ANPD lança guia sobre a atuação do encarregado pelo tratamento de dados pessoais

ANPD lança guia sobre a atuação do encarregado pelo tratamento de dados pessoais

A Autoridade Nacional de Proteção de Dados (ANPD) publicou recentemente o guia intitulado “Atuação do encarregado pelo tratamento de dados pessoais”, complementando a Resolução CD/ANPD nº 18, de 16 de julho de 2024, que regulamenta a atuação do encarregado. Esse profissional é responsável por intermediar a comunicação entre os titulares dos dados, as empresas ou organizações que os utilizam e a ANPD. O objetivo do guia é fornecer orientações claras para a contratação e o desempenho das atividades do encarregado, garantindo que ele atue em conformidade com a Lei nº 13.709/2018, Lei Geral de Proteção de Dados (LGPD).

O material utiliza com frequência os termos “titular”, “controlador” e “operador”, definidos de maneira precisa no artigo 5º da LGPD. Segundo a lei: titular é a pessoa natural a quem se referem os dados pessoais; controlador é a pessoa natural ou jurídica, de direito público ou privado, que toma as decisões sobre o tratamento de dados; e operador é quem realiza o tratamento de dados em nome do controlador. Operador e controlador são identificados na lei como “agentes de tratamento”.

Além disso, o guia destaca que o artigo 41 da LGPD exige que o controlador designe um encarregado pelo tratamento de dados pessoais. Por exemplo, em uma empresa privada do segmento de atendimento médico domiciliar (controlador) que coleta dados de saúde de seus pacientes (titulares) e, posteriormente, os compartilha com sua unidade responsável pela emissão de boletins de acompanhamento (operador), é obrigatório que o controlador nomeie um encarregado para atuar como canal de comunicação entre o controlador, os titulares dos dados e a ANPD.

Outro ponto importante abordado é a Resolução CD/ANPD nº 2, de 27 de janeiro de 2022, que, em seu artigo 11, estabelece que os agentes de tratamento de pequeno porte estão dispensados da indicação do encarregado, exceto nas seguintes hipóteses: agentes que tratam dados pessoais de alto risco; que obtêm receita bruta superior a R$ 4,8 milhões por ano-calendário (ou R$ 16.000.000,00 no caso de startups); e agentes pertencentes a grupos econômicos cuja receita global ultrapasse esses limites. Ressalta-se que mesmo dispensados, os agentes de pequeno porte devem garantir um canal de comunicação com os titulares de dados.

Nos órgãos e entidades do Poder Público, a indicação do encarregado pode ser atribuída à autoridade máxima da instituição ou delegada, conforme a legislação administrativa, e deve ser publicada no Diário Oficial do Estado. Para os agentes privados, a comunicação da indicação à ANPD não é obrigatória, e a designação pode ser feita pelo dirigente competente por meio de um Ato Formal, cujo modelo está disponível no guia. O encarregado pode ser uma pessoa física, (como um funcionário da organização) ou uma pessoa jurídica contratada para essa função, devendo ser capaz de se comunicar fluentemente em português.

O material também aborda os deveres do controlador, como divulgar a identidade e os contatos do encarregado em local acessível, para que os titulares possam exercer seus direitos; garantir os recursos necessários para o desempenho das funções do encarregado; e assegurar o seu acesso aos responsáveis pelas decisões estratégicas relacionadas ao tratamento de dados pessoais.

É desejável que o encarregado possua conhecimentos em proteção de dados, gestão de riscos, governança, compliance e segurança da informação. Isso se deve às suas responsabilidades, descritas no artigo 41, § 2º, da LGPD e especificadas no guia, que incluem orientar e assessorar o controlador em questões relacionadas à proteção de dados pessoais, além de atender a reclamações e comunicações dos titulares.

Entre as principais atribuições do encarregado, estabelecidas pelo parágrafo 2º, do artigo 41, da LGPD, destacam-se: aceitar reclamações e comunicações dos titulares, prestando esclarecimentos e adotando providências cabíveis; receber comunicações da ANPD e adotar as medidas necessárias para atender às suas solicitações, encaminhando internamente as demandas para as unidades competentes e fornecendo orientação ao agente de tratamento; orientar os funcionários e contratados do agente de tratamento sobre as práticas de proteção de dados pessoais; e auxiliar na criação e implementação de processos e políticas internas que assegurem a conformidade com a LGPD. O guia enfatiza que o encarregado não possui competência para tomar decisões sobre o tratamento de dados pessoais, pois essas decisões são de responsabilidade exclusiva do controlador.

Por fim, o guia ilustra situações em que pode haver conflito de interesses na função do encarregado, como no caso do exercício cumulativo de determinados cargos e na sua atuação em mais de uma organização. Para evitar tais conflitos, recomenda-se avaliar o setor econômico, o tipo de tratamento e a natureza das organizações envolvidas. A ANPD sugere, ainda, a criação de uma unidade organizacional exclusiva para o tratamento de dados pessoais, garantindo que o encarregado possa atuar sem influências de outras áreas.

O Guia pode ser acessado através do link: Atuação do Encarregado pelo Tratamento de Dados Pessoais