No dia 31 de maio de 2021 a Autoridade Nacional de Proteção de Dados (ANPD), órgão da administração pública direta federal que deve realizar a fiscalização do cumprimento da Lei nº 13.709/2018 e realizar a aplicação de penalidades, lançou um “Guia Orientativo Sobre Agentes de Tratamento e Encarregado”, onde entre outras orientações deixou clara a obrigatoriedade de todas as organizações possuírem um encarregado (“DPO”).

A General Data Protection Regulation (“GDPR”), lei europeia que inspirou a LGPD, por sua vez prevê que micro e pequenas empresas com menos de 250 funcionários não estão obrigadas a nomear um Data Protection Officer (“DPO”), a não ser que o processamento de dados for o negócio principal da empresa ou o processamento apresentar, de fato, uma ameaça potencial aos direitos e liberdade dos titulares.

Com o recente informativo disponibilizado pela ANPD torna-se imprescindível entender a figura do controlador e seu papel em uma organização, desta forma faz-se relevante destacar brevemente os fundamentos que a Lei Geral de Proteção de Dados (“LGPD”), , sustenta em todo seu corpo legal, tendo em vista que estes que ditarão os deveres do Data Protection Officer (“DPO”), ou, como trazido pela LGPD, Encarregado (Art. 5º, inciso VIII da Lei 13.709/18.).

A lei anuncia, primeiramente, a proteção da privacidade como um fundamento,  um direito fundamental da pessoa humana, trazendo ferramentas aos indivíduos para que decidam por si quem participa, ou não, da sua vida privada.

Da mesma forma, outro fundamento basilar da LGPD é a autodeterminação informativa, que nada mais é que a faculdade dos titulares em exercer o controle sobre seus próprios dados, garantindo decisão própria e informada se seu dado poderá ou não ser objeto de tratamento por terceiros.

Ademais, temos a liberdade de expressão, informação, comunicação e opinião os quais a lei, acima de tudo, tenta manter a harmonia, sendo essas liberdades tão caras à sociedade. Mas, importante salientar que, nem sempre esse equilíbrio é alcançado, podendo não raramente, uma liberdade prevalecer acima de outra.

A LGPD preza também pela inviolabilidade da intimidade, da honra e da imagem do titular. Além disso, cuida também do desenvolvimento econômico, tecnológico e inovação, partindo do pressuposto de que a LGPD não pode agir de modo a impedir, ou atrasar, tais avanços (salvo exceções).

A lei traz ainda a livre-iniciativa, a livre concorrência e a defesa do consumidor como fundamentos, atentando-se à importância legal da propriedade na sociedade. E, por fim, os direitos humanos, o livre desenvolvimento da personalidade, a dignidade e o exercício da cidadania pelas pessoas naturais.

Dito isso, torna-se possível se voltar à pessoa do Encarregado (“DPO”). A importância da breve introdução sobre os fundamentos da lei quando se fala da figura do Encarregado se esclarece tendo em vista de que é seu o compromisso o de cultivar e enraizar a cultura da Proteção de Dados dentro da organização. Ou seja, será o DPO o profissional responsável pelo funcionamento prático da lei.

Nesse prisma, o DPO será pessoa natural, jurídica ou um time de pessoas, indicadas pelo controlador, trabalhador integral ou “as a service”, exercendo uma função de meio de comunicação entre o controlador, os titulares e a ANPD.  O DPO pode ser funcionário da organização e acumular esta nova atividade, desde que não haja conflito de interesse entre suas funções, sendo comum o acumulo das funções de compliance officer e DPO, tendo em vista as competências necessárias serem parecidas para ambas.

Importante ressaltar que, para garantir o exercício do direito dos titulares de dados, a identidade e as informações de contato (nome, e-mail, telefone) do encarregado deverão ser divulgadas publicamente, de forma clara e objetiva, e, de preferência, no site do controlador.

Além do dever de enraizar a cultura de proteção de dados na organização, conforme Art. 41 da LGPD, também são atribuições do DPO (i) aceitar reclamações e comunicações do titulares, prestar esclarecimentos e adotar providências; (ii) receber comunicações da autoridade nacional e adotar providência; (iii) orientar os funcionários e os contratados da entidade a respeito das práticas a serem tomadas em relação à proteção de dados pessoais; e, (iv) executar as demais atribuições determinadas pelo controlador ou estabelecidas em normas complementares.

Em atenção à terceira atribuição, observa-se que, o Encarregado não se limita ao papel de canal de comunicação do controlador para com terceiros (titulares e ANPD), mas ainda, tem a função de orientação e de decisão em tomada de providências. Logo, mesmo não existindo diploma ou exigências legais para ocupar o cargo de DPO, é imprescindível que ele domine, minimamente, a legislação, bem como, tenha conhecimento técnico para abranger o tratamento de dados.

Além do conhecimento técnico o DPO deve ter profundo conhecimento sobre os processos da organização que representa, uma vez que nem sempre as melhores atitudes para um ramo de negócio são as mesmas para outro.

Esse profissional deve acompanhar todas as movimentações no âmbito da proteção de dados da empresa, desde a forma de coleta dos dados, até o modo que estes são descartados. Inclusive, cabe ao DPO a decisão final em qualquer discussão que envolva o tratamento de dados, devendo ter total autonomia para desempenhar sua função.

Como apresentado anteriormente, a LGPD foi amplamente baseada na GDPR. Entretanto, interessante realçar que, a lei brasileira traz o Encarregado como uma figura mais ativa, sendo responsável pela comunicação e solução de problemas ligados ao tema, enquanto que na lei europeia, o profissional abraça uma função de aconselhamento, cooperação e canal de informação.

Indubitável é a relevância do DPO, o que, consequentemente, irá encaminhar as empresas ao dever de incorporação da figura do profissional em seu corpo de trabalho a partir do mês de Agosto de 2020, sob pena de sanções, que vão desde advertências a multas diárias pesadas.

Empresas com menores e com número baixo de tratamento de dados estão optando, cada vez mais, pela contratação de um DPO “as a service“, tendo em vista a baixa incidência de requisições de titulares e eventualmente da ANPD, além do melhor custo benefício, uma vez que a contratação fulltime de um profissional capacitado demanda razoável investimento.

Em suma, as empresas precisam se adequar à LGPD e, em consequência, à figura do Encarregado em seu meio, e com isso, não perder seu espaço no mercado atual, moldando-se à lei que fornecerá segurança e confiança aos consumidores, parceiros comerciais e investidores.

Este material foi elaborado para fins de informação e debate e não deve ser considerado uma opinião legal para qualquer operação ou negócio específico.

Maria Carla (maria.rodrigues@gomesaltimari.com.br)

Thauane Prieto (thauane@gomesaltimari.com.br)