Publicado o Regulamento sobre a Atuação do Encarregado pelo Tratamento de Dados Pessoais
Em 17 de julho de 2024, a Autoridade Nacional de Proteção de Dados (“ANPD”) publicou a Resolução nº 18/2024, que aprova o Regulamento sobre a Atuação do Encarregado pelo Tratamento de Dados Pessoais (também conhecido como DPO – Data Protection Officer).
Compilamos, abaixo, as principais novidades trazidas pelo normativo:
Indicação e obrigatoriedade
- A indicação deve considerar os conhecimentos do Encarregado sobre a legislação de proteção de dados pessoais, bem o contexto, volume e risco das atividades de tratamento realizadas pela organização
- É obrigatória para controladores (salvo por aqueles dispensados por serem Agentes de Tratamento de Pequeno Porte), e facultativa para operadores, quando será considerada política de boas práticas de governança
- Deve ser realizada por ato formal, que poderá ser solicitado pela ANPD
- Encarregado substituto, formalmente designado, exercerá a função em situações de ausências, impedimentos e vacâncias do Encarregado
Sobre o Encarregado
- Pode ser pessoa física ou jurídica
- Pode ser integrante do quadro organizacional da instituição ou prestador de serviços externo (pessoa física ou jurídica)
- Deverá ter sua identidade (além de informações de contato) divulgada em local de fácil acesso, no site da organização
- Se pessoa física – nome completo
- Se pessoa jurídica – nome empresarial e nome completo da pessoa física responsável
- Deverá atuar livre de interferências indevidas e ter acesso às pessoas de maior nível hierárquico dentro da organização
- Deverá comunicar-se com os titulares e com a ANPD de forma clara e precisa, em língua portuguesa
- A organização (e não o Encarregado) é responsável, perante a ANPD, pela conformidade do tratamento de dados pessoais
Conflito de interesses
- Conflitos de interesse devem ser evitados e declarados, pelo Encarregado, à organização
- São aquelas situações que possam comprometer, influenciar ou afetar, de maneira imprópria, a objetividade e julgamento técnico do Encarregado
- Tais situações podem ser configuradas com o acúmulo das atividades do Encarregado com outras, inclusive aquelas que envolvam a tomada de decisões estratégicas sobre o tratamento de dados pessoais
- Podem acarretar sanções à organização
O Regulamento define, ainda, atribuições complementares àquelas previstas na LGPD, como, por exemplo, assistir e orientar a organização na:
- elaboração registros e comunicações de incidentes de segurança;
- definição e implementação de políticas e processos internos que assegurem o cumprimento da LGPD; e
- implementação da privacidade por padrão (Privacy by Design) para produtos e serviços da organização, dentre outras atribuições.
Com a entrada em vigor do Regulamento, é fundamental que as organizações revisitem suas práticas em relação ao Encarregado para garantir sua conformidade com as novas regras.
Nossa equipe de Privacidade e Proteção de Dados está preparada para orientar e assistir seus clientes em relação à nomeação, atuação e função do Encarregado, dentre outros temas. Para mais informações, consulte os sócios-líderes do nosso time Adriano Chaves e Marcia Issler Mandelbaum.