Em um mundo cada vez mais digitalizado, a proteção de dados tornou-se uma prioridade para empresas de todos os tamanhos e setores. Com a implementação de leis de proteção de dados em diversos países, surge a figura do DPO (Data Protection Officer) ou, em português, Encarregado de Proteção de Dados.
Mas o que é o DPO e por que sua empresa precisa desse profissional? Vamos descobrir!
O que é DPO?
DPO, ou Data Protection Officer, é o profissional responsável por supervisionar a estratégia e implementação das políticas de proteção de dados de uma empresa. Ele garante que a organização esteja em conformidade com as leis de proteção de dados locais e internacionais, e atua como ponto de contato entre a empresa e a ANPD.
Por que sua empresa precisa de um DPO?
1. Conformidade Legal: Com a crescente ênfase na proteção de dados, muitos países estão implementando leis rigorosas que exigem a nomeação de um DPO. Ter um DPO garante que sua empresa esteja em conformidade com essas leis, evitando multas e sanções.
2. Construção de Confiança: Em um mundo onde as violações de dados estão se tornando comuns, ter um DPO mostra aos seus clientes e parceiros que você leva a proteção de dados a sério, construindo confiança e credibilidade no mercado.
3. Especialização: A proteção de dados é um campo complexo que requer conhecimento especializado. Um DPO tem a formação e experiência necessárias para navegar nas nuances das leis de proteção de dados e garantir que sua empresa esteja protegida.
De acordo com a LGPD, quais empresas são obrigadas a nomear um DPO?
Com a entrada em vigor da LGPD, todas as empresas, inicialmente, eram obrigadas a indicar um Encarregado de Dados Pessoais (DPO). No entanto, em 2022 a ANPD facultou essa obrigação para Agentes de Pequeno Porte.
E quem pode se enquadrar como Agente de Pequeno Porte?
Conforme o art. 2º, I, da Resolução CD/ANPD Nº 2/2022, são considerados agentes de tratamento de pequeno porte:
a) Micro e pequenas empresas, abrangendo sociedades empresárias, simples, limitadas unipessoais, microempreendedores individuais e empresários conforme o art. 966 do Código Civil. Estes devem estar registrados no Registro de Empresas Mercantis ou Registro Civil de Pessoas Jurídicas, atendendo aos critérios dos arts. 3º e 18-A, § 1º, da Lei Complementar nº 123/06;
b) Startups, definidas como empresas novas ou recentes, com foco em inovação em seus negócios, produtos ou serviços, conforme estabelecido no Capítulo II da Lei Complementar nº 182/21 (Marco Legal das Startups);
c) Outras entidades jurídicas privadas, como Associações, Fundações, Sindicatos, Partidos Políticos e Organizações Religiosas;
d) Indivíduos e entidades privadas não personificadas que processem dados pessoais com responsabilidades de controlador e/ou operador, exceto aqueles feitos por pessoas físicas para propósitos estritamente pessoais e não comerciais.
Segundo a Resolução, empresas categorizadas como Agentes de Pequeno Porte têm a nomeação de um DPO como facultativa, enquanto para as demais continua sendo obrigatória.
É fundamental salientar que, mesmo sem a exigência, contar com um DPO é altamente recomendado para reforçar o compromisso da empresa com a proteção de dados, assegurando a privacidade e consolidando a confiança de clientes e colaboradores.
Quais são as atribuições e responsabilidades do DPO?
As atribuições do DPO são amplas e variam dependendo da estrutura e necessidades específicas de cada organização. No entanto, algumas atribuições são comuns e fundamentais para o papel de um DPO:
1. Informar e Aconselhar: O DPO deve informar e aconselhar a organização e seus funcionários sobre suas obrigações de cumprir as leis de proteção de dados e outras normas de privacidade.
2. Monitorar a Conformidade: Uma das principais responsabilidades do DPO é monitorar a conformidade da organização com as leis de proteção de dados, incluindo a realização de auditorias e avaliações de risco.
3. Ponto de Contato: O DPO atua como ponto de contato entre a organização e as autoridades de supervisão, facilitando a comunicação em questões relacionadas à proteção de dados.
4. Treinamento: O DPO é responsável por organizar treinamentos e workshops para os funcionários da organização sobre práticas de proteção de dados e conscientização sobre privacidade.
5. Avaliação de Impacto: Quando necessário, o DPO deve conduzir ou supervisionar avaliações de impacto sobre a proteção de dados para processos que possam resultar em alto risco para os direitos e liberdades dos titulares dos dados.
6. Consultoria: O DPO deve ser consultado em questões relacionadas à proteção de dados, especialmente em casos de violações de dados ou quando novas tecnologias ou processos são implementados.
7. Manter Registros: O DPO deve manter registros detalhados de todas as atividades de processamento de dados realizadas pela organização.
8. Cooperação com a ANPD: O DPO deve cooperar com a ANPD e ser o ponto de contato para qualquer investigação ou consulta.
9. Garantir a Proteção de Direitos: O DPO deve garantir que os direitos dos titulares dos dados, como acesso, retificação, exclusão e objeção, sejam respeitados e facilitados.
10. Promover uma Cultura de Proteção de Dados: Além das tarefas técnicas e regulatórias, o DPO deve promover uma cultura de proteção de dados dentro da organização, garantindo que a privacidade seja considerada em todas as decisões e processos.
Em resumo, o DPO desempenha um papel multidisciplinar, combinando conhecimento técnico, regulatório e de gestão para garantir que as organizações tratem os dados pessoais de maneira responsável e em conformidade com a lei.
A nomeação de um DPO é apenas o primeiro passo. Para garantir que sua empresa esteja verdadeiramente protegida, é essencial contar com o apoio de especialistas jurídicos na área de proteção de dados. Eles podem fornecer orientação sobre as leis específicas aplicáveis ao seu setor específico, ajudar na elaboração de políticas e procedimentos e oferecer treinamento para sua equipe.
Se você deseja garantir que sua empresa esteja protegida e em conformidade com todas as leis aplicáveis, é hora de considerar a nomeação de um DPO e buscar o apoio de advogados especialistas em proteção de dados.
Entre em contato conosco hoje e descubra como podemos ajudar sua empresa a navegar com segurança no complexo mundo da proteção de dados!
Dúvidas frequentes quanto a atuação do DPO e selos de conformidade
A Autoridade Nacional de Proteção de Dados (ANPD) esclareceu em Nota, no dia 31/03/2023, dúvidas frequentes sobre a atuação do Encarregado e sobre a emissão de selos de conformidade com a LGPD. Confira abaixo:
1. As competências do encarregado estão descritas nos incisos I a IV do § 2º do art. 41 da LGPD, cabendo exclusivamente à ANPD, segundo o § 3º do mesmo artigo, “estabelecer normas complementares sobre a definição e as atribuições do encarregado”.
2. A ANPD ainda não estabeleceu normas complementares sobre as atribuições do encarregado, tema que será objeto de regulamentação futura, conforme previsto na Agenda Regulatória para o biênio 2023-2024.
3.Por isso, até a presente data, não há reconhecimento oficial, pela ANPD, quanto à validade de qualquer norma ou procedimento de conduta estabelecidos por entidades privadas com o objetivo de nortear a atuação dos profissionais que atuam como encarregado.
4. Ademais, não há qualquer exigência legal de que o relacionamento entre titulares de dados e o encarregado, ou entre o encarregado e a ANPD, se dê por meio de entidades intermediárias ou representativas. À luz da LGPD, o encarregado pode se relacionar diretamente com a ANPD e com os titulares de dados.
5.Não existe qualquer exigência legal de registro, perante a ANPD ou perante associações privadas, de profissionais de proteção de dados ou de encarregados como condição para o exercício da profissão ou como requisito para sua contratação. Tampouco há reconhecimento oficial da ANPD quanto a eventuais mecanismos de registro privado desses profissionais.
6.A ANPD esclarece que atualmente não credencia ou reconhece entidades ou empresas para a emissão de selos que possam atestar a adequação à LGPD, e tampouco para a homologação de softwares ou aplicativos em conformidade com a lei.
7.Desta forma, para fins de cumprimento da LGPD, também não há exigência legal de selos de conformidade à LGPD ou de homologações de software ou aplicativos. Tais instrumentos, se oferecidos por entidades privadas, não constituem garantia oficial de conformidade à legislação de proteção de dados pessoais.
Além dos esclarecimentos proferidos pela ANPD, são frequentes as dúvidas (FAQ DPO) quanto:
1. O DPO precisa ser um funcionário da empresa?
Não. A LGPD não especifica que o DPO precisa ser um funcionário interno. Ele pode ser um terceiro ou uma empresa externa contratada para desempenhar essa função.
2. Qual é a relação do DPO com a ANPD?
O DPO atua como um canal de comunicação entre a organização e a ANPD. Ele é responsável por cooperar e prestar informações à ANPD quando solicitado.
3. O que acontece se uma empresa não nomear um DPO quando exigido pela LGPD?
A empresa pode estar sujeita a sanções e penalidades previstas na LGPD, que podem incluir multas e proibições relacionadas ao tratamento de dados.
4. O DPO pode ser responsabilizado por violações da LGPD pela empresa?
O DPO atua como um consultor e facilitador da conformidade. A responsabilidade primária por violações da LGPD recai sobre a empresa. No entanto, é essencial que o DPO desempenhe suas funções adequadamente para evitar possíveis complicações.
5. Como os titulares de dados podem entrar em contato com o DPO?
As empresas devem fornecer informações claras e acessíveis sobre como os titulares dos dados podem entrar em contato com o DPO, geralmente por meio de um endereço de e-mail ou número de telefone dedicado.
6. O DPO precisa ter formação específica ou certificação?
A LGPD não estabelece requisitos específicos de formação ou certificação para o DPO. No entanto, é recomendável que ele tenha conhecimento profundo sobre proteção de dados, legislação relevante e práticas de gestão de riscos.
7. O DPO pode ter outras funções na empresa além de suas responsabilidades relacionadas à LGPD?
Sim, desde que essas funções não resultem em conflitos de interesse e ele possa desempenhar adequadamente suas funções como DPO.
8. Qual é a diferença entre DPO, Controlador e Operador na LGPD?
O DPO é o profissional responsável por garantir a conformidade da organização com a LGPD. O Controlador é quem toma as decisões sobre o tratamento de dados pessoais, enquanto o Operador é quem efetivamente realiza o tratamento de dados sob as instruções do Controlador.
9. O DPO precisa estar fisicamente presente na empresa?
Não. A LGPD não exige que o DPO esteja fisicamente presente na empresa. Ele pode desempenhar suas funções remotamente, desde que esteja acessível e possa cumprir suas responsabilidades efetivamente.
10. Como o DPO deve ser escolhido ou nomeado?
A escolha do DPO deve ser baseada em sua capacidade técnica, conhecimento sobre proteção de dados e compreensão das operações da empresa. Ele pode ser um funcionário existente ou um profissional externo contratado (DPO as a Service).
11. O DPO tem autonomia em suas decisões?
O DPO deve ter autonomia para desempenhar suas funções sem interferência, garantindo que ele possa agir de maneira imparcial e eficaz na proteção de dados.
12. Qual é o papel do DPO em caso de violação de dados?
Em caso de violação de dados, o DPO deve ajudar a avaliar a situação, informar as autoridades relevantes, comunicar-se com os titulares de dados afetados e recomendar medidas corretivas.
13. O DPO pode ser demitido ou substituído?
Sim, mas a demissão ou substituição do DPO deve ser feita com cuidado, garantindo que a organização continue cumprindo suas obrigações sob a LGPD e que não haja interrupção na proteção de dados.
14. Como o DPO se mantém atualizado sobre as mudanças na legislação ou melhores práticas?
O DPO deve participar regularmente de treinamentos, seminários e workshops relacionados à proteção de dados e manter-se informado sobre as atualizações na legislação e melhores práticas.
15. O DPO tem algum poder de veto ou decisão final sobre práticas de tratamento de dados?
O DPO atua como consultor e facilitador. Embora ele possa recomendar ou aconselhar contra certas práticas, a decisão final geralmente cabe ao Controlador.
16. Como o DPO interage com outros departamentos ou equipes na empresa?
O DPO deve trabalhar em colaboração com outros departamentos, como TI, marketing e recursos humanos, para garantir que as práticas de tratamento de dados em toda a organização estejam em conformidade com a LGPD.
17. Qual é a relação do DPO com fornecedores e parceiros externos que tratam dados em nome da empresa?
O DPO deve garantir que os fornecedores e parceiros externos cumpram a LGPD e outras regulamentações relevantes. Ele pode ser responsável por revisar e aprovar acordos de processamento de dados e garantir que medidas de segurança adequadas estejam em vigor.
