Regulamento estabelece normas complementares sobre a indicação, a definição, as atribuições e a atuação do encarregado, de que trata a LGPD
A Autoridade Nacional de Proteção de Dados (ANPD) publicou, em 17 de julho de 2024, a Resolução nº 18/2024, que aprova o regulamento sobre a atuação do encarregado pelo tratamento de dados pessoais.
A indicação do encarregado deve ser realizada por ato formal do agente de tratamento, do qual constem as formas de atuação e as atividades a serem desempenhadas.
Características e atividades do encarregado
De acordo com a resolução, o encarregado poderá ser tanto pessoa natural, integrante do quadro organizacional do agente de tratamento, externo a esse, ou então pessoa jurídica. Além disso, o encarregado deverá ser capaz de se comunicar com os titulares e com a ANPD, de forma clara e precisa e em língua portuguesa.
Além disso, o exercício da atividade de encarregado não pressupõe a inscrição em qualquer entidade nem qualquer certificação ou formação profissional específica. Cabe ao agente de tratamento estabelecer as qualificações profissionais necessárias para o desempenho dessas atribuições, considerando seus conhecimentos sobre a legislação de proteção de dados pessoais, bem como o contexto, o volume e o risco das operações de tratamento realizadas.
Pelo texto da resolução, as atividades do encarregado consistem em:
- Aceitar reclamações e comunicações dos titulares, prestar esclarecimentos e adotar providências cabíveis;
- Receber comunicações da ANPD e adotar providências;
- Orientar os funcionários e os contratados do agente de tratamento a respeito das práticas a serem tomadas em relação à proteção de dados pessoais; e
- Executar as demais atribuições determinadas pelo agente de tratamento ou estabelecidas em normas complementares.
Sempre que receber comunicações da ANPD, o encarregado deverá adotar as medidas necessárias para o atendimento da solicitação e para o fornecimento das informações pertinentes.
O desempenho das atividades e das atribuições dispostas na resolução não confere ao encarregado a responsabilidade, perante a ANPD, pela conformidade do tratamento dos dados pessoais realizado pelo controlador.
Identidade e informações de contato do encarregado
A resolução estabelece que o agente de tratamento deverá divulgar e manter atualizadas a identidade e as informações de contato do encarregado em local de destaque e de fácil acesso, no sítio eletrônico do agente de tratamento.
Dentre as informações mínimas de identidade do encarregado estão:
- O nome completo, se for pessoa natural; ou
- O nome empresarial ou o título do estabelecimento, bem como o nome completo da pessoa natural responsável, se pessoa jurídica.
Caso o agente de tratamento não possua sítio eletrônico, poderá realizar a divulgação da identidade e das informações de contato do encarregado por quaisquer outros meios de comunicação disponíveis, especialmente aqueles usualmente utilizados para contato com os titulares.
Deveres do agente de tratamento
A resolução estabelece que o agente de tratamento deverá:
- Prover os meios necessários para o exercício das atribuições do encarregado, neles compreendidos, entre outros, recursos humanos, técnicos e administrativos;
- Solicitar assistência e orientação do encarregado quando da realização de atividades e tomada de decisões estratégicas referentes ao tratamento de dados pessoais;
- Garantir ao encarregado a autonomia técnica necessária para cumprir suas atividades, livre de interferências indevidas, especialmente na orientação a respeito das práticas a serem tomadas em relação à proteção de dados pessoais;
- Assegurar aos titulares meios céleres, eficazes e adequados para viabilizar a comunicação com o encarregado e o exercício de direitos; e
- Garantir ao encarregado acesso direto às pessoas de maior nível hierárquico dentro da organização, aos responsáveis pela tomada de decisões estratégicas que afetem ou envolvam o tratamento de dados pessoais, bem como às demais áreas da organização.
Conflito de interesse
O conflito de interesse pode se configurar:
- Entre as atribuições exercidas internamente em um agente de tratamento ou no exercício da atividade de encarregado em agentes de tratamento distintos;
- Com o acúmulo das atividades de encarregado com outras que envolvam a tomada de decisões estratégicas sobre o tratamento de dados pessoais pelo controlador, ressalvadas as operações com dados pessoais inerentes às atribuições do encarregado.
A norma permite que o encarregado acumule funções e exerça suas atividades para mais de um agente de tratamento, desde que seja possível o pleno atendimento de suas atribuições relacionadas a cada agente de tratamento e inexista conflito de interesse.
A existência de conflito de interesse será objeto de verificação no caso concreto e poderá ensejar a aplicação de sanção ao agente de tratamento nos termos do art. 52 da LGPD.
É dever do encarregado declarar ao agente de tratamento qualquer situação que possa configurar conflito de interesse, responsabilizando-se pela veracidade das informações prestadas.
A resolução entra em vigor imediatamente.
Para mais informações sobre o tema, conheça a prática de Proteção de Dados e Cybersecurity do Mattos Filho.
