A necessidade do Departamento de Proteção de Dados nas Instituições Privadas

A Lei Geral de Proteção de Dados - LGPD, Lei 13.709/2018, surgiu em um cenário em que os Dados Pessoais são encarados como ativos financeiros, visto que podem ser utilizados para monitorar tendências e assim fazer com que os investidores optem por desenvolver determinado produto ou serviço, por entender que atenderá melhor determinado público alvo.

 

A referida lei vem com o objetivo de tutelar os direitos à liberdade e privacidade das pessoas, visando proteger os dados pessoais, para tanto fixou-se obrigações positivas que não podem ser desconsideradas por todo aquele que lida com dados pessoais.

 

Dentre as obrigações principais, pode-se destacar o dever de proteção dos dados que estão sob a sua guarda, a não utilização dos dados para fins diversos dos que foram coletados e o dever de informar à autoridade nacional acerca de quaisquer incidentes de segurança.

 

A LGPD embora pareça distante, não deve ser assim encarada, visto que as sanções já podem ser aplicadas desde 01 de agosto de 2021, sendo desde simples advertências, podendo chegar a sanções financeiras astronômicas, que podem chegar a monta de R$ 50.000.000,00 (cinquenta milhões de reais), conforme determina o Art. 52 da Lei Geral de Proteção de Dados.

 

Assim, é aconselhável que todos que lidam com Dados Pessoais implementem um Departamento de Proteção de Dados, para assim fiscalizar a observância à lei, reduzindo os eventuais incidentes de segurança, protegendo a reputação da instituição, tornando assim seu negócio cada vez mais seguro, desenvolvendo uma verdadeira política de prevenção de danos e devendo sempre agir no cumprimento do dever de transparência para com os titulares de dados.

 

Não existe exigência legal de quais profissionais devem compor o Departamento de Proteção de Dados, contudo é aconselhável que se faça a junção de profissionais de setores estratégicos do empreendimento, tais como: recursos humanos, que lidam com os dados pessoais dos colaboradores; jurídico, enquanto consultor técnico do empreendimento, principalmente por se tratar de uma lei relativamente recente, com muitas nuances; marketing, pois se faz necessário a transmissão à sociedade das adequações da instituição na proteção dos dados pessoais, e por fim a diretoria, que possui o poder decisório em questões macro, que asseguram o cumprimento das diretrizes fixadas pela instituição.

 

É essencial que o Departamento de Proteção de Dados – DPD possua um encarregado de dados, figura trazida pelo art. 5º, VIII da LGPD, conhecido como Data Protection Officer – DPO, que é uma pessoa indicada pelo controlador e operador para atuar como canal de comunicação entre o controlador, os titulares dos dados e a Autoridade Nacional de Proteção de Dados (ANPD).

 

O DPO possui diversas funções, dentre as quais podemos destacar o treinamento e a orientação aos funcionários da instituição no que toca às diretrizes da LGPD, realização de avaliação e auditorias, manter os registros das atividades de processamento de dados realizadas pela instituição, realizar um diálogo transparente com os titulares de dados, ofertando respostas e orientações, zelar pela comunicação com a ANPD, acerca de qualquer incidente de segurança, ou até mesmo na busca de informações.

 

A contratação de um DPO é um investimento para o presente e para o futuro, pois as instituições ainda passam por um processo de conscientização da importância da preservação dos dados pessoais dos quais possuem a guarda, e sofrem com a insegurança quanto a atuação sancionatória da Autoridade Nacional de Proteção de Dados (ANPD), que ainda é pouco regulamentada legalmente e administrativamente.

 

As sanções pecuniárias não se limitam às instituições detentoras dos dados pessoais, podendo também ser estendidas aos agentes de tratamento, que são os operadores e controladores, conforme previsão do art. 43 da LGPD.

 

O controlador é a pessoa física ou jurídica que tem o poder decisório quanto ao tratamento de dados, já o operador é a pessoa física ou jurídica que realiza o tratamento de dados pessoais em nome do Controlador.

 

Em muitas das vezes o Controlador é a própria instituição e os operadores seriam os terceiros que agem em seu nome.

 

No que toca as responsabilidades elencadas no art. 43 da LGPD, os agentes de tratamento só podem se eximir demonstrando que não realizaram o tratamento de dados pessoais que lhes é atribuído; que, embora tenham realizado o tratamento de dados pessoais que lhes é atribuído, não houve violação à legislação de proteção de dados ou que o dano é decorrente de culpa exclusiva do titular dos dados ou de terceiros.

 

A LGPD é um mundo a ser explorado, e as adequações se fazem urgentes e necessárias, afinal não podemos prever um eventual passivo indenizatório, que pode arruinar negócios, então sempre devemos optar pela prudência, na persecução ao melhor tratamento possível aos dados pessoais.

 

*João Barreto é especialista em Direito Empresarial, sócio do escritório Anjos & Barreto Advocacia e Consultoria.

 

*João Araújo é especialista em Direito Civil pela PUC/MG, advogado e DPO da Santa Casa de Misericórdia de Feira de Santana.

 

*Os artigos reproduzidos neste espaço não representam, necessariamente, a opinião do Bahia Notícias