LGPD:O ENCARREGADO DE DADOS E OS MUNICÍPIOS

A partir da leitura da Lei Geral de Proteção de Dados (LGPD), compreende-se que a figura do encarregado de dados (Data Protection Officer – DPO, em inglês) tem a função de zelar pela privacidade e proteção de dados do titular, atuando como canal de comunicação entre as partes que se relacionam no tratamento de dados pessoais e a Autoridade Nacional de Proteção de Dados (ANPD).

Decerto, tal sujeito – indicado pelo controlador – desempenha importante papel no cumprimento das disposições contidas na legislação de privacidade e proteção de dados no âmbito das organizações públicas e privadas. Conforme o art. 41, caput, da LGPD, o encarregado de dados pode ser pessoa jurídica ou pessoa física, cujas atribuições, dentre outras, são (art. 41, § 2o, da LGPD):

“O encarregado de dados também pode ser apoiado por equipe técnica e jurídica, que deverão formar a comissão de apoio ao encarregado de dados de modo independente”

• Aceitar reclamações e comunicações dos titulares, prestar esclarecimentos e adotar providências

• Receber comunicações da autoridade nacional e adotar providências;
• Orientar os funcionários e os contratados da entidade a respeito das práticas a serem tomadas em relação à proteção de dados pessoais; e

• Executar as demais atribuições determinadas pelo controlador ou estabelecidas em normas complementares.

“Verifica-se que é preciso avançar na implementação da LGPD nos municípios para além da cultura de privacidade e proteção de dados – observadas as disposições da Lei de Acesso à Informação –, debruçando sobre a criação de mecanismos e funções que possam contribuir diretamente para a garantia dos direitos dos titulares de dados”

Não obstante, a referida norma deixa de elencar as especificidades com relação à função do encarregado de dados, por exemplo, a sua exigibilidade e respectiva qualificação técnica, assuntos que ficaram a cargo da regulamentação pela ANPD, conforme os termos do §3o do art. 41, da LGPD.

Nesse ínterim, em maio de 2021, a ANPD publicou o Guia Orientativo para Definição dos Agentes de Tratamento de Dados Pessoais e do Encarregado, e ressaltou, na oportunidade, que o “encarregado é o indívíduo responsável por garantir a conformidade de uma organização, pública ou privada, à LGPD”.

Sobre as qualificações profissionais, a ANPD segue o que vem sendo aplicado no Regulamento Europeu (inspiração para a LGPD). Logo, estas qualificações devem ser definidas pelo controlador que o indica, considerando conhecimentos de proteção de dados e segurança da informação em nível que atenda às necessidades da operação da organização.

O encarregado de dados também pode ser apoiado por equipe técnica e jurídica, que deverão formar a comissão de apoio ao encarregado de dados de modo independente, para que possam ter autonomia na fiscalização e adoção de medidas corretivas para possíveis irregularidades.

Adicionalmente, o art. 23, III, da LGPD, reforça a necessidade de um encarregado ser indicado por órgãos e entidades públicas, que poderá ser tanto funcionário da instituição quanto agente externo, desde que tenha autonomia no exercício de suas funções. Em verdade, recomenda-se que o encarregado seja indicado por ato formal, como um contrato de prestação de serviços ou ato administrativo.

Nesse cenário, como ficam os municípios de pequeno porte?

Embora haja controvérsias a respeito, notadamente na aplicação do sobredito art. 23, III, da LGPD e da jornada desafiadora para esses municípios, deve-se considerar que a adoção do encarregado de dados corrobora como boa prática diante da ANPD, em virtude da promoção da integridade do programa de governança de dados.

Assim, orienta-se que os municípios de pequeno porte adotem a figura do encarregado de dados por ato oficial, seja através da nomeação de funcionário público, seja através da seleção de prestador de serviços especializado na área, considerando, sobretudo, a infraestrutura física-financeira.

Diante do exposto, verifica-se que é preciso avançar na implementação da LGPD nos municípios para além da cultura de privacidade e proteção de dados – observadas as disposições da Lei de Acesso à Informação –, debruçando-se sobre a criação de mecanismos e funções que possam contribuir diretamente para a garantia dos direitos dos titulares de dados.