Depois da blitz do DPO, ANPD lança guia do Encarregado de Dados

A Autoridade Nacional de Proteção de Dados publicou nesta quinta, 19/12, um guia orientativo detalhando as atribuições e responsabilidades do encarregado pelo tratamento de dados pessoais, figura central no cumprimento da Lei Geral de Proteção de Dados (Lei 13.709/18).

Tão central que a ANPD recentemente notificou 20 empresas, como TikTok, X, Uber, Dell, Vivo e várias outras, pela falta de indicação de Encarregado de Dados. Para a autoridade, a ausência de um Encarregado ou de um canal de comunicação eficaz impede que os titulares de dados exerçam seus direitos e compromete a transparência no tratamento de informações pessoais, além de prejudicar a própria atuação do regulador.

O guia, portanto, esclarece que o encarregado atua como elo entre controladores, titulares de dados e a ANPD, sendo responsável por atender reclamações, prestar esclarecimentos e orientar as práticas organizacionais relativas à proteção de dados. O encarregado pode ser uma pessoa natural, como um funcionário da organização, ou uma pessoa jurídica contratada para isso.

Entre as principais orientações, a ANPD destaca a exigência de que controladores designem um encarregado por meio de ato formal, garantindo autonomia técnica e acesso à alta administração. O guia ressalta a importância de divulgar publicamente a identidade e os contatos do encarregado, além de prever a atuação deste na supervisão de políticas de governança, proteção de dados e resposta a incidentes de segurança.

Para organizações públicas, a ANPD recomenda que o encarregado seja preferencialmente um servidor público de reputação ilibada, enquanto empresas privadas podem optar por pessoas físicas ou jurídicas, desde que respeitadas as qualificações necessárias. O guia também aborda estratégias para evitar conflitos de interesse e sugere boas práticas de governança.

“No caso de entes despersonalizados da Administração Pública, considerando o contexto e as especificidades dos tratamentos realizados, a complexidade da estrutura organizacional e a distribuição das competências internas, e tendo em vista a desconcentração administrativa, pode ser necessária a indicação de um encarregado para cada órgão vinculado”, diz a ANPD.

O guia lembra que não é todo e qualquer agente de tratamento de pequeno porte que está desobrigado de indicar encarregado. A obrigação existe, independentemente do porte, quando há tratamento de alto risco, receita bruta, em cada ano-calendário, de R$ 360 mil a R$ 4,8 milhões, ou, no caso de startups, de até R$ 16 milhões ou R$ 1,3 milhão multiplicado pelos meses de atividade inferiores a 12.

A Autoridade reforça que, mesmo quando for dispensado da indicação de encarregado, o agente de tratamento de pequeno porte precisa disponibilizar um canal de comunicação com o titular de dados, por meio do qual possa aceitar reclamações, comunicações e prestar esclarecimentos.

O guia alerta, ainda, que além da obrigação do encarregado de declarar possíveis conflitos de interesse, cabe ao agente de tratamento, quando da indicação, analisar a possibilidade de conflito interna ou externamente à entidade, conforme mencionado anteriormente.