Responsabilidades e Responsabilizações do DPO

A Lei Geral de Proteção de Dados – LGPD, traz em seu bojo o conceito e definição das atribuições dos agentes de tratamento de dados.

São considerados agentes de tratamento o controlador, o operador e o encarregado de dados.

Aqui abordaremos de forma detalhada como se dá a atuação do encarregado de dados, também conhecido como DPO, e a quais riscos este profissional está exposto, em decorrência da sua atuação.

Funções atribuídas ao DPO

O Encarregado de dados, também conhecido pela sigla DPO (Data protection officer), possui um papel fundamental para a efetividade da lei geral de proteção de dados nas organizações, sejam elas públicas ou privadas.

Há quem chame o DPO de guardião da LGPD, em decorrência da importância da sua atuação, uma vez que a ele cabe a garantia de que os dados pessoais sejam tratados de forma segura, ética e de acordo com os princípios e diretrizes da LGPD.

Para efetividade de um programa de proteção de dados, ao DPO cabe a execução de tarefas que garantirão a conformidade com a LGPD.

A Lei geral de proteção de dados, mais conhecida pela sigla LGPD, visa proteger os dados pessoais dos titulares e garantir sua privacidade. Atualmente a maior parte dos dados circula por meios digitais, o que facilita a prática de crimes cibernéticos. Com a regulamentação acerca do tratamento de dados pessoais, estes não deverão mais ser compartilhados em razão ou sem o consentimento expresso do titular dos dados.

O DPO ou encarregado de dados, deve desempenhar as funções previstas na LGPD, as quais estão dispostas no parágrafo segundo do artigo 41 da Lei sendo elas:

• I – aceitar reclamações e comunicações dos titulares, prestar esclarecimentos e adotar providências;
• II – receber comunicações da autoridade nacional e adotar providências;
• III – orientar os funcionários e os contratados da entidade a respeito das práticas a serem tomadas em relação à proteção de dados pessoais; e
• IV – executar as demais atribuições determinadas pelo controlador ou estabelecidas em normas complementares.

Para a fiel execução das tarefas atribuídas ao DPO, é imprescindível que este profissional conheça profundamente a LGPD e as técnicas de adequação das serventias.

DPO como Canal de Comunicação

Conforme mencionado o Encarregado de dados, possui um papel fundamental para a execução do programa de proteção de dados na organização, haja vista que dentre outras funções está a de supervisionar as práticas diárias e a conformidade com a LGPD.

Dentre outras funções do DPO está a de intermediar o contato entre o titular e controlador de dados, bem como entre o controlador e a Autoridade Nacional de Proteção de Dados – ANPD.

O DPO atua como um canal direto para receber solicitações, dúvidas e reclamações dos titulares de dados, cabendo a ele analisar as solicitações e em um prazo razoável, responder ao titular bem como adotar as medidas necessárias. O atendimento às solicitações dos titulares, bem como os esclarecimentos que se fizerem necessários é direito garantido, previsto na LGPD.

Assim como nas demandas entre titular e controlador de dados, o DPO deve atuar como ele entre a organização e a Autoridade Nacional de Proteção de Dados – ANPD, sendo seu dever enviar notificações obrigatórias à ANPD, bem como atuar de forma colaborativa com as investigações e fornecer informações quando solicitadas pela Autoridade.

Implementação e Monitoramento da LGPD

Uma vez elaborado o programa de proteção de dados e elencadas as medidas de adequação necessárias para a conformidade da organização, o DPO deve atuar na supervisão da rotina, para fiel cumprimento das medidas de segurança.

Havendo a identificação da necessidade de adoção de novas medidas de segurança, o DPO deve contribuir para a implementação das novas práticas, a fim de minimizar os riscos de vazamento, coleta e compartilhamento indevido de dados pessoais.

Em caso de incidentes de segurança, o DPO deve tomar as medidas cabíveis para conter os danos, bem como atuar na investigação das causas e notificação aos titulares dos dados e a ANPD, sempre que necessário.

Conscientização e mobilização

Como guardião da LGPD o DPO deve de forma constante conscientizar os colaboradores da serventia, acerca da importância e necessidade de adequação à LGPD, bem como do cumprimento das medidas de segurança adotadas.

Ainda, o DPO deve realizar treinamentos específicos para os colaboradores, de forma a demonstrar a sua importância e a aplicabilidade em cada um dos setores da serventia, os quais diária e diretamente tratam dados pessoais, garantindo que eles estejam aptos a cumprir as determinações impostas pela LGPD.

NOMEAÇÃO DO ENCARREGADO DE DADOS NAS SERVENTIAS

O provimento 134/CNJ/2022, dispõe no capítulo V, acerca das peculiaridades para a nomeação do encarregado de dados, para atuação junto às serventias extrajudiciais.

O Provimento menciona que o DPO/ Encarregado de dados pode ser externo (DPO as a service) ou pode ser um profissional interno da serventia, todavia necessário atentar-se ao possível acúmulo de funções ou conflito de interesses, em especial quando o Encarregado nomeado é servidor do quadro interno da serventia.

Outro importante aspecto quanto à nomeação, é que as serventias classificadas como “classe I e classe II”, poderão nomear encarregado de dados de forma conjunta.

Desta forma, considerando o significativo número de dados pessoais tratados pelos cartórios, cabe ao Controlador de dados, ou seja ao titular da serventia definir pela nomeação do DPO de forma adequada para atender a serventia.

O DPO atua como elo fundamental entre a serventia, os titulares dos dados e a Autoridade Nacional de Proteção de Dados - ANPD. Sua função vai além da gestão e da guarda dos processos de privacidade e proteção de dados nas servemtias. O DPO é, na prática, um gestor e guardião da privacidade.

A Responsabilidade do DPO

Conforme já mencionado, o DPO possui papel fundamental para que a serventia atue em conformidade com a Lei Geral de Proteção de Dados - LGPD. No desempenho de suas funções, o DPO garante que os dados pessoais sejam tratados de forma segura, ética e em consonância com os princípios da LGPD, em respeito ao programa de proteção de dados implementado na serventia.

Considerando a importância da atuação do DPO para a serventia, surge a dúvida, se o DPO responde pelos seus atos. Apesar de parecer simples, esta pergunta é bastante complexa e a resposta depende da análise do caso concreto, todavia, há situações nas quais o DPO pode ser responsabilizado, em decorrência da sua atuação.

Para se analisar a responsabilidade do DPO é necessário identificar se este cometeu infração, a gravidade da infração, bem como o grau de culpa. Ademais, é necessário analisar a situação de forma conjunta com as medidas de segurança implementadas pela serventia.

A responsabilização do DPO não ocorre de forma automática, em caso de infrações cometidas pela serventia. Todavia, existem hipóteses nas quais há responsabilização do DPO, o qual deve responder por seus atos.

Agindo com dolo ou culpa grave, de forma intencional ou atuando com negligência, cujas ações podem ocasionar danos à serventia ou aos titulares dos dados, o DPO pode ser responsabilizado civil e criminalmente, a depender do caso.

As funções do DPO estão expressas na LGPD, o não cumprimento das obrigações legais ou contratuais do DPO, como falhas na supervisão das rotinas e medidas de segurança ou na comunicação de incidentes à ANPD ou aos titulares, pode gerar sua responsabilização pelas consequências negativas advindas da sua conduta.

Além do disposto na LGPD, a Autoridade Nacional de Proteção de Dados, publicou guia orientativo acerca da atuação dos agentes de tratamento de dados, o qual inclui o Encarregado de dados – DPO. Assim, a atuação em descordo com as normativas podem levar à responsabilização do DPO pelas sanções administrativas aplicadas à serventia.

Torna-se importante mencionar que todos os agentes de tratamento de dados, controlador, operador e encarregado, devem atuar conforme as suas atribuições e responsabilidades, cada um respondendo pela conduta e funções que lhe cabem.

Como visto, a função de DPO é deveras complexa, devendo o profissional ou empresa nomeada, ter alto nível de conhecimento, responsabilidade e compromisso com a proteção de dados, além de compreender os cenários de responsabilização e atuar em estrita conformidade com as leis e diretrizes aplicáveis às serventias, é crucial para o sucesso na função e para a segurança da organização.