O que significa a sigla “DPO”?

Com o advento da Lei Geral de Proteção de Dados (Lei nº 13.709/2018), a sigla DPO passou a ser muito utilizada no meio empresarial: Data Protection Officer. Na língua portuguesa, é sinônimo de Encarregado pelo Tratamento de Dados Pessoais, função que deve ser indicada pelo controlador, ou seja, a empresa que decide como utilizar esses dados. A regra possui exceções, portanto entender quais são e se sua empresa se encaixa nelas é fundamental para evitar futuros imprevistos.

Quais são as funções de um Encarregado?

O Encarregado realiza a comunicação entre a empresa, os titulares dos dados (as pessoas a quem os dados se referem) e a Agência Nacional de Proteção de Dados (ANPD). Além disso, ele é responsável por receber reclamações e pedidos dos titulares, prestar esclarecimentos, receber comunicações da ANPD, orientar funcionários sobre as boas práticas de proteção de dados e executar as demais atribuições determinadas pela empresa ou estabelecidas em normas complementares.

É importante ressaltar que, embora o Encarregado realize inúmeras atribuições relacionadas à proteção de dados, a conformidade perante a ANPD continua sob responsabilidade da empresa.

Toda empresa precisa indicar um Encarregado?

A princípio, sim! De acordo com o art. 41 da LGPD, a empresa, independentemente do seu tamanho, tem a obrigação de indicar um Encarregado. Entretanto, o §3º do mesmo artigo permite que a ANPD dispense essa indicação com base no porte da empresa ou no volume das operações de tratamento, o que foi regulamentado pela Resolução CD/ANPD nº 2/2022.

Nos casos passíveis de dispensa, estão enquadrados: microempresas (incluindo os MEIs), empresas de pequeno porte, startups, pessoas jurídicas de direito privado sem fins lucrativos e pessoas naturais que tratam dados, desde que não realizem tratamento de alto risco e não ultrapassem os limites de receita bruta previstos na resolução. Ressalva-se que, embora estejam dispensados de indicar o Encarregado, a obrigação de fornecer um canal de comunicação para que os titulares dos dados se manifestem permanece intacta.

Quando a dispensa não é possível?

A possibilidade de dispensa inexiste quando há tratamento de dados de alto risco para os titulares. Classifica-se como alto risco os tratamentos que possuam ao menos um critério geral e um critério específico. Critérios gerais são: tratamento em larga escala e o que possa afetar de forma considerável os direitos fundamentais dos titulares; já os critérios específicos são o uso de tecnologias inovadoras, controle de zonas acessíveis ao público, decisões tomadas com base somente em tratamento automatizado e o uso de dados sensíveis ou pertencentes a crianças, adolescentes ou idosos.

Quem pode ser o Encarregado da empresa?

Embora a LGPD não preveja uma formação específica para ser o Encarregado, ela permite que a empresa estabeleça as qualificações necessárias, como, por exemplo, conhecimento da legislação de proteção de dados, além do contexto e risco acerca das operações de tratamento. Pode ser indicado um profissional da própria empresa ou externo a ela.

É importante frisar que acumular a função de Encarregado com atividades que envolvam decisões estratégicas sobre o tratamento de dados pode configurar conflito de interesses, já que o Encarregado acabaria fiscalizando as próprias decisões.

Como se formaliza a indicação e o que pode acontecer se a empresa ignorar?

Para que a formalização esteja em concordância com a LGPD, a identidade e as informações de contato do Encarregado devem ser publicamente divulgadas, de preferência através do site da empresa.

A indicação também deve ser formalizada por ato formal escrito, datado e assinado, que estabeleça de forma objetiva as funções do Encarregado, conforme a Resolução CD/ANPD nº 18/2024. A empresa que descumprir o previsto na LGPD corre o risco de sofrer sanções e ser fiscalizada pela ANPD.