Em 16 de julho de 2024 foi aprovada Resolução sobre a atuação do encarregado pelo tratamento de dados pessoais pela Autoridade Nacional de Proteção de Dados, uma das mais esperadas pelas organizações.
A partir de então será necessária a indicação do encarregado por ato formal do agente de tratamento, no qual constem as formas de atuação e as atividades a serem desempenhadas. A Resolução entende por ato formal o documento escrito, datado e assinado, que, de maneira clara e inequívoca, demonstre a intenção do agente de tratamento em designar como encarregado uma pessoa natural ou uma pessoa jurídica. O documento referido deverá ser apresentado à ANPD, quando solicitado.
Cabe ao agente de tratamento estabelecer as qualificações profissionais necessárias para o desempenho das atribuições do encarregado, considerando seus conhecimentos sobre a legislação de proteção de dados pessoais, bem como o contexto, o volume e o risco das operações de tratamento realizadas.
Importante destacar que a ANPD não criou selo ou certificações obrigatórias para o exercício do cargo de Encarregado, deixando a cargo do agente de tratamento a escolha do profissional adequado para o exercício da função, de modo que o exercício da atividade de encarregado não pressupõe a inscrição em qualquer entidade nem qualquer certificação ou formação profissional específica.
A identidade e as informações de contato do encarregado deverão ser divulgadas publicamente, de forma clara e objetiva, em local de destaque e de fácil acesso, no sítio eletrônico do agente de tratamento.
A Resolução trouxe como deveres do agente de tratamento:
a) a promoção dos meios necessários para o exercício das atribuições do encarregado, neles compreendidos, entre outros, recursos humanos, técnicos e administrativos;
b) solicitar assistência e orientação do encarregado quando da realização de atividades e tomada de decisões estratégicas referentes ao tratamento de dados pessoais;
c) garantir ao encarregado a autonomia técnica necessária para cumprir suas atividades, livre de interferências indevidas, especialmente na orientação a respeito das práticas a serem tomadas em relação à proteção de dados pessoais;
d) assegurar aos titulares meios céleres, eficazes e adequados para viabilizar a comunicação com o encarregado e o exercício de direitos;
e) garantir ao encarregado acesso direto às pessoas de maior nível hierárquico dentro da organização, aos responsáveis pela tomada de decisões estratégicas que afetem ou envolvam o tratamento de dados pessoais, bem como às demais áreas da organização.
A Resolução estabelece, ainda, que o encarregado poderá ser uma pessoa natural, integrante do quadro organizacional do agente de tratamento ou externa a esse ou uma pessoa jurídica, desde que seja capaz de comunicar-se com os titulares e com a ANPD, de forma clara e precisa e em língua portuguesa.
Ademais, a Resolução estabelece quais são as atividades do encarregado, quais sejam:
i) aceitar reclamações e comunicações dos titulares, prestar esclarecimentos e adotar providências cabíveis;
ii) receber comunicações da ANPD e adotar providências;
iii) orientar os funcionários e os contratados do agente de tratamento a respeito das práticas a serem tomadas em relação à proteção de dados pessoais;
iv) executar as demais atribuições determinadas pelo agente de tratamento ou estabelecidas em normas complementares.
Estabelece que ao receber comunicações da ANPD, o encarregado deverá adotar as medidas necessárias para o atendimento da solicitação e para o fornecimento das informações pertinentes, adotando, dentre outras, as seguintes providências:
- encaminhar internamente a demanda para as unidades competentes;
- fornecer a orientação e a assistência necessárias ao agente de tratamento e;
- indicar expressamente o representante do agente de tratamento perante a ANPD para fins de atuação em processos administrativos, quando esta função não for exercida pelo próprio encarregado.
Cabe, ainda, ao encarregado, segundo a Resolução, prestar assistência e orientação ao agente de tratamento na elaboração, definição e implementação, conforme o caso, de:
A) registro e comunicação de incidente de segurança;
B) registro das operações de tratamento de dados pessoais;
C) relatório de impacto à proteção de dados pessoais;
D) mecanismos internos de supervisão e de mitigação de riscos relativos ao tratamento de dados pessoais;
E) medidas de segurança, técnicas e administrativas, aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito;
F) processos e políticas internas que assegurem o cumprimento da LGPD e dos regulamentos e orientações da ANPD;
G) regras de boas práticas e de governança e de programa de governança em privacidade; dentre outras.
Outrossim, destaca a Resolução que o encarregado deverá atuar com ética, integridade e autonomia técnica, evitando situações que possam configurar conflito de interesse. Nesse sentido, o encarregado poderá acumular funções e exercer as suas atividades para mais de um agente de tratamento, desde que seja possível o pleno atendimento de suas atribuições relacionadas a cada agente de tratamento e inexista conflito de interesse capaz de interferir na necessária autonomia e isenção.
O conflito de interesse pode se configurar entre as atribuições exercidas internamente em um agente de tratamento ou no exercício da atividade de encarregado em agentes de tratamento distintos, bem como com o acúmulo das atividades de encarregado com outras que envolvam a tomada de decisões estratégicas sobre o tratamento de dados pessoais pelo controlador, ressalvadas as operações com dados pessoais inerentes às atribuições do encarregado.
Identificando possível conflito de interesse o encarregado deverá declarar ao agente de tratamento, responsabilizando-se pela veracidade das informações prestadas.
É imprescindível, portanto, que ao nomear o encarregado, o agente de tratamento esteja atento às atribuições que ele já exerce na organização e/ou sua atuação em outras organizações que possam vir a acarretar conflito de interesse. Uma vez constatada essa possibilidade, o agente de tratamento deverá adotar providências tais como, conforme o caso, não indicar a pessoa para exercer a função de encarregado, implementar medidas para afastar o risco de conflito de interesse, ou substituir imediatamente a pessoa designada para exercer a função de encarregado.
