Guia: DPO e Encarregado de Dados

A figura do Encarregado de Dados Pessoais, também conhecido como Data Protection Officer (DPO), emergiu como um pilar fundamental na estrutura de governança de dados no Brasil, especialmente após a entrada em vigor da Lei Geral de Proteção de Dados (LGPD - Lei nº 13.709/2018). Este artigo tem como objetivo fornecer um guia abrangente sobre a função do DPO, abordando suas responsabilidades, requisitos, aspectos legais e práticos, com o intuito de auxiliar advogados e profissionais da área na compreensão e atuação nesse cenário.

O Encarregado de Dados (DPO) na LGPD

A LGPD, em seu artigo 5º, inciso VIII, define o Encarregado como a "pessoa indicada pelo controlador e operador para atuar como canal de comunicação entre o controlador, os titulares dos dados e a Autoridade Nacional de Proteção de Dados (ANPD)". Essa definição, embora concisa, abrange um leque vasto de responsabilidades que vão além da simples comunicação. O DPO atua como o maestro da proteção de dados dentro de uma organização, garantindo que as atividades de tratamento estejam em conformidade com a legislação e os princípios éticos.

Responsabilidades do DPO

O artigo 41 da LGPD detalha as atividades do Encarregado, que incluem:

• Aceitar reclamações e comunicações dos titulares: O DPO é o ponto de contato para os indivíduos que desejam exercer seus direitos previstos na LGPD (art. 18), como acesso, correção, anonimização, bloqueio ou eliminação de dados, além de portabilidade e revogação do consentimento.
• Prestar esclarecimentos e adotar providências: O DPO deve responder de forma clara e tempestiva às solicitações dos titulares, garantindo o pleno exercício de seus direitos.
• Receber comunicações da ANPD e adotar providências: O DPO atua como interlocutor da organização perante a ANPD, respondendo a ofícios, prestando informações e implementando as medidas corretivas ou preventivas determinadas pela autoridade.
• Orientar os funcionários e os contratados: O DPO tem a função de disseminar a cultura de proteção de dados dentro da organização, treinando e orientando colaboradores e prestadores de serviço sobre as melhores práticas e as obrigações legais.
• Executar as demais atribuições determinadas pelo controlador ou estabelecidas em normas complementares: O DPO pode ter outras responsabilidades designadas pela organização, desde que compatíveis com sua função principal.

A ANPD, por meio de resoluções e guias orientativos, tem detalhado as responsabilidades do DPO, enfatizando a importância de sua atuação proativa e independente.

Requisitos e Perfil do DPO

A LGPD não exige formação específica ou certificação para o cargo de DPO. No entanto, a complexidade da função exige um perfil multidisciplinar, com conhecimentos em:

• Direito Digital e Proteção de Dados: Profundo conhecimento da LGPD,GDPR (Regulamento Geral de Proteção de Dados da União Europeia) e outras normas relevantes.
• Tecnologia da Informação e Segurança da Informação: Compreensão de sistemas, redes, criptografia e outras medidas técnicas de segurança.
• Governança Corporativa e Gestão de Riscos: Capacidade de integrar a proteção de dados aos processos de negócio e gerenciar os riscos associados ao tratamento de dados.
• Comunicação e Relacionamento: Habilidade para se comunicar de forma clara e eficaz com diferentes públicos, incluindo titulares, colaboradores, diretoria e autoridades.

A ANPD, em seu Guia Orientativo sobre o Encarregado, recomenda que a escolha do profissional considere a natureza, o volume e os riscos das atividades de tratamento de dados da organização. Em organizações com tratamento de dados complexo ou de alto risco, a contratação de um DPO com formação jurídica e experiência na área é altamente recomendável.

A Obrigatoriedade da Indicação do DPO

A regra geral da LGPD (art. 41) é que o controlador deve indicar um Encarregado. No entanto, a ANPD, no exercício de sua competência regulamentar, estabeleceu hipóteses de dispensa dessa obrigação, considerando o porte da organização e o risco da atividade de tratamento.

A Resolução CD/ANPD nº 2/2022 regulamentou a aplicação da LGPD para agentes de tratamento de pequeno porte (microempresas, empresas de pequeno porte, startups, etc.). Essa resolução dispensa a indicação do DPO para esses agentes, desde que não realizem tratamento de alto risco em larga escala. É crucial analisar as diretrizes da ANPD para determinar a obrigatoriedade da indicação em cada caso concreto.

Aspectos Práticos e Contratuais

A relação entre o DPO e a organização pode ser estabelecida por meio de contrato de trabalho (CLT) ou de prestação de serviços (PJ). Independentemente do vínculo, é fundamental garantir a independência do DPO, evitando conflitos de interesse.

Dicas Práticas para Advogados

• Elaboração de Contratos: Na redação de contratos de trabalho ou prestação de serviços para o DPO, é essencial detalhar as responsabilidades, a autonomia, os recursos disponíveis e as formas de comunicação.
• Due Diligence: Ao assessorar organizações na adequação à LGPD, a análise da estrutura de governança de dados, incluindo a atuação do DPO, é um passo fundamental.
• Treinamento e Conscientização: A promoção de treinamentos e workshops sobre proteção de dados para colaboradores e diretoria, em conjunto com o DPO, é essencial para a criação de uma cultura de privacidade.
• Atuação em Incidentes de Segurança: Em caso de vazamento de dados ou outros incidentes, o advogado deve atuar em conjunto com o DPO para comunicar a ANPD e os titulares, além de adotar as medidas legais cabíveis.

Jurisprudência e a Evolução do Tema

A jurisprudência sobre a LGPD e a atuação do DPO ainda está em construção no Brasil. No entanto, decisões recentes do Superior Tribunal de Justiça (STJ) e dos Tribunais de Justiça (TJs) têm demonstrado a importância da figura do Encarregado na demonstração da boa-fé e da conformidade da organização.

O STJ, em julgamentos recentes, tem reconhecido a responsabilidade civil das empresas por danos decorrentes do vazamento de dados, ressaltando a importância da adoção de medidas preventivas e da atuação proativa do DPO na mitigação dos riscos.

Os TJs, por sua vez, têm analisado casos envolvendo o exercício de direitos pelos titulares, destacando a necessidade de respostas claras e tempestivas por parte do DPO. A ausência de resposta ou a recusa injustificada em atender às solicitações pode configurar dano moral, ensejando indenização.

A evolução da jurisprudência, aliada às regulamentações da ANPD, contribuirá para a consolidação da função do DPO e para a definição de padrões de atuação e responsabilidade.

Conclusão

A figura do Encarregado de Dados (DPO) é essencial para a efetividade da LGPD e para a construção de um ambiente digital seguro e confiável. A atuação do DPO exige conhecimento multidisciplinar, independência e proatividade, sendo fundamental para a mitigação de riscos e para a garantia dos direitos dos titulares. O advogado, nesse cenário, desempenha um papel crucial na assessoria jurídica, na elaboração de contratos, na gestão de incidentes e na defesa dos interesses da organização, contribuindo para a construção de uma cultura de proteção de dados no Brasil. A constante atualização sobre a legislação (incluindo as normas editadas até 2026), a jurisprudência e as diretrizes da ANPD é indispensável para a atuação eficaz nesse campo em constante evolução.

Aviso: Este artigo tem caráter informativo e didático. Deve ser verificado e adaptado a cada caso concreto por profissional habilitado. Acesse advogando.ai para mais recursos.