Quem é o encarregado (DPO) na

LGPD?




A cada dia que passa a data para a Lei Geral de Proteção de Dados (Lei
13.709/2018) entrar em vigência se aproxima mais, e muitas dúvidas a respeito
de sua implementação ainda precisam ser respondidas.  Entre os
questionamentos, o que mais se destaca é a função e figura do Encarregado
ou DPO (Data Protection Officer), em razão da influência europeia na lei
brasileira. 

A ideia principal da legislação é cuidar da proteção de dados pessoais dos

funcionários e indivíduos de fora da organização. Por isso, a norma exige que
determinadas instituições que recolhem, processam ou armazenam esse tipo
de informação em larga escala tenham um DPO. 

A legislação brasileira define o Encarregado como a “pessoa indicada pelo

controlador e operador para atuar como canal de comunicação entre o
controlador, os titulares dos danos e a Autoridade Nacional de Proteção de
Dados (ANPD)”, conforme art 5, inciso VIII, da LGPD.
Assim, de imediato, percebemos a importância do Encarregado na política de
proteção de dados, que será responsável pela integração segura de todos os
agentes envolvidos no tratamento de dados. 

Qual a diferença entre encarregado e controlador

Outra figura que aparece com frequência na LGPD é o Controlador. É ele quem
pratica qualquer tipo de tratamento de dados, fornecendo essas informações
diretamente ao Encarregado, que pode ser uma pessoa natural ou uma
empresa que faça essa função. 

A diferença entre o Encarregado e o Controlador é o poder de decisão entre

eles. Enquanto o Controlador é o responsável pela coleta de dados, o
Encarregado é quem a partir das ordens dadas pelo Controlador, gerencia e
atua sobre os dados. Por isso, é essencial que o DPO conheça a legislação,
tenha experiência em governança e entenda de segurança da informação. 

Inicialmente, na primeira medida original da lei, havia a exigência de que o

Encarregado fosse uma pessoa natural, não havendo a possibilidade de indicar
qualquer pessoa jurídica para exercer as atribuições do Encarregado. No
entanto, após as modificações legislativas, a nova lei retirou o termo ‘natural’
do inciso VIII do art. 5°da LGPD, indicando a autorização para que pessoas
jurídicas também possam assumir o papel de Encarregado. 

Essa natureza jurídica do Encarregado é muito importante porque, além de

aumentar sua possibilidade de atuação no direito brasileiro, a política de dados
no país se torna também mais assertiva.  

Atividades atribuídas ao encarregado

As atividades do Encarregado se encontram no art. 41 da LGPD, e são:  

 Aceitar reclamações e comunicações dos titulares, prestar

esclarecimentos e adotar providências;
 Receber comunicações da autoridade nacional e adotar providências;
 Orientar os funcionários e os contratados da entidade a respeito das
práticas a serem tomadas em relação à proteção de dados pessoais;
 Executar as demais atribuições determinadas pelo controlador ou
estabelecidas em normas complementares.

Com a legislação atual, fica claro que as funções do Encarregado deverão ser

tratadas por meio de uma regulamentação específica e avaliadas pela
Autoridade Nacional de Proteção de Dados.  
Os dados captados deverão ser informados pelo Encarregado somente por
meio do Controlador. Portanto, o Encarregado e o Controlador desenvolvem
uma relação mútua, já que o Controlador terá o constante acompanhamento e
monitoramento das atividades de tratamento de dados. 

Requisitos técnicos de um encarregado

Uma dúvida ainda recorrente é a qualificação técnica (ou não) do encarregado.
Qual a sua formação? Experiência? Deve fazer algum curso específico para
ser DPO? 

Na lei europeia não foram impostas formações de áreas específicas, indicando

que a pessoa deveria apenas conhecer a legislação de proteção de dados
e ser capaz de desempenhar as atividades impostas no regulamento. 

No Brasil, a primeira medida original da lei previa a necessidade de

conhecimento jurídico regulatório, porém, esse requisito foi excluído porque
essa condição seria contrária ao interesse público, restringindo o livre exercício
profissional. Portanto, atualmente, não há exigências técnicas que sejam
avaliadas para autenticar um Encarregado.  

De toda forma, como não há exigências para se tornar Encarregado, espera-

se do profissional conhecimentos jurídicos a respeito da legislação de proteção
de dados, não se limitando apenas à LGPD, mas também
conhecimentos sobre segurança de informação.  

Além disso, é importante que o Encarregado também tenha conhecimentos de

governança e boa capacidade de integração de pessoas, uma vez que a
proteção de dados envolve diversas áreas de uma empresa, como por
exemplo, área jurídica, Tecnológica (TI), Financeiro, Marketing, Comercial e
Recursos Humanos. 

Para que a LGPD seja cumprida de forma correta, é necessário que o

Encarregado seja o principal ponto de apoio do Controlador.