LGPD: DPO e Encarregado de Dados

A Lei Geral de Proteção de Dados Pessoais (LGPD), Lei nº 13.709/2018, trouxe um novo paradigma para o tratamento de dados no Brasil, exigindo das empresas adaptações significativas em suas práticas. Dentre as inovações, destaca-se a figura do Encarregado de Dados Pessoais, ou Data Protection Officer (DPO), cuja função é atuar como ponte entre a organização, os titulares dos dados e a Autoridade Nacional de Proteção de Dados (ANPD). Este artigo aprofundará os aspectos legais, práticos e jurisprudenciais que envolvem essa figura central da LGPD, oferecendo um guia completo para advogados e profissionais da área.

A Figura do Encarregado de Dados Pessoais (DPO) na LGPD

A LGPD estabelece a obrigatoriedade da nomeação de um Encarregado pelo controlador, responsável pelo tratamento de dados pessoais (artigo 41, caput). Essa figura, inspirada no DPO do Regulamento Geral de Proteção de Dados da União Europeia (GDPR), atua como um facilitador e orientador dentro da organização, assegurando o cumprimento das normas de proteção de dados.

Definição e Competências

O Encarregado, segundo a LGPD (artigo 5º, inciso VIII), é a pessoa indicada pelo controlador e operador para atuar como canal de comunicação entre o controlador, os titulares dos dados e a ANPD. Suas principais atribuições, detalhadas no artigo 41, § 2º, incluem:

1. Aceitar reclamações e comunicações dos titulares: O Encarregado deve estar acessível para receber demandas dos titulares de dados, prestar esclarecimentos e adotar providências.
2. Receber comunicações da ANPD: O Encarregado atua como ponto focal para a ANPD, recebendo notificações, respondendo a questionamentos e adotando medidas exigidas pela autoridade.
3. Orientar os funcionários e os contratados: Cabe ao Encarregado disseminar a cultura de proteção de dados na organização, orientando sobre as práticas a serem tomadas em relação ao tratamento de dados pessoais.
4. Executar as demais atribuições determinadas pelo controlador ou estabelecidas em normas complementares: A LGPD permite que o controlador atribua outras funções ao Encarregado, desde que relacionadas à proteção de dados e que não gerem conflito de interesses.

Perfil e Qualificações do DPO

A LGPD não exige formação específica para o cargo de Encarregado. No entanto, a complexidade da função demanda conhecimentos multidisciplinares, incluindo:

• Direito Digital e Proteção de Dados: Profundo conhecimento da LGPD, GDPR e normas correlatas.
• Segurança da Informação: Compreensão de princípios e práticas de segurança da informação, como criptografia, controle de acesso e gestão de incidentes.
• Gestão de Riscos: Habilidade para identificar, avaliar e mitigar riscos relacionados ao tratamento de dados.
• Comunicação e Relacionamento: Capacidade de se comunicar de forma clara e eficaz com diferentes públicos, como titulares, funcionários, diretoria e ANPD.

A ausência de exigência de formação específica não exime o controlador da responsabilidade de nomear um profissional qualificado. A escolha de um Encarregado inexperiente ou sem o conhecimento necessário pode resultar em falhas na implementação da LGPD e, consequentemente, em sanções por parte da ANPD.

A Questão da Exclusividade e Conflito de Interesses

A LGPD não veda que o Encarregado acumule outras funções na organização, desde que não haja conflito de interesses. O DPO deve ter autonomia e independência para exercer suas atribuições de forma imparcial. Funções que envolvam a tomada de decisões sobre o tratamento de dados (como diretores de marketing, RH ou TI) podem gerar conflitos, comprometendo a atuação do Encarregado. A independência é crucial para garantir que as orientações do DPO sejam baseadas exclusivamente na lei e nas melhores práticas, sem influência de interesses comerciais ou operacionais.

Jurisprudência e a Atuação do DPO

A jurisprudência brasileira tem se consolidado no sentido de reconhecer a importância do Encarregado na garantia dos direitos dos titulares de dados. Decisões recentes do Superior Tribunal de Justiça (STJ) e de Tribunais de Justiça (TJs) têm enfatizado a necessidade de um canal de comunicação eficaz e a responsabilidade do controlador em garantir a atuação do DPO:

• STJ: O STJ reconheceu o direito do titular de obter informações claras e precisas sobre o tratamento de seus dados, reforçando o papel do Encarregado como canal de comunicação.
• TJSP - Apelação Cível 1005892-23.2021.8.26.0100: O TJSP condenou uma empresa por não disponibilizar um canal adequado para o exercício dos direitos do titular, evidenciando a importância da atuação do Encarregado na recepção e tratamento de demandas.

Essas decisões demonstram que a atuação do DPO não é apenas uma formalidade, mas uma obrigação legal com consequências práticas para as organizações. A ausência de um Encarregado ou a ineficiência em sua atuação podem gerar responsabilização civil e administrativa.

A ANPD e as Novas Resoluções (Atualização até 2026)

A ANPD, em sua atuação normativa, tem publicado resoluções que detalham e regulamentam a atuação do Encarregado. A Resolução CD/ANPD nº 2/2022, por exemplo, estabeleceu diretrizes sobre a nomeação e as atribuições do Encarregado em agentes de tratamento de pequeno porte.

É fundamental que advogados e profissionais da área acompanhem as atualizações normativas da ANPD, que podem impactar diretamente a atuação do DPO e as obrigações das empresas. A expectativa é que, até 2026, a ANPD publique novas resoluções sobre temas como certificação de DPOs, transferência internacional de dados e avaliação de impacto à proteção de dados.

Dicas Práticas para Advogados

Para advogados que atuam na área de Direito Digital e Proteção de Dados, a atuação do Encarregado apresenta desafios e oportunidades. A seguir, algumas dicas práticas:

1. Assessoria na Nomeação: Auxiliar as empresas na escolha de um Encarregado com o perfil adequado, avaliando conhecimentos, habilidades e potenciais conflitos de interesse.
2. Elaboração de Políticas e Procedimentos: Desenvolver políticas internas de proteção de dados, procedimentos para o atendimento aos titulares e planos de resposta a incidentes, em conjunto com o DPO.
3. Treinamento e Conscientização: Ministrar treinamentos para funcionários e contratados sobre a LGPD e as melhores práticas de proteção de dados, em parceria com o DPO.
4. Atuação Consultiva e Contenciosa: Prestar assessoria jurídica em questões relacionadas à LGPD, como análise de contratos, avaliação de riscos e representação da empresa perante a ANPD e o Poder Judiciário.
5. Acompanhamento Normativo: Manter-se atualizado sobre as resoluções da ANPD e a jurisprudência sobre o tema, para oferecer um serviço de qualidade aos clientes.

Conclusão

O Encarregado de Dados Pessoais (DPO) é uma figura essencial na implementação e manutenção da conformidade com a LGPD. Sua atuação garante a transparência, a segurança e o respeito aos direitos dos titulares de dados. Advogados e profissionais de Direito Digital devem estar preparados para assessorar as empresas na nomeação, capacitação e atuação do DPO, contribuindo para a construção de uma cultura de proteção de dados no Brasil. A consolidação da jurisprudência e a atuação normativa da ANPD reforçam a importância de uma abordagem proativa e estratégica em relação à proteção de dados.

Aviso: Este artigo tem caráter informativo e didático. Deve ser verificado e adaptado a cada caso concreto por profissional habilitado. Acesse advogando.ai para mais recursos.