Opinião e Análise

Jean Marc Sasson

Flávia Castro

Tatiana Coutinho

Rafael Marques

Com a veloz inserção do uso da tecnologia como ferramenta para tratamento de dados pessoais, surge, para todas as organizações, a obrigatoriedade da adoção de medidas que garantam a privacidade e a proteção de dados pessoais, nos termos da Lei Geral de Proteção de Dados Pessoais (“LGPD”).
Neste contexto, torna-se imprescindível às organizações que almejem se tornar exponenciais - crescer em pouco tempo (ou exponencialmente) sem abordagens rígidas e datadas - desenvolverem uma visão de futuro que considere os impactos de novas metodologias disruptivas de trabalho, tecnologias e inovações nos processos de negócio e transmita aos stakeholders a compreensão de que privacidade e proteção de dados pessoais fazem parte da estratégia de negócio.
O grande trunfo destas organizações está menos vinculado à força de trabalho e mais à valorização dos dados e informações tratadas, isto é, automatizar processos e alocar a força de trabalho em atividades que exigem análise e raciocínio, gerando maior valor ao negócio. Desta forma, as organizações exponenciais valorizam-se por uma gestão empresarial ágil, com maior fluxo de ideias e na identificação de oportunidades de negócios e soluções para dores que o mercado ainda não percebeu.
É neste cenário que se mostra relevante a figura do Encarregado pelo tratamento de dados pessoais, pessoa indicada<a href="#_ftn1" name="_ftnref1">[1]</a> pelo controlador de dados nos termos do artigo 41 da <a href="https://www.jota.info/tudo-sobre/lgpd">LGPD</a><a href="#_ftn2" name="_ftnref2">[2]</a>,, mais conhecido como Data Protection Officer (“DPO”).
Em regra, as funções do DPO vão desde receber reclamações e comunicações dos titulares de dados pessoais e da Autoridade Nacional de Proteção de Dados - ANPD até orientar colaboradores e parceiros a respeito das práticas a serem adotadas para a proteção de dados pessoais. Em outros termos, atua como representante da organização em questões relacionadas à privacidade e proteção de dados pessoais e como disseminador da cultura e regras da organização em relação ao tema.
Estas funções mais tradicionais, após a conclusão do projeto de adequação da organização à LGPD, somam-se às funções de coordenação de ações relacionadas à atualização e manutenção do Registro de Tratamento de dados pessoais<a href="#_ftn3" name="_ftnref3">[3]</a>, atualização das políticas e normativos da organização relacionados à privacidade e proteção de dados pessoais, participação no desenvolvimento de novos projetos que envolvam tratamento de dados pessoais para que sejam implementados com privacy by design<a href="#_ftn4" name="_ftnref4">[4]</a>, além da manutenção dos treinamentos dos colaboradores e fortalecimento da cultura de privacidade e proteção de dados pessoais na organização para os clientes, investidores, fornecedores e parceiros de negócio.
Como se percebe, o DPO exerce inúmeras funções de proteção e mitigação de riscos institucionais que, muito embora venha prevalecendo atualmente uma visão turva do mercado a respeito da sua importância - restringindo-a às atribuições legais e cumulando-a com outras funções -, o coloca em uma posição privilegiada de visibilidade da maioria dos processos e estratégias de negócio da organização, o que o permite gerar valor e disrupções para todo o negócio.
Nesta esteira, com uma melhor visibilidade sobre a maioria dos processos, do organograma da organização e com uma mentalidade centrada nos princípios da necessidade e da minimização estabelecidos pela LGPD, o DPO poderá sugerir, por exemplo, a otimização e/ou automatização de processos burocráticos, aumentar o compliance através do tratamento adequado dos dados pessoais dos clientes/titulares dos dados e, assim, aumentar o engajamento dos colaboradores e da alta administração e o incremento da segurança das informações de pessoas jurídicas e físicas.
Além disso, o DPO poderá conectar as atualizações regulatórias com as demandas dos stakeholders, tais como as requisições de titulares de dados pessoais, principalmente no que concerne à divulgação das informações para fins comerciais e marketing, sem contar a possibilidade de apoiar o desenho de processos e estratégias de User Experience<a href="#_ftn5" name="_ftnref5">[5]</a>, sobretudo, na percepção de valor da privacidade e proteção de dados pessoais pelos clientes, colaboradores e investidores.
Neste aspecto, inclusive, o DPO tem o condão de contribuir para a implementação da agenda ESG justamente por mitigar os riscos inerentes ao negócio e incrementar a governança da organização através do alinhamento de interesses dos stakeholders, como sócios, acionistas, colaboradores, clientes, agências reguladores etc., e melhorar a transparência no disclousure dos dados e informações relevantes.
Isto porque, como se sabe, hoje, a segurança cibernética é um risco emergente a ser enfrentado pelas organizações, em especial, os emissores públicos, considerando que os investidores querem cada vez mais aprofundar o seu conhecimento sobre como esses riscos são gerenciados pela organização. Embora atualmente existam muitos emissores que fornecem uma divulgação transparente de segurança cibernética aos investidores, é verdade que tais informações ainda não são exigidas de maneira consistente, comparável e útil para a tomada de decisões.
Desta maneira, o DPO poderá apoiar na taxonomia da divulgação destas informações, seja através da emissão de relatórios sobre incidentes materiais de segurança cibernética, seja através da revisão periódica de políticas e procedimentos que identifiquem e gerenciem riscos de segurança cibernética. Além disso, poderá reportar ao Conselho de Administração sobre a avaliação e gerenciamento dos riscos de segurança cibernética, tudo para melhorar a gestão de risco e o disclousure destas informações aos stakeholders.
De qualquer perspectiva, os agentes de tratamento precisam de cautela para não desconsiderar os potenciais conflitos de interesse no alinhamento de interesses dos stakeholders, tendo em vista a necessidade de o DPO atuar de forma imparcial e dentro dos parâmetros legais das atividades de tratamento de dados pessoais nos termos da <a href="https://www.in.gov.br/en/web/dou/-/lei-n-14.058-de-17-de-setembro-de-2020-278155040">LGPD[</a><a href="#_ftn6" name="_ftnref6">6]</a> e da legislação europeia de proteção de dados (GDPR)<a href="#_ftn7" name="_ftnref7">[7]</a> .
Em suma, o DPO tem a capacidade de promover uma cultura digital, de privacidade de dados pessoais e ESG muito além das atribuições legais, baseada em princípios éticos e democráticos que possibilitem o acesso de qualquer pessoa às informações relevantes, além de atuar reforçando a adoção de linhas de reporte claras, delimitando processos internos, implementando frameworks,<a href="https://www.fiveacts.com.br/tipos-de-analise-de-dados/"> indicadores e mecanismos de auditoria </a>para endereçamento dessas questões de maneira responsável e estratégica.
Tudo isso empregará maior confiança aos stakeholders que avaliam as práticas relacionadas à privacidade, proteção de dados pessoais, cibersegurança e combate aos riscos emergentes da agenda ESG como diferencial de atuação de uma organização, uma vez que aquelas que demonstrarem que a privacidade e proteção de dados pessoais é um valor essencial e caro na sua governança obterão maior adesão do mercado.
Portanto, o DPO exponencial é o profissional mais capacitado para quebrar paradigmas e elevar o negócio a outro patamar de competitividade, além de agregar valor à organização e a todos os seus stakeholders não só através das responsabilidades relacionadas às atividades inerentes das rotinas de privacidade e proteção de dados pessoais, mas também no acompanhamento de projetos desde a sua concepção para incorporar aos produtos  processos os conceitos de privacidade, sem olvidar a necessidade de estar sempre antenado e atualizado com as normas e regulamentos do setor em que está inserido, possuindo conhecimento técnico, mas, igualmente, capacitado a atuar com toda complexidade e sensibilidade necessária nas mais diversas áreas de negócio da organização.
______________________________________________________
<a href="#_ftnref1" name="_ftn1">[1]</a> Com exceção dos agentes de tratamento de pequeno porte, conforme Art. nº 11 da Resolução CD/ANPD nº 2, de 27 janeiro de 2022
<a href="#_ftnref2" name="_ftn2">[2]</a> LGPD - Art. 41. O controlador deverá indicar encarregado pelo tratamento de dados pessoais. (...) § 2º As atividades do encarregado consistem em: I - aceitar reclamações e comunicações dos titulares, prestar esclarecimentos e adotar providências; II - receber comunicações da autoridade nacional e adotar providências; III - orientar os funcionários e os contratados da entidade a respeito das práticas a serem tomadas em relação à proteção de dados pessoais; e IV - executar as demais atribuições determinadas pelo controlador ou estabelecidas em normas complementares.
<a href="#_ftnref3" name="_ftn3">[3]</a> LGPD - Art. 37. O controlador e o operador devem manter registro das operações de tratamento de dados pessoais que realizarem, especialmente quando baseado no legítimo interesse.
<a href="#_ftnref4" name="_ftn4">[4]</a> Em essência, isso significa que você precisa integrar ou "incorporar" a proteção de dados em suas atividades de processamento e práticas de negócios, desde o estágio de design até o ciclo de vida. – ICO – disponível em: <a href="https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-the-general-data-protection-regulation-gdpr/accountability-and-governance/data-protection-by-design-and-default/">https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-the-general-data-protection-regulation-gdpr/accountability-and-governance/data-protection-by-design-and-default/</a>, acesso em 06/10/2022.
<a href="#_ftnref5" name="_ftn5">[5]</a> Expressão utilizada para mensurar a relação do usuário (cliente) com a utilização de produtos e serviços.
<a href="#_ftnref6" name="_ftn6">[6]</a> Nos termos do art. 41, § 3º da LGPD, a ANPD apresentou a agenda regulatória 2023-2024, onde menciona a iniciativa para se estabelecer normas complementares sobre a definição e as atribuições do encarregado, inclusive hipóteses de dispensa da necessidade de sua indicação, conforme a natureza e o porte da entidade ou o volume de operações de tratamento de dados– disponível em: ttps://www.in.gov.br/en/web/dou/-/portaria-anpd-n-35-de-4-de-novembro-de-2022-442057885
<a href="#_ftnref7" name="_ftn7">[7]</a> Art. 38 – GDPR [...] O encarregado da proteção de dados pode exercer outras funções e atribuições. O responsável pelo tratamento ou o subcontratante assegura que essas funções e atribuições não resultam num conflito de interesses. Disponível em: <a href="https://gdprinfo.eu/pt-pt/pt-pt-article-38">https://gdprinfo.eu/pt-pt/pt-pt-article-38</a>

lgpd

https://images.jota.info/wp-content/uploads/2021/09/copy-of-jota-logo-high-cmyk.jpeg

JOTA

DPO tem capacidade de promover uma cultura digital, de privacidade de dados pessoais e ESG muito além das atribuições legais

Data protection officer exponencial

Tratamento de dados pessoais na era da tecnologia avança e obriga organização a adoção de medidas que operem dentro das margens da LGPD