O Encarregado de Dados é definido pela Lei Geral de Proteção de Dados Pessoais – LGPD (Lei nº 13.709/2018) da seguinte forma: “pessoa indicada pelo controlador e operador para atuar como canal de comunicação entre o controlador, os titulares dos dados e a Autoridade Nacional de Proteção de Dados (ANPD)”, e conhecido também como Data Protection Officer (DPO), conforme disposto no Regulamento Geral de Proteção de Dados (GDPR) da União Europeia.
Em outras palavras, essa figura é o elo de comunicação entre uma determinada Instituição, a ANPD e os titulares de dados, e, portanto, crucial para o desenvolvimento do processo de adequação à LGPD, sendo a proatividade e o seu envolvimento nas atividades internas aspectos primordiais para o desempenho eficaz da Instituição, no que diz respeito ao tratamento adequado dos dados pessoais.
Dessa forma, o DPO é o responsável por gerenciar o Programa de Adequação à LGPD, e, por esse motivo, definir e acompanhar a implementação de políticas, diretrizes e procedimentos internos sobre privacidade e proteção de dados.
Dito isso, é importante mencionar que apesar da LGPD dispor sobre a necessidade de indicação do responsável, não é indicado na legislação os requisitos mínimos e atribuições que precisam ser observados para que a escolha do profissional seja feita.
Entretanto, o Ministério da Economia, divulgou a Instrução Normativa SGD/ME nº 117, de 19 de novembro de 2020, que dispõe sobre a indicação do Encarregado pelo Tratamento dos Dados Pessoais no âmbito dos órgãos e das entidades da administração pública federal direta, autárquica e fundacional. Oportunidade em que foi disposto que o Encarregado de Dados não deverá se encontrar lotado nas unidades de Tecnologia da Informação ou ser gestor responsável de sistemas de informação no órgão ou entidade para que não haja conflito de interesses.
Além disso, a ANPD, por meio de matéria divulgada em seu site, esclareceu que não existe qualquer exigência legal de registro, perante a ANPD ou perante associações privadas de encarregados como condição para o exercício da profissão ou como requisito para sua contratação, bem como não há reconhecimento oficial da ANPD quanto a eventuais mecanismos de registro privado desses profissionais.
Ainda, a fim de estabelecer normas complementares sobre a definição e atribuições do Encarregado de Dados, a ANPD publicou recentemente a Consulta Pública nº 3/2023, referente à minuta de Regulamento sobre a atuação do Encarregado, para oportunizar a sociedade a participação e contribuição acerca do tema.
Observa-se no documento proposto que é imprescindível que não haja conflito de interesse entre as funções já exercidas pelo responsável e as novas funções relacionadas ao papel do Encarregado de Dados, bem como que o profissional possua conhecimentos multidisciplinares essenciais à sua atribuição que possam auxiliar na tomada de decisões e deliberações acerca das atividades de tratamento.
Dessa maneira, verifica-se que além de cumprir uma exigência legal, o DPO desempenha um papel fundamental na promoção e construção de uma cultura organizacional de privacidade e proteção de dados, e terá suas atribuições mais bem definidas, após a finalização da consulta pública divulgada pela ANPD.