Por Clóvis Alberto Bertolini de Pinho e João Pedro Xavier Gonçalves Vieira* – A Resolução CD/ANPD nº 18/2024, publicada em 16 de julho de 2024 pela Autoridade Nacional de Proteção de Dados (ANPD), aprovou o Regulamento sobre a atuação do Encarregado pelo Tratamento de Dados Pessoais, figura central na Lei Geral de Proteção de Dados (LGPD). Trata-se de importante regulamentação para o funcionamento das funções do Encarregado (DPO), que atua como verdadeiro um elo entre o controlador e/ou operador, os titulares dos dados e a ANPD, sendo crucial para garantir que as operações de tratamento de dados estejam em conformidade com a legislação.
Inicialmente, é fundamental estabelecer a distinção entre as figuras do Controlador, Operador e do Encarregado, ambas definidas pela LGPD. O Controlador é compreendido como a pessoa natural ou jurídica, de direito público ou privado, responsável pelas decisões sobre o tratamento de dados pessoais. Já o Operador, figura não-obrigatória, é quem realiza o tratamento de dados pessoais em nome do controlador. Enfim, o Encarregado é a pessoa indicada pelo controlador e/ou operador para atuar como canal de comunicação entre o controlador, os titulares dos dados e a ANPD.
Complementando a LGPD, a Resolução nº 18/2024 detalha as regras sobre a indicação, definição, atribuições e atuação do encarregado. Um ponto importante é a obrigatoriedade da indicação do encarregado por ato formal do controlador, especificando suas atividades e forma de atuação.
O documento de indicação, que deve ser apresentado à ANPD apenas quando solicitado, deve conter informações claras sobre a designação da pessoa natural ou jurídica como encarregado. A Resolução também define que a identidade e as informações de contato do encarregado devem ser divulgadas publicamente, preferencialmente no sítio eletrônico do controlador. Em caso de ausência ou impedimento do encarregado, um substituto formalmente designado deve assumir a função.
Observa-se que, pela Resolução, segundo o art. 6º, a indicação do encarregado por operadores (aqueles que tratam dados pessoais em nome do controlador) é facultativa, mas é considerada uma boa prática de governança. Além disso, pelo o art. 5º, pessoas jurídicas de direito público devem indicar um encarregado, preferencialmente um servidor ou empregado público de reputação ilibada, quando realizarem tratamento de dados pessoais. A indicação deve ser publicada em Diário Oficial.
As atribuições do encarregado incluem as seguintes: (1) Receber e responder a reclamações e comunicações dos titulares; (2) Receber comunicações da ANPD e adotar as providências necessárias; (3) Orientar os funcionários e contratados do controlador sobre as práticas de proteção de dados; e, (4) Executar outras atribuições determinadas pelo controlador ou estabelecidas em normas complementares.
Além disso, o encarregado deve auxiliar o controlador em diversas atividades, como a elaboração de relatórios de impacto, a implementação de medidas de segurança, a criação de políticas internas e a adequação a normas e regulamentos da ANPD. A Resolução também trata do conflito de interesses, estabelecendo que o encarregado deve agir com ética e evitar situações que possam comprometer sua imparcialidade e autonomia técnica.
A Resolução CD/ANPD nº 18/2024 representa um passo importante na consolidação da cultura de proteção de dados no Brasil, detalhando as regras sobre a atuação do encarregado e fornecendo diretrizes claras para o cumprimento das obrigações estabelecidas na LGPD. A norma contribui para a segurança jurídica e a previsibilidade nas relações de tratamento de dados pessoais, fortalecendo a confiança dos titulares e promovendo um ambiente de negócios mais ético e transparente.
Portanto, a Resolução CD/ANPD nº 18/2024 surge como um importante marco regulatório, consolidando e detalhando as funções e responsabilidades do encarregado pelo tratamento de dados pessoais. Ao definir de maneira clara e precisa as atribuições, a forma de indicação e a atuação do encarregado, a resolução não apenas reforça a importância dessa figura central na estrutura da LGPD, mas também promove uma cultura de conformidade e proteção de dados mais robusta no Brasil.
* Clóvis Alberto Bertolini de Pinho – Doutorando em Direito do Estado pela Universidade Federal do Paraná. Mestre em Direito do Estado pela Universidade de São Paulo. Bacharel em Direito pela UFPR. Sócio-fundador do Bertolini Advogados. Contato: <clovis@bertoliniadvogados.com.br>.
* João Pedro Xavier Gonçalves Vieira – Graduando em Direito pela Universidade Federal do Paraná. Graduando em Ciências Econômicas pela Universidade da Região de Joinville. Pesquisador pelo Núcleo de Estudos de Direito e Economia (NEDE/UFPR). Assistente Jurídico no Bertolini Advogados. Contato: <joao@bertoliniadvogados.com.br>