Regulamento sobre a atuação do Encarregado de Dados Pessoais é publicado pela ANPD; e mais: a maior ação judicial sobre proteção de dados no Brasil, com indenização prevista de 1.7 bilhão de Reais.
Por Lucas Ferreira.
—
Legale, n. 898.
A Autoridade Nacional de Proteção de Dados («ANPD») publicou, no último dia 16, a Resolução CD/ANPD n. 18, que trata do regulamento sobre a atuação do encarregado pelo tratamento de dados pessoais e complementa a Lei Geral de Proteção de Dados («LGPD»), formalizando os critérios de indicação e as diretrizes sobre as condições de exercício dessa função, indispensável para garantir o cumprimento da lei.
Além disso, a Resolução abordou questões como o conflito de interesse do encarregado e do controlador, bem como o compromisso com a ética, integridade e autonomia técnica, indispensáveis ao exercício da função, especialmente na modalidade «DPO as a Service», na qual um mesmo encarregado é nomeado por diversos controladores.
Obrigações que decorrem do Regulamento
A nomeação do encarregado, que já era uma obrigação do controlador, passa a ser, necessariamente, documentada por escrito, com indicação precisa da data e assinatura tanto do representante legal da empresa quanto do próprio encarregado, para que fique demonstrada de forma inequívoca a intenção do agente de tratamento em designar uma pessoa natural ou jurídica para exercer tal função, incluindo as formas de atuação e as atividades que serão desempenhadas por ele. Na ausência, impedimento ou vacância do encarregado, a função deverá ser assumida por um substituto também formalmente designado.
Somente serão isentos da obrigação de formalizar a indicação, os Agentes de Tratamento de Pequeno Porte (ATPP), ou seja, os agentes de tratamento de microempresas, empresas de pequeno porte, startups e correlatos. Aos operadores, é facultativa a indicação de encarrego, mas será considerada uma boa prática de governança para fins de aplicação de eventuais penalidades pela ANPD.
Para as pessoas jurídicas de direito público, a formalização deve ser publicada no Diário Oficial da União, sendo o nomeado, preferencialmente, um servidor ou empregado público de reputação ilibada.
A determinação taxativa das atividades do encarregado, apesar de não ser uma novidade, é um avanço, uma vez que traz direcionamento específico ao exercício da função e facilita a compreensão do controlador e do encarregado sobre as funções efetivas do cargo, uma vez que, em muitos casos, o nomeado assume essa posição em acúmulo a outra função exercida dentro da empresa.
O legislador deixou claro, ainda, que a responsabilidade pelo tratamento de dados pessoais é do controlador e não do encarregado. Isso porque a função do encarregado se assemelha a função de um conselheiro, de modo que sua função é fiscalizar e orientar o tratamento de dados pessoais realizados pelo controlador, buscando indicar a melhor alternativa para que todas as atividades sejam compatíveis com o que prevê a LGPD. A obrigação do encarregado é, portanto, orientar, enquanto o poder de direção é exclusivamente do controlador, responsável pelo tratamento perante os titulares e a ANPD.
A própria LGPD prevê a limitação da responsabilidade do encarregado, salvos os casos em que as orientações do encarregado forem notadamente inadequadas. Pecou o legislador, contudo, ao afastar a necessidade de certificação ou formação específica para a atuação, uma vez que a posição demanda conhecimento aprofundado da legislação, aplicados em conjunto ao know-how da atividade empresarial realizada pelo controlador. Ainda, o caráter consultivo do encarregado demanda tecnicidade, uma vez que uma orientação incorreta pode impactar negativamente no tratamento dos dados, tendo como consequência maior uma das sanções previstas no artigo 52 da LGPD, especialmente a penalidade que possui a limitação de 50 milhões de reais por infração.
Obrigações dos Agentes de Tratamento: controlador e operador
Além da obrigação de formalizar a indicação, já tratada anteriormente, a Resolução prevê deveres aos agentes de tratamento.
A primeira obrigação é uma velha conhecida das empresas, inclusive por ter sido alvo da primeira penalidade aplicada pela ANPD, apesar das controvérsias do caso, na qual o agente de tratamento é obrigado a divulgar e manter atualizadas a identidade e as informações de contato do encarrego nomeado em local de fácil acesso pelo titular e pela ANDP. Nessa divulgação deve constar, no mínimo, o nome completo ou razão social do encarregado, especificando se trata de pessoa natural ou jurídica e o nome completo do responsável legal, se pessoa jurídica.
Importante destacar, ainda, o inciso V do artigo 10 da Resolução, que visa garantir ao encarregado o acesso direto ao responsável pela tomada de decisões em nome da empresa. Tal determinação é extremamente favorável ao exercício da função do encarregado, justamente pelo caráter orientativo da atividade. Dessa forma, sem a interferência de diversos níveis hierárquicos, subsiste a prerrogativa de que todas as orientações foram efetivamente dadas a quem poderá determinar o cumprimento da LGPD dentro da empresa — e assegurar que a responsabilidade recaia sobre o agente que, mesmo advertido, seguiu com o tratamento inadequado.
Os Riscos da inconformidade
Para muitos, a LGPD era uma mera formalização e a aplicação das penalidades descritas na lei, apesar de significativas, beiravam o inimaginável. Contudo, os últimos movimentos compravam a tendência para que a fiscalização seja mais efetiva.
Coincidentemente, na mesma data de publicação da Resolução (16 de julho de 2024), o Ministério Público Federal protocolizou uma ação judicial contra o Grupo Meta e o WhatsApp perante a 2ª Vara Cível Federal de São Paulo, com pedido de aplicação de multa no valor de 1.7 bilhão de reais, a maior ação já protocolizada no Brasil envolvendo proteção de dados. A ANPD também consta no polo passivo da ação em questão, tendo em vista que, segundo o entendimento do Ministério Público, houve falha na aplicação de sanções ao grupo.
O pedido se deu em razão da atualização da política de privacidade da Meta ocorrida em 2021, da qual os consumidores brasileiros foram forçados a aderir, e que permitiu a coleta e o compartilhamento abusivo de dados pessoais com outras plataformas do grupo, como Facebook e Instagram.
O Grupo Meta já havia sofrido uma sanção da ANPD em razão de sua nova política de privacidade, que previa o uso de dados pessoais publicados em suas plataformas para fins de treinamento de sistemas de Inteligência Artificial. A multa aplicada, nesse caso, foi de 50 mil reais diários.
Conclusão
Há muito tempo deveria estar claro para todas as empresas que a proteção de dados é uma obrigação legal como várias outras e que não deve ser negligenciada, sobretudo porque a fiscalização cresce a cada dia.
Os últimos acontecimentos só reforçam a intenção do Estado em regular o tratamento adequado de dados pessoais pelas empresas, não só por meio da ANPD. A nova Resolução reforça o primeiro passo, necessário para todos aqueles que pretendem verificar seu nível de adequação à LGPD e buscar alinhar seus processos às exigências legais.
Apesar da falha do legislador em isentar o profissional responsável por esta função de obter uma certificação específica, é indispensável, pelo próprio caráter da Lei, o conhecimento técnico sobre o tema, pois é inerente a esse cargo a orientação assertiva do agente de tratamento. A certificação do encarregado é uma forma de garantia ao controlador, uma vez que demonstra, mesmo que minimamente, o interesse e o conhecimento da LGPD, necessário e indispensável para o exercício pleno da atividade de encarregado.
―
Análise Advocacia destaca Tributário Vaz de Almeida, liderado por Mauricio Nucci, como referência do mercado >
Análise Advocacia reconhece, pela 8ª vez, VAA como um dos «Escritórios Mais Admirados do Brasil» >
Julhi Bonespírito e Amanda Duarte são destaques no anuário Análise Advocacia Mulher 2024 >
Vaz de Almeida figura entre os Escritórios de Advocacia Mais Premiados do Brasil em 2023 >
Amanda Duarte recebe o reconhecimento Thomson Reuters Stand-Out Lawyer 2023 e 2024 >
Amanda Duarte é eleita, pela 2ª vez, uma das «Advogadas Mais Admiradas do Brasil» >
Vaz de Almeida segue entre os escritórios mais admirados na Advocacia Regional >
VAA é finalista do Prêmio Análise DNA+ FenaLaw 2023 >
—
Pessoas e Comunidade >
Conheça os nossos líderes >
Prêmios, Selos e Reconhecimentos >
Notícias: conteúdo de qualidade no nosso portal >
—
«Autoridade legal com elegância, desde 2001.»
—
Tributário >
Corporativo >
Relações do Setor Automotivo >
Prevenção e Resolução de Conflitos >
Relações de Trabalho, Mobilidade Global e Gestão de Pessoas >
Propriedade Intelectual >
ESG, Ambiental e Sustentabilidade >
Inovação, Direito Digital e Cibersegurança >
Infraestrutura, Imobiliário e Construção Civil >
Direito Administrativo, Direito Público e Regulatório >
—
Nossas publicações têm o objetivo de comunicar a perspectiva legal dos acontecimentos e prover contexto aos fatos jurídicos mais relevantes que podem influenciar companhias e organizações. Casos em concreto demandam atenção técnica personalizada sobre os fatos, e devem obter assessoria jurídica sob medida antes da adoção de qualquer providência legal ou paralegal. Se você, sua empresa ou o conselho de acionistas de sua organização precisam de aconselhamento, entre em contato com o advogado de sua confiança.
«Legale», «Artigo», «Especial», «Painel Tributário», «Temas Tributários» e «Notícias & Alertas» são informativos periódicos e constituem uma prestação de serviços à comunidade empresarial. Os conteúdos podem dispor de links para websites de terceiros, a fim de facilitar o acesso dos nossos seguidores e assinantes aos serviços e publicações referidos. Não nos responsabilizamos, entretanto, pela integridade destes links, que podem apresentar problemas como indisponibilidade de acesso em razão de falhas em seus servidores, acidentes nos sistemas de rede, fragilidades em seus mecanismos de segurança, entre outros.
—
Livre de Inteligência Artificial / Este conteúdo e imagem relacionada não foram gerados por IAs.
—
Fale com o Editor >
—
+55 19 3252-4324
Barão de Itapura, 2323
8° andar, Guanabara
Campinas, SP
Brasil