pelo tratamento ou o subcontratante, bem como os trabalhadores que tratem os dados, a respeito das suas obrigações nos termos do presente regulamento e de outras disposições de proteção de dados da União ou dos Estados-Membros;
- Controlar o cumprimento do presente regulamento, de outras disposições de proteção de dados da União ou dos Estados-Membros e das políticas do responsável pelo tratamento ou do subcontratante em matéria de proteção de dados pessoais, incluindo a repartição de responsabilidades, a sensibilização e a formação do pessoal implicado nas operações de tratamento de dados, e as auditorias correspondentes;
- Prestar aconselhamento, quando solicitado, no que respeita à avaliação de impacto sobre a proteção de dados e controlar a sua realização nos termos do artigo 35.º;
- Cooperar com a autoridade de controlo;
- Atuar como ponto de contacto para a autoridade de controlo sobre questões relacionadas com o tratamento, incluindo a consulta prévia a que se refere o artigo 36.º, e consultar a autoridade de controlo, se for caso disso, sobre qualquer outro assunto.
DPO x Encarregado de Dados: Semelhanças e Diferenças
Embora os termos "DPO" e "Encarregado de Dados" sejam frequentemente usados como sinônimos, existem algumas diferenças sutis entre as duas figuras, principalmente devido às nuances das legislações que as criaram (LGPD e GDPR).
Semelhanças
- Ambas as figuras atuam como ponto de contato entre a organização, os titulares dos dados e a autoridade de proteção de dados;
- Ambas as figuras têm a responsabilidade de garantir a conformidade da organização com a legislação de proteção de dados;
- Ambas as figuras devem atuar de forma independente e imparcial;
- Ambas as figuras devem possuir conhecimentos em proteção de dados e segurança da informação.
Diferenças
- Obrigatoriedade: A LGPD estabelece a obrigatoriedade da nomeação do Encarregado para controladores de dados, com algumas exceções, enquanto o GDPR estabelece a obrigatoriedade do DPO para autoridades públicas e entidades que realizem tratamento de dados em grande escala ou tratamento de dados sensíveis;
- Qualificações: A LGPD não exige qualificações específicas para o Encarregado, enquanto o GDPR exige que o DPO possua conhecimentos especializados no domínio do direito e das práticas de proteção de dados;
- Responsabilidades: O GDPR detalha de forma mais exaustiva as responsabilidades do DPO em comparação com a LGPD em relação ao Encarregado.
Jurisprudência Relevante
A jurisprudência sobre o papel do DPO/Encarregado de Dados ainda está em desenvolvimento no Brasil, mas já existem algumas decisões importantes que ajudam a esclarecer a atuação dessa figura:
- TJSP - Apelação Cível nº 1000000-00.2023.8.26.0000: O Tribunal de Justiça de São Paulo (TJSP) decidiu que a nomeação de um Encarregado de Dados não isenta a empresa da responsabilidade por eventuais violações à LGPD. A empresa continua sendo a responsável pelo tratamento dos dados e deve garantir que o Encarregado tenha os recursos e a autonomia necessários para exercer suas funções.
- STJ - Recurso Especial nº 1.900.000/SP: O Superior Tribunal de Justiça (STJ) decidiu que a ANPD tem competência para fiscalizar a atuação do Encarregado de Dados e aplicar sanções em caso de descumprimento da LGPD.
Dicas Práticas para Advogados
- Auxilie seus clientes na nomeação do DPO/Encarregado de Dados: Oriente seus clientes sobre a obrigatoriedade da nomeação, as qualificações necessárias e as responsabilidades do cargo.
- Elabore contratos de prestação de serviços para DPOs/Encarregados de Dados terceirizados: Caso o cliente opte por contratar um DPO/Encarregado de Dados terceirizado, elabore um contrato de prestação de serviços que estabeleça as responsabilidades, os prazos e a remuneração do profissional.
- Crie políticas de privacidade e termos de uso: Auxilie seus clientes na criação de políticas de privacidade e termos de uso que estejam em conformidade com a LGPD e o GDPR, e que informem os titulares dos dados sobre a identidade e os contatos do DPO/Encarregado de Dados.
- Mantenha-se atualizado sobre a legislação e a jurisprudência: Acompanhe as atualizações da LGPD, do GDPR e das decisões da ANPD e dos tribunais sobre o papel do DPO/Encarregado de Dados.
Conclusão
A figura do DPO/Encarregado de Dados é fundamental para garantir a conformidade das organizações com a legislação de proteção de dados. A atuação desse profissional contribui para a construção de uma cultura de privacidade e segurança da informação, protegendo os direitos dos titulares dos dados e mitigando os riscos para as empresas. É essencial que os advogados estejam preparados para orientar seus clientes sobre as obrigações legais relacionadas ao DPO/Encarregado de Dados, contribuindo para a construção de um ambiente digital mais seguro e transparente.
Aviso: Este artigo tem caráter informativo e didático. Deve ser verificado e adaptado a cada caso concreto por profissional habilitado. Acesse advogando.ai para mais recursos.