Opinião e Análise

Vitória Dantas

No início do ano de 2019, a Agência Espanhola de Proteção de Dados (<a href="https://www.aepd.es/es">AEPD</a>)<a href="#_edn1" name="_ednref1">[1]</a> publicou sobre a obrigação de comunicar, no prazo de dez dias, o Encarregado pelo Tratamento de Dados Pessoais (Data Protection Officer ou DPO, como o cargo é chamado internacionalmente) nomeado por cada organização<a href="#_edn2" name="_ednref2">[2]</a>.
Passados quatro anos dessa regulamentação e algum tempo a mais da entrada em vigor do Regulamento Geral de Proteção de Dados (<a href="https://gdpr-info.eu/">RGPD</a>)<a href="#_edn3" name="_ednref3">[3]</a>, a AEPD noticiou, em janeiro de 2023, cerca de 100 mil DPOs registrados em seu banco de dados<a href="#_edn4" name="_ednref4">[4]</a>. Nesse sentido, tal notícia pode ser reflexo da preocupação das empresas espanholas em cumprir com a lei, por meio da nomeação e registro do DPO, e garantir que o tratamento de dados pessoais seja realizado de forma adequada.
Em comparação com o cenário espanhol, mesmo após a vigência da Lei Geral de Proteção de Dados Pessoais (<a href="https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm">LGPD</a>) em 2020 e das sanções aplicáveis pela Autoridade Nacional de Proteção de Dados Pessoais (<a href="https://www.gov.br/anpd/pt-br">ANPD</a>) ao descumprimento da LGPD no ano de 2021, a maioria das empresas brasileiras ainda não tem se mostrado sensibilizada quanto à lacuna de nomear o Encarregado. Embora ainda notória a carência de profissionais habilitados e com experiência comprovada para a função, a inércia das organizações pode ter um preço muito alto, dada a própria cultura empresarial tupiniquim de “remediação” ou a falta de regulamentações mais específicas sobre o tema até o momento – o que será alvo de reflexão ao longo deste artigo.
Em termos de números, resta apenas uma curiosidade: considerando que os 100 mil DPOs registrados são reflexo da legislação europeia em vigor desde 2018, o que se poderia esperar do Brasil – país mais populoso, que possui o maior número de empresas no mundo (de acordo com o site do governo federal, existem cerca de 20,2 milhões de empresas ativas<a href="#_edn5" name="_ednref5">[5]</a>) e cuja LGPD vem caminhando com passos similares ao RGPD?
Bem verdade que o RGPD, diferentemente da LGPD, já delimita exatamente quais são os cenários em que as organizações são obrigadas a nomear um DPO, assim como seu dever de comunicar tal nomeação à Autoridade Supervisora competente. Tal dever de comunicação se aplica de igual forma àquelas organizações que desejam nomear o agente de forma voluntária, sem imposição legal – o que pode explicar ainda mais os números registrados pela AEPD.
Sendo o caso, para facilitar o contato com cada DPO nomeado, a AEPD disponibiliza o “<a href="https://sedeagpd.gob.es/sede-electronica-web/vistas/infoSede/consultaDPD.jsf;jsessionid=4ZrUUQGlNTW4ucv9Iz8WC0aU">Registro Público DPD</a>”<a href="#_edn6" name="_ednref6">[6]</a> em seu site. Trata-se de mecanismo gratuito e de livre acesso, que permite que qualquer indivíduo entre em contato com o DPO de uma determinada organização para obter mais informações sobre o tratamento dos seus dados pessoais, exercer os seus direitos ou abrir uma requisição. Além de atualizado diariamente, tal recurso apenas exige que o titular indique o nome, a razão social ou o CNPJ da organização desejada.
Dentre as hipóteses referentes à obrigatoriedade de nomeação de um DPO, a legislação europeia dispõe que o “controlador” (como é chamado o agente a quem compete as decisões referentes ao tratamento de dados pessoais) e o “processador” (aquele que realiza o tratamento de dados pessoais em nome do controlador) deverão designar um DPO, quando (i) o tratamento for efetuado por uma autoridade ou organismo público – com exceção dos órgãos jurisdicionais que atuem no exercício das suas funções; (b) suas atividades principais exigirem o monitoramento regular e sistemático em grande escala dos titulares dos dados; ou (c) suas atividades principais consistirem no tratamento de uma grande variedade de categorias especiais de dados e de dados pessoais relativos a condenações penais e infrações.
Já a LGPD apenas determina, em seu artigo 41, que “o controlador de dados deverá indicar um encarregado pelo tratamento de dados pessoais” <a href="#_edn7" name="_ednref7">[7]</a>. Não delimita, portanto, (i) as hipóteses de dispensa da necessidade de indicação do Encarregado em razão da natureza e porte da entidade ou o volume de operações de tratamento de dados pessoais em questão, (ii) se tal “pessoa” deve ser física ou jurídica, se deve ser um funcionário da organização ou um agente externo – o que pode facilitar tal nomeação àquelas organizações que possuem estrutura, autonomia ou mão-de-obra mais limitada, (iii) tampouco, a LGPD define os critérios técnicos exigíveis para a função do Encarregado – apesar de no projeto de lei constar dispositivo que continha esse tipo de definição, mas que acabou não sendo aprovado.
Assim, sem esgotar todas as obrigações passíveis de questionamento, até o momento, cabe à ANPD regulamentar o tema. Ora, com tantos cenários de implicação já definidos lá fora, não seria demais se questionar em que pé a legislação brasileira anda. 
Ainda que atualmente mais flexível quanto a determinados aspectos elencados anteriormente, a LGPD exige que a identidade e as informações de contato do Encarregado devem ser divulgadas publicamente, de forma clara e objetiva, preferencialmente no sítio eletrônico do controlador. Contudo, tendo-se em vista a ausência de previsão legal ou regulamentar, ainda não há necessidade de comunicação ou de registro da identidade e das informações de contato do Encarregado perante a ANPD – segundo o mais recente <a href="https://www.gov.br/anpd/pt-br/assuntos/noticias/inclusao-de-arquivos-para-link-nas-noticias/2021-05-27-guia-agentes-de-tratamento_final.pdf">Guia Orientativo</a><a href="#_edn8" name="_ednref8">[8]</a> publicado.
Ao contrário da versão atual, as orientações publicadas na versão original do Guia não ressoavam como medidas provisórias da autoridade brasileira, podendo-se interpretar a possibilidade de exigência da comunicação e registro do Encarregado como uma obrigação a ser imposta num futuro não tão distante<a href="#_edn9" name="_ednref9">[9]</a>:Nesse cenário, caso a ANPD siga o exemplo da Agência Espanhola, não ter um Encarregado chama mais atenção do que ter. 
E quem quer esse tipo de atenção?
No mundo pós regulamentação de proteção de dados, uma coisa é certeira: a Europa continua como uma referência para o Brasil. Como são inúmeros os aspectos que diferem as duas realidades aqui analisadas, uma verdade vem à tona: a importância do Encarregado para empresas efetivamente maduras do ponto de vista da proteção de dados. Tendo em mente que é de extrema importância que as organizações brasileiras observem o comportamento internacional e se antecipem quanto ao cumprimento de responsabilidades bastante delicadas como essa.
Se “a comparação é o ladrão da comemoração”, cabe aos empreendedores e organizações brasileiras entenderem a importância do Encarregado como peça chave na liderança da estrutura organizacional do cumprimento com a LGPD e demais legislações aplicáveis<a href="#_edn10" name="_ednref10">[10]</a> e refletirem, também por meio de números expressivos – e com inspiração naqueles internacionais, referidos no início deste artigo - que superaram a mentalidade do medo de multas e sanções e adotaram, de vez, a conformidade como um recurso para sobreviver a um mercado global movido a dados<a href="#_edn11" name="_ednref11">[11]</a>.
<hr />
<a href="#_ednref1" name="_edn1">[1]</a> <a href="https://www.aepd.es/es">Agencia Española de Protección de Datos | AEPD</a>
<a href="#_ednref2" name="_edn2">[2]</a> <a href="https://www.aepd.es/es/documento/ps-00417-2019.pdf">PS-00417-2019 Resolución de fecha 01-04-2020 Artículo 21 37 RGPD (aepd.es)</a>
<a href="#_ednref3" name="_edn3">[3]</a> <a href="https://gdpr-info.eu/">General Data Protection Regulation (GDPR) – Official Legal Text (gdpr-info.eu)</a>
<a href="#_ednref4" name="_edn4">[4]</a> <a href="https://www.aepd.es/es/prensa-y-comunicacion/notas-de-prensa/mas-de-100.000-organizaciones-ya-cuentan-con-un-delegado-de">More than 100,000 organizations already have a data protection officer | AEPD</a>
<a href="#_ednref5" name="_edn5">[5]</a> <a href="https://www.gov.br/empresas-e-negocios/pt-br/mapa-de-empresas">Mapa de Empresas — Português (Brasil) (www.gov.br)</a>
<a href="#_ednref6" name="_edn6">[6]</a> <a href="https://sedeagpd.gob.es/sede-electronica-web/vistas/infoSede/consultaDPD.jsf;jsessionid=4ZrUUQGlNTW4ucv9Iz8WC0aU">Escritório Eletrônico - Agência Espanhola de Proteção de Dados (sedeagpd.gob.es)</a>
<a href="#_ednref7" name="_edn7">[7]</a> <a href="https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm">L13709 (planalto.gov.br)</a>
<a href="#_ednref8" name="_edn8">[8]</a> <a href="https://www.gov.br/anpd/pt-br/assuntos/noticias/inclusao-de-arquivos-para-link-nas-noticias/2021-05-27-guia-agentes-de-tratamento_final.pdf">2021-05-27-guia-agentes-de-tratamento_final.pdf (www.gov.br)</a>
<a href="#_ednref9" name="_edn9">[9]</a> LIMA, Ana Paula Canto de / ALVES, Fabrício da Mota, Coordenação. Comentários aos Regulamentos e Orientações da ANPD: a atuação administrativa da Autoridade Nacional de Proteção de Dados. Thomsom Reuters. São Paulo, 2022.
<a href="#_ednref10" name="_edn10">[10]</a> VAINZOF, Rony / FABRETTI, Henrique. Governança e o DPO como núcleo da jornada de conformidade com a LGPD: O Encarregado (Data Protection Officer – DPO) pode ser visto como um compliance officer de dados pessoais. JOTA. Mar, 2020. Disponível em: <a href="https://www.jota.info/opiniao-e-analise/artigos/governanca-e-o-dpo-como-nucleo-da-jornada-de-conformidade-com-a-lgpd-23032020">https://www.jota.info/opiniao-e-analise/artigos/governanca-e-o-dpo-como-nucleo-da-jornada-de-conformidade-com-a-lgpd-23032020</a>. Acesso em: 21/03/2023.<a href="#_ednref11" name="_edn11"></a>

https://images.jota.info/wp-content/uploads/2021/09/copy-of-jota-logo-high-cmyk.jpeg

JOTA

O que esperar para o cenário brasileiro?

Agência espanhola de proteção de dados registra mais de 100 mil DPOs

AEPD, a agência espanhola de proteção de dados, é obrigada a comunicar DPO nomeado por cada organização e mais de 100 mil são registrados