A figura do DPO na LGPD

Sancionada a três meses pelo presidente Michel Temer, a lei nº13.709/2018 – titulada como Lei Geral de Proteção de Dados –LGPD, que dispõe sobre o tratamento de dados pessoais, inclusive nos meios digitais, por pessoa natural ou por pessoa jurídica de direito público ou privado, com o objetivo de proteger os direitos fundamentais de liberdade e de privacidade e o livre desenvolvimento da personalidade da pessoa natural.

Nesse novo paradigma de proteção de dados no Brasil surge com a lei a Agência Nacional de Proteção de Dados – ANPD, que ainda deverá ser criada, órgão da administração pública responsável por zelar, implementar e fiscalizar o cumprimento da lei por parte das empresas e mais do que aplicar sanções, a ANPD tem a responsabilidade de orientá-las quanto as novas situações trazidas pela lei e que ainda não foram aplicadas na prática.

As empresas por sua vez têm até o carnaval de 2020 para se adequar à nova legislação sob pena de sansões que podem chegar a 50 milhões de reais por infração. Nesse contexto surge também o Encarregado de Proteção de Dados, responsável pelo canal de comunicação entre a empresa, os titulares das informações e a ANPD, ele surgiu na GDPR da União Europeia e foi absorvido, com adaptações, pela LGPD. Será um novo cargo do nível estratégico e que merece atenção por parte das empresas.

O Encarregado de Proteção de Dados ou Data Protection Officer – DPO, como está sendo chamado, será o responsável por disseminar a cultura de proteção de dados na empresa, além de criar normas e procedimentos adequados à lei. Será ele que receberá notificações da ANPD e dos titulares das informações e as colocará em prática.

No art. 41 § 2º temos algumas atividades do DPO, que consiste em:

I – aceitar reclamações e comunicações dos titulares, prestar esclarecimentos e adotar providências;

II – receber comunicações da autoridade nacional e adotar providências;

III – orientar os funcionários e os contratados da entidade a respeito das práticas a serem tomadas em relação à proteção de dados pessoais; e

IV – executar as demais atribuições determinadas pelo controlador ou estabelecidas em normas complementares.

Devido a essas atividades, o DPO terá papel fundamental nas decisões estratégicas das organizações, e deverá ter autonomia sobre as atividades que envolvam qualquer tipo de tratamento de dados e contato direto com a direção da empresa para poder tomar decisões que possam deixa-la em compliance com a lei.

É recomendado que as empresa já nomeie seu DPO, antes mesmo do início efetivo do vigor da lei, dessa forma ele pode ajudar na adaptação da LGPD, conduzir as etapas desse projeto analisando a maturidade da empresa em relação ao tema, desenvolver o relatório de impacto à proteção de dados pessoais, no qual deverá conter as características dos tratamentos de dados realizados, o risco para os titulares, conscientizar todos os níveis da organização sobre o tema e avaliar os impactos sobre a proteção de dados.

Mesmo que ainda não tenha sido avaliado na prática no Brasil como vai funcionar a figura do DPO, já é possível concluir que será uma peça chave para a adequação da empresa à legislação e para as atividades relacionadas ao tratamento de dados pessoais de seus clientes, funcionários e fornecedores.