Livia Cunha Fabor (*)
Menos de seis (6) meses nos separam da vigência da Lei Geral de Proteção de Dados Pessoais (LGPD), que promoverá um giro conceitual na forma em que as empresas se relacionam com dados de pessoais físicas.
A responsabilidade, transparência e medidas de segurança que a LGPD impõe, já gravitam no ordenamento jurídico brasileiro, em leis não específicas sobre o tema. Contudo, não existe uma prestação de contas aos titulares sobre o tratamento de seus dados pessoais. Muito se deve à falta de informação; de como fazê-lo; e/ou meios para tanto. Esse entrave acaba por desestimular os titulares na busca de direitos, já garantidos pelas normas existentes.
Pensando nisso, inspirado no Data Protection Officer (DPO), da lei europeia de proteção de dados, o General Data Protection Regulation, o legislador brasileiro introduziu no texto da LGPD a figura do Encarregado de Dados (Encarregado), definido como a “pessoa indicada pelo controlador e operador para atuar como canal de comunicação entre o controlador, os titulares dos dados e a Autoridade Nacional de Proteção de Dados (ANPD)”.
Desde a promulgação da LGPD, o Encarregado, que deverá ser indicado e apresentado ao público em geral como tal, preferencialmente no site da empresa, tem gerado muitas dúvidas, em especial sobre sua escolha, responsabilidades e conhecimento técnico requerido ao bom desempenho da função.
Nos termos do artigo 41, parágrafo 2º da LGPD, cabe ao Encarregado: (1) aceitar reclamações e comunicações dos titulares, prestar esclarecimentos e adotar providências; (2) receber comunicações da ANPD e adotar providências; (3) orientar os empregados e os contratados a respeito das práticas a serem tomadas em relação à proteção de dados pessoais; e (4) executar as demais atribuições determinadas pela empresa ou estabelecidas em normas complementares.
O Encarregado é o responsável, essencialmente, por ser a ponte entre titular de dados, empresa e autoridades. Ele não responde por danos aos titulares decorrentes do tratamento de dados, sendo responsável apenas pelo que lhe impõe a lei e/ou o que pactuou em contrato com empresa que o nomeou como tal. Após alterações no texto original, a LGPD abriu a possibilidade de ter uma pessoa jurídica como Encarregado.
Sendo assim, esse papel não necessariamente será desempenhado por um empregado, o que alivia a empresa de uma nova contratação ou acumulação de funções por um que já integrante, com todos os encargos associados, bem como mitiga potencial conflito de interesses que esse profissional interno pode enfrentar. As empresas que optarem por ter um Encarregado integrante de seus quadros deve ter uma preocupação com o nível de independência desse profissional para que sua atuação não reste comprometida.
Em regra, pessoas jurídicas não podem exercer administração de sociedades e não seria razoável presumir que tal exercício por pessoas físicas acarretaria em mais responsabilidades, além das previstas no texto da lei, com base no princípio constitucional da legalidade. Sendo assim, a delimitação clara das atribuições e obrigações do Encarregado, interno ou externo, não se confundem com os deveres inerentes a um diretor e/ou administrador, conforme previsto na lei societária, exceto se pactuada pelas partes.
O Encarregado é uma inovação extremamente positiva e uma materialização do compromisso da empresa com os direitos dos titulares e com o compliance à nova legislação. A escolha deve ser criteriosa e considerar o perfil de riscos da empresa. O bom Encarregado domina os fluxos e processos da empresa, para rápido direcionamento e ações requeridas, além de noções das obrigações previstas nas leis de proteção de dados aplicáveis e do ambiente regulatório.
(*) – É advogada e a head de compliance do Martinelli Advogados.