Análise da Consulta Pública da Atividade do Encarregado de Proteção de Dados pela ANPD
O cenário da proteção de dados pessoais no Brasil passa por um processo contínuo de evolução e aprimoramento, em especial com a implementação da Lei Geral de Proteção de Dados (LGPD).
O documento regulamentar de consulta publica fornecido pela ANPD delineia diretrizes detalhadas e requisitos para o papel do Encarregado de Proteção de Dados (DPO) conforme estipulado na Lei Geral de Proteção de Dados (LGPD) do Brasil. Aqui está um resumo dos seus tópicos principais:
Capítulo I: Disposições Preliminares
O regulamento define o objetivo de estabelecer regras adicionais sobre a nomeação, funções e desempenho do DPO. Além disso, esclarece conceitos fundamentais, como conflito de interesses, identidade do DPO e meios de contato, fundamentais para o entendimento e a aplicação da lei.
- Objetivo: Estabelece regras adicionais sobre a nomeação, definição, responsabilidades e desempenho do DPO conforme exigido pela LGPD.
- Definições: Esclarece termos como 'conflito de interesse', 'DPO', 'identidade do DPO' e 'informações de contato do DPO'.
Capítulo II: Agentes de Tratamento
Seção I: Nomeação do DPO
Os controladores de dados devem realizar a nomeação formal do DPO. Exceções são feitas para processadores de pequena escala, que, embora isentos da obrigatoriedade de nomear um DPO, devem manter um canal de comunicação com os titulares dos dados e a ANPD. Importante destacar que entidades públicas devem nomear um DPO, preferencialmente entre funcionários estáveis com reputações ilibadas.
- Nomeação Formal: Controladores devem nomear formalmente um DPO.
Isenções para Processadores de Pequena Escala: Processadores de pequena escala isentos de nomear um DPO ainda devem ter um canal de comunicação com os titulares dos dados e a Autoridade Nacional de Proteção de Dados (ANPD).
- Entidades Públicas: Entidades legais públicas devem nomear um DPO ao processar dados pessoais, preferencialmente entre funcionários estáveis com reputações ilibadas.
- Múltiplas Nomeações e Publicação: Controladores podem nomear vários DPOs com base nos contextos de processamento de dados, e a nomeação deve ser publicada oficialmente.
Seção II: Deveres dos Agentes de Tratamento
Os agentes de tratamento são responsáveis por fornecer suporte ao DPO, incluindo recursos humanos, técnicos e administrativos. Eles devem também assegurar que o DPO tenha autonomia técnica e acesso à alta administração, visando o melhor desempenho de suas atividades.
- Suporte ao DPO: Agentes devem fornecer recursos necessários, autonomia técnica e acesso à alta administração ao DPO.
- Responsabilidade do Controlador: O controlador permanece responsável pela conformidade no tratamento dos dados.
Capítulo III: O DPO
Seção I: Características e Modos de Operação
O DPO pode ser um membro interno ou externo à organização, com a flexibilidade de atuar em múltiplos papéis, desde que não exista conflito de interesses. As qualificações para ser um DPO são baseadas na capacidade de comunicação eficaz e conhecimento em privacidade e proteção de dados, sem a necessidade de certificações específicas.
- Posição Organizacional: O DPO pode ser um membro interno ou externo, atuando por meio de um contrato de serviço.
- Substitutos: Na ausência do DPO, um substituto formalmente designado assume.
- Comunicação e Qualificações: O DPO deve se comunicar eficazmente em português e não precisa de certificações ou treinamento profissional específico.
- Múltiplos Papéis: O DPO pode servir vários agentes, desde que não haja conflito de interesse e todas as responsabilidades sejam cumpridas.
Seção II: Atividades e Responsabilidades
O DPO desempenha um papel multifacetado, lidando com reclamações, orientando funcionários sobre práticas de proteção de dados, e atuando como intermediário entre a organização e a ANPD. Além disso, o DPO tem responsabilidades adicionais, como aconselhar sobre incidentes de segurança, elaborar registros de tratamento de dados, e implementar medidas de segurança.
- Deveres: Incluem lidar com reclamações, comunicar-se com a ANPD, orientar funcionários sobre proteção de dados e outras tarefas atribuídas pelo agente.
- Responsabilidades Adicionais: Aconselhamento sobre incidentes de segurança, registros de processamento de dados, avaliações de risco, medidas de proteção de dados, implementação da LGPD, revisão de contratos, transferências internacionais de dados e governança de privacidade.
Seção III: Conflitos de Interesse
Um aspecto crítico é a gestão de potenciais conflitos de interesse. O DPO deve declarar qualquer situação que possa configurar um conflito e evitar acumular funções que possam influenciar indevidamente suas decisões no tratamento de dados pessoais.
- Declaração de Conflitos: O DPO deve declarar quaisquer potenciais conflitos de interesse.
- Conflitos Presumidos: Manter um papel decisório no tratamento de dados juntamente com o papel de DPO é presumido ser um conflito.
- Considerações sobre a Nomeação: Agentes devem garantir que o papel do DPO não entre em conflito com outras responsabilidades.
A regulamentação do DPO pela LGPD representa um passo crucial na consolidação da cultura de proteção de dados no Brasil. As diretrizes não apenas estruturam a função de forma detalhada, como também promovem uma gestão de dados mais transparente e segura. O DPO emerge, portanto, como um elemento central na garantia do direito à privacidade e na construção de um ecossistema de dados confiável.
A consulta pública estará disponível na Plataforma pelos próximos 30 (trinta) dias e se encerrará no dia 07 de dezembro de 2023.
Dica: Aproveite para assistir A série "Blitz LGPD: Entenda em 5 Minutos" que traz um tema fundamental para as empresas no contexto da LGPD: o papel do Data Protection Officer (DPO) ou Encarregado de Proteção de Dados. Descubra conosco qual é a função do DPO, quando a presença deste profissional é obrigatória e como escolher a pessoa certa para esse papel tão importante.
