No dia 17/07/2024, foi publicada no Diário Oficial da União a Resolução nº 18/2024, da Autoridade Nacional de Proteção de Dados (ANPD), que estabelece as regras de atuação do Encarregado de Dados, também conhecido como DPO (Data Protection Officer), regulamentando o que foi previsto genericamente pela Lei Federal nº 13.709/2018, Lei Geral de Proteção de Dados Pessoais (LGPD).

Segundo dispõe a LGPD, o Encarregado é o responsável por estabelecer a comunicação entre o Titular dos dados, os Agentes de tratamento (Controlador e Operador) e a ANPD, simplificando a troca de informações relativas ao tratamento de dados pessoais, cabendo a ele, também, orientar a os funcionários e contratados da entidade a respeito das práticas a serem tomadas em relação a proteção de dados pessoais.

O Regulamento sobre a Atuação do Encarregado pelo Tratamento de Dados Pessoais, aprovado e publicado pela Resolução nº 18/2024, da ANPD, vem, então, cumprir a necessidade de complementação das normas instituídas pela LGPD, especificamente quanto à figura do Encarregado de Dados, dispondo sobre a forma de indicação, características, atribuições, atividades e responsabilidades.

Vale registrar que o processo de regulamentação envolveu etapas de participação social, incluindo Consultas e Audiências Públicas, na tentativa de refletir a demanda da sociedade sobre o tema, como bem enfatizou o Diretor Presidente da ANPD, Waldemar Gonçalves, em evento realizado no Rio de Janeiro para profissionais da área: “Detalhar o papel do Encarregado era uma de nossas prioridades em razão de sua importância para uma sociedade movida a dados. Ele é um ator fundamental para garantir o cumprimento do direito fundamental à proteção dos dados pessoais, e, consequentemente, para consolidar uma cultura de proteção de dados no País – o que passa, também, pela mudança na cultura de negócios no Brasil, passando de acordos orais para compromissos escritos”. 

Atento a esta demanda, o documento prevê, logo de início, que o Encarregado deverá ser formalmente indicado, por documento escrito, datado e assinado, que demonstre claramente, de forma inequívoca, a intenção do Agente de Tratamento em designar o Encarregado, as formas de atuação e as atividades a serem desempenhadas, devendo ser adotada a mesma formalidade para indicação de eventual substituto em casos de ausências, impedimentos e/ou vacâncias do Encarregado designado.

A propósito, é importante destacar que a obrigatoriedade da nomeação de Encarregado de Dados afeta apenas o Agente de Tratamento que atua como Controlador de Dados, responsável pelas decisões relativas ao tratamento, sendo facultativa para aqueles que atuam apenas como Operadores, e cuja atividade fica restrita às ordens e determinações dos Controladores.

Neste passo, cumpre ressaltar, também, que os denominados Agentes de Tratamento de Pequeno Porte, assim definidos pela Resolução nº 02/2022, da ANPD estão dispensados da indicação de Encarregado, devendo, contudo, disponibilizar canal de comunicação com o Titular de Dados, para esclarecimentos de dúvidas e informações relativas ao tratamento de seus dados pessoais.

Por oportuno, vale relembrar quem são os Agentes de Tratamento de Pequeno Porte, de acordo com a Resolução nº 02/2022, da ANPD: Microempresas, empresas de pequeno porte, startups, pessoas jurídicas de direito privado, incluindo as sem fins lucrativos, nos termos da legislação vigente, bem como pessoas naturais e entes privados despersonalizados que realizam o tratamento de dados pessoais para fins econômicos, assumindo obrigações típicas de controlador ou operador, conforme conceitos trazidos pela própria LGPD.

Apesar da não obrigatoriedade, tanto para os Operadores de Dados, como para os Controladores de Dados de Pequeno Porte, a indicação do Encarregado de Dados por tais Agentes de Tratamento será considerada como política de boas práticas e governança, para fins de conformidade com a LGPD.

A Resolução nº 18/2024, da ANPD também estabelece os critérios mínimos para a escolha do Encarregado, esclarecendo expressamente que este poderá ser uma pessoa natural, integrante ou não da organização, ou uma pessoa jurídica (art. 12) e que, para o exercício da função, não se exigirá qualquer certificação ou formação profissional específica, nem inscrição junto a qualquer entidade (art. 14), cabendo ao Agente de Tratamento indicador do Encarregado de Dados determinar as qualificações necessárias ao desempenho da função, de acordo com o seu próprio contexto de tratamento de dados.

Para viabilizar a comunicação entre o Titular de Dados, os Agentes de Tratamento e a ANPD, atribuição primordial do Encarregado de Dados, o artigo 8º do Regulamento estipula que o Agente de Tratamento deverá divulgar e manter atualizadas a identidade e as informações de contato do Encarregado, de forma clara e objetiva, em local de destaque e de fácil acesso, em seu sítio eletrônico ou por quaisquer outros meios disponíveis para comunicação com os Titulares.

O Regulamento esclarece, ainda, que as atribuições do Encarregado consistem apenas na prestação de assistência e orientação aos Agentes de Tratamento de Dados, bem como no estabelecimento do fluxo de comunicação entre estes, os Titulares e a ANPD, de forma que o Encarregado não será responsabilizado pela conformidade das operações de tratamento de dados pessoais realizadas pelos Agentes de Tratamento (Controladores e Operadores), em relação à LGPD.

O Regulamento dita, por fim, que o Encarregado de Dados deverá atuar com ética, integridade e autonomia técnica, ficando autorizado o acúmulo de funções e o exercício de suas atividades para mais de um Agente de Tratamento, desde que seja possível o pleno desenvolvimento de suas atribuições, sem que haja conflitos de interesse. O conflito de interesse pode se configurar entre atribuições exercidas internamente pelo Encarregado em um mesmo Agente de Tratamento, ou entre atividades exercidas em Agentes de Tratamento distintos; bem como pelo acúmulo das atividades de Encarregado com outras atividades e atribuições que envolvam a tomada de decisões estratégicas sobre o tratamento de dados, que competem à figura do Controlador de Dados.

A análise quanto a eventual ocorrência de conflito de interesse deverá ser feita caso a caso pelo Agente de Tratamento responsável pela indicação do Encarregado, de acordo com o seu contexto e a sua realidade.

Uma vez constatada a possibilidade de conflito de interesse, restará ao Agente de Tratamento: (i) não indicar tal pessoa (física ou jurídica) para a função de Encarregado; (ii) implementar medidas para afastar o risco de conflito de interesse; ou (iii) substituir o Encarregado.

A regulamentação da atuação do Encarregado de Dados, aprovada pela Resolução nº 18/2024, da ANPD, é um passo importante para conferir segurança jurídica às operações de tratamento de dados no Brasil, tanto sob a ótica dos Titulares dos dados, como sob a ótica dos Agentes de Tratamento (Controladores e Operadores), permitindo a regular implementação de medidas aptas a garantir o cumprimento da LGPD.

Assim, torna-se cada vez mais evidente e urgente a necessidade de conscientização das organizações empresárias quanto à proteção dos dados pessoais envolvidos nas suas operações, para que busquem a adequação de seus processos internos, visando assegurar o cumprimento da legislação vigente no país desde 2020.