A figura do Data Protection Officer (DPO), ou Encarregado de Dados, tornou-se essencial no cenário corporativo brasileiro após a entrada em vigor da Lei Geral de Proteção de Dados (LGPD) - Lei nº 13.709/2018. Este artigo explora as nuances da atuação do DPO no contexto jurídico brasileiro, analisando suas responsabilidades, requisitos legais e a evolução jurisprudencial sobre o tema.
A Figura do DPO na LGPD
A LGPD, em seu art. 5º, VIII, define o Encarregado como "pessoa indicada pelo controlador e operador para atuar como canal de comunicação entre o controlador, os titulares dos dados e a Autoridade Nacional de Proteção de Dados (ANPD)". A obrigatoriedade de indicação do DPO recai, em regra, sobre o controlador de dados, conforme o art. 41 da LGPD.
Exceções à Obrigatoriedade
A Resolução CD/ANPD nº 2/2022 regulamentou a aplicação da LGPD para agentes de tratamento de pequeno porte. O art. 11 da referida resolução dispensa esses agentes da obrigação de indicar o DPO, desde que disponibilizem um canal de comunicação com o titular de dados. É importante destacar, no entanto, que a dispensa não isenta o agente do cumprimento das demais obrigações da LGPD.
Requisitos e Qualificações
A LGPD não exige formação específica ou certificação para o exercício da função de DPO. No entanto, o art. 41, § 2º, I, determina que o Encarregado deve ter "conhecimentos em proteção de dados e segurança da informação". A prática de mercado tem demonstrado a preferência por profissionais com formação jurídica, em tecnologia da informação ou em áreas relacionadas à gestão de riscos e compliance.
Responsabilidades e Atribuições do DPO
O art. 41, § 2º, da LGPD elenca as principais atividades do DPO:
- Aceitar reclamações e comunicações dos titulares: O DPO deve atuar como ponto focal para os titulares de dados, prestando esclarecimentos e adotando as providências necessárias.
- Receber comunicações da ANPD e adotar providências: O DPO é o interlocutor da empresa junto à ANPD, devendo atender às solicitações e determinações da autoridade.
- Orientar os funcionários e os contratados da entidade: O DPO tem o dever de promover a cultura de proteção de dados na empresa, orientando os colaboradores sobre as melhores práticas e as obrigações legais.
- Executar as demais atribuições determinadas pelo controlador: O controlador pode atribuir outras funções ao DPO, desde que relacionadas à proteção de dados.
Jurisprudência Relevante
A jurisprudência brasileira sobre o papel do DPO ainda está em construção, mas já é possível identificar algumas tendências.
STJ: DPO como Preposto
O Superior Tribunal de Justiça (STJ), no julgamento do Recurso Especial nº 1.956.160/SP (2021), reconheceu a validade da citação de empresa estrangeira na pessoa do seu DPO no Brasil. O tribunal entendeu que o DPO atua como representante da empresa para fins de recebimento de comunicações relacionadas à proteção de dados, equiparando-se, nesse aspecto, a um preposto.
TJSP: Responsabilidade do DPO
O Tribunal de Justiça de São Paulo (TJSP), em diversas decisões, tem afastado a responsabilidade pessoal do DPO por infrações à LGPD cometidas pela empresa (Apelação Cível nº 1005892-74.2020.8.26.0011). O entendimento predominante é de que o DPO atua como um assessor ou consultor interno, não detendo poder de decisão sobre o tratamento de dados. A responsabilidade pelas infrações recai sobre o controlador ou operador, salvo se comprovada a atuação dolosa ou culposa do DPO que extrapole suas funções.
Dicas Práticas para Advogados
- Consultoria Preventiva: Auxilie seus clientes na estruturação de um programa de adequação à LGPD, incluindo a definição do perfil ideal do DPO e a elaboração de seu contrato de trabalho ou prestação de serviços.
- Revisão de Contratos: Revise os contratos de prestação de serviços de DPO (DPO as a Service) para garantir que as responsabilidades e obrigações estejam claramente definidas, evitando conflitos de interesse e assegurando a independência do profissional.
- Treinamento e Conscientização: Ofereça treinamentos para os DPOs e demais colaboradores das empresas clientes sobre as atualizações legislativas e jurisprudenciais em proteção de dados.
- Atuação Contenciosa: Em caso de litígio envolvendo a LGPD, esteja preparado para defender os interesses de seus clientes, seja como controlador, operador ou titular de dados.
Legislação Atualizada (Até 2026)
Embora a LGPD seja a principal norma sobre o tema, é fundamental acompanhar as resoluções e diretrizes publicadas pela ANPD. Além disso, a Proposta de Emenda à Constituição (PEC) 17/2019, que insere a proteção de dados pessoais no rol de direitos e garantias fundamentais da Constituição Federal, reforça a importância do tema e a necessidade de atuação diligente do DPO. A recente Lei 14.852/2024 (Marco Legal da Inteligência Artificial), que estabelece diretrizes para o desenvolvimento e uso de sistemas de IA no Brasil, também impacta a atuação do DPO, exigindo conhecimentos adicionais sobre os riscos e impactos da IA na proteção de dados.
Conclusão
A figura do DPO é peça fundamental para a efetividade da LGPD nas organizações. A compreensão de suas responsabilidades, requisitos legais e da jurisprudência em constante evolução é essencial para advogados que atuam na área de Direito Digital. A atuação consultiva e preventiva, aliada à constante atualização profissional, são chaves para o sucesso na orientação de empresas e na defesa dos direitos dos titulares de dados.
Aviso: Este artigo tem caráter informativo e didático. Deve ser verificado e adaptado a cada caso concreto por profissional habilitado. Acesse advogando.ai para mais recursos.