Pense Direito: LGPD - entenda o papel do Encarregado de Dados (DPO) e os critérios legais para a sua nomeação

Quando o assunto em pauta é a Lei Geral de Proteção de Dados, ou simplesmente LGPD, é impossível não se debruçar sobre esse tema de crucial importância, que é a nomeação do DPO (do inglês Data Protection Officer), ou, simplesmente, Encarregado pelo Tratamento de Dados Pessoais.

 

De antemão, é importante distinguir três protagonistas mencionados na LGPD, que é o controlador, operador e o encarregado. Controlador é a pessoa (física ou jurídica) responsável por decidir como deve se dar o tratamento de dados (toda operação realizada com dados pessoais, como as que se referem a coleta, recepção, utilização, acesso, arquivamento, armazenamento, eliminação, etc). Em outras palavras, controlador é quem dá as ordens sobre o que deve ser feito, como, quando e o porquê.

 

O operador, por seu turno, é a pessoa responsável por executar as orientações em nome do controlador. A lei fala, ainda, sobre o Encarregado, que é a pessoa indicada pelo controlador e operador para atuar como canal de comunicação entre o controlador, os titulares dos dados e a Autoridade Nacional de Proteção de Dados (ANPD), que é um órgão de Estado, com a missão de promover a cultura de proteção de dados pessoais.

 

Definidas as figuras do controlador, operador e o encarregado, sobre este último cumpre trazer à baila duas das principais dúvidas, quais sejam: É obrigatório nomear um encarregado? É necessário ter vínculo empregatício com o controlador para atuar na função de Encarregado? Saliente-se que o presente artigo não pretende ser exaustivo sobre as controvérsias que envolvem a figura do encarregado de dados.

 

Pois bem. Quanto à obrigatoriedade de nomeação do Encarregado, a despeito da expressa previsão no art. 41 da Lei nº 13.709/2018, a Resolução CD/ANPD nº 2, de 27 janeiro de 2022, trouxe hipótese de dispensa da necessidade de indicação do encarregado para micro e pequenas empresas, startups, pessoas jurídicas sem fins lucrativos e pessoas naturais, mas continuam obrigados a garantir a comunicação com os titulares de dados pessoais por outro meio eficiente.

 

Atente-se ao fato de que a dispensa ou a flexibilização das obrigações não isenta os agentes de tratamento de pequeno porte do cumprimento dos demais dispositivos da LGPD, conforme consta na Resolução CD/ANPD nº 2, de 27 janeiro de 2022.

 

Assim, se você não se encaixa nas exceções mencionadas na supracitada Resolução, é importante que entenda como obrigatória a nomeação do encarregado de dados, cuja identidade e informações de contato devem ser divulgadas publicamente, de forma clara e objetiva, preferencialmente em site do controlador. É o encarregado quem ficará responsável por receber reclamações e prestar informações aos titulares de dados, receber comunicações da ANPD e executar as diretrizes do controlador e outras obrigações que venham ser regulamentadas. 

 

Sem dúvida, o Encarregado de Dados tem relevante papel na efetivação das novas regras e direitos trazidos pela LGPD, daí porque é fundamental que ele ostente qualificação mínima para atender às atribuições legais. Quanto ao vínculo que o encarregado precisa ter com o controlador, a Lei não exige vínculo empregatício, ou seja, pode ser nomeado tanto algum empregado, quanto alguém externo à empresa, de natureza física ou jurídica, para desempenhar tal função. Caso a empresa opte por nomear como encarregado alguém do seu quadro de empregados, como a atividade foi inscrita na Classificação Brasileira de Ocupações (CBO) pelo Ministério do Trabalho (MTE), é importante a atualização na CTPS do empregado.

 

Finalmente, não obstante a relevância do Encarregado de Dados, mais da metade das empresas brasileiras já pode ser penalizada pela falta de nomeação do encarregado. Em todo caso, o descumprimento da Lei pode gerar gravíssimas penalidades. Para a imediata regularização empresarial frente à legislação, considera-se fundamental assessoria jurídica especializada, especialmente porque, por cautela, faz-se necessária prévia análise de eventual cabimento de flexibilização dos dispositivos legais (as exceções), para que, posteriormente, seja possível a construção de um projeto de implementação da LGPD realmente adaptado ao seu modelo de negócio.