ANPD publica resolução sobre a atuação do encarregado pelo tratamento de dados pessoais

A Autoridade Nacional de Proteção de Dados (ANPD) publicou, em 17 de julho de 2024, a Resolução nº 18/2024, que aprova o regulamento sobre a atuação do encarregado pelo tratamento de dados pessoais.

A indicação do encarregado deve ser realizada por ato formal do agente de tratamento, do qual constem as formas de atuação e as atividades a serem desempenhadas.

Características e atividades do encarregado

De acordo com a resolução, o encarregado poderá ser tanto pessoa natural, integrante do quadro organizacional do agente de tratamento, externo a esse, ou então pessoa jurídica. Além disso, o encarregado deverá ser capaz de se comunicar com os titulares e com a ANPD, de forma clara e precisa e em língua portuguesa.

Além disso, o exercício da atividade de encarregado não pressupõe a inscrição em qualquer entidade nem qualquer certificação ou formação profissional específica. Cabe ao agente de tratamento estabelecer as qualificações profissionais necessárias para o desempenho dessas atribuições, considerando seus conhecimentos sobre a legislação de proteção de dados pessoais, bem como o contexto, o volume e o risco das operações de tratamento realizadas.

Pelo texto da resolução, as atividades do encarregado consistem em:

• Aceitar reclamações e comunicações dos titulares, prestar esclarecimentos e adotar providências cabíveis;
• Receber comunicações da ANPD e adotar providências;
• Orientar os funcionários e os contratados do agente de tratamento a respeito das práticas a serem tomadas em relação à proteção de dados pessoais; e
• Executar as demais atribuições determinadas pelo agente de tratamento ou estabelecidas em normas complementares.

Sempre que receber comunicações da ANPD, o encarregado deverá adotar as medidas necessárias para o atendimento da solicitação e para o fornecimento das informações pertinentes.

O desempenho das atividades e das atribuições dispostas na resolução não confere ao encarregado a responsabilidade, perante a ANPD, pela conformidade do tratamento dos dados pessoais realizado pelo controlador.

Identidade e informações de contato do encarregado

A resolução estabelece que o agente de tratamento deverá divulgar e manter atualizadas a identidade e as informações de contato do encarregado em local de destaque e de fácil acesso, no sítio eletrônico do agente de tratamento.

Dentre as informações mínimas de identidade do encarregado estão:

• O nome completo, se for pessoa natural; ou
• O nome empresarial ou o título do estabelecimento, bem como o nome completo da pessoa natural responsável, se pessoa jurídica.

Caso o agente de tratamento não possua sítio eletrônico, poderá realizar a divulgação da identidade e das informações de contato do encarregado por quaisquer outros meios de comunicação disponíveis, especialmente aqueles usualmente utilizados para contato com os titulares.

Deveres do agente de tratamento

A resolução estabelece que o agente de tratamento deverá:

• Prover os meios necessários para o exercício das atribuições do encarregado, neles compreendidos, entre outros, recursos humanos, técnicos e administrativos;
• Solicitar assistência e orientação do encarregado quando da realização de atividades e tomada de decisões estratégicas referentes ao tratamento de dados pessoais;
• Garantir ao encarregado a autonomia técnica necessária para cumprir suas atividades, livre de interferências indevidas, especialmente na orientação a respeito das práticas a serem tomadas em relação à proteção de dados pessoais;
• Assegurar aos titulares meios céleres, eficazes e adequados para viabilizar a comunicação com o encarregado e o exercício de direitos; e
• Garantir ao encarregado acesso direto às pessoas de maior nível hierárquico dentro da organização, aos responsáveis pela tomada de decisões estratégicas que afetem ou envolvam o tratamento de dados pessoais, bem como às demais áreas da organização.

Conflito de interesse

O conflito de interesse pode se configurar:

• Entre as atribuições exercidas internamente em um agente de tratamento ou no exercício da atividade de encarregado em agentes de tratamento distintos;
• Com o acúmulo das atividades de encarregado com outras que envolvam a tomada de decisões estratégicas sobre o tratamento de dados pessoais pelo controlador, ressalvadas as operações com dados pessoais inerentes às atribuições do encarregado.

A norma permite que o encarregado acumule funções e exerça suas atividades para mais de um agente de tratamento, desde que seja possível o pleno atendimento de suas atribuições relacionadas a cada agente de tratamento e inexista conflito de interesse.

A existência de conflito de interesse será objeto de verificação no caso concreto e poderá ensejar a aplicação de sanção ao agente de tratamento nos termos do art. 52 da LGPD.

É dever do encarregado declarar ao agente de tratamento qualquer situação que possa configurar conflito de interesse, responsabilizando-se pela veracidade das informações prestadas.

A resolução entra em vigor imediatamente.

Para mais informações sobre o tema, conheça a prática de Proteção de Dados e Cybersecurity do Mattos Filho.