Recentemente, a Autoridade Nacional de Proteção de Dados (ANPD) aprovou a Resolução CD/ANPD nº 18/24, que estabelece diretrizes para a atuação dos encarregados de proteção de dados no Brasil.
No ano passado, o tema foi objeto de Tomada de Subsídios pela Autoridade, que recebeu diversas contribuições apontando, principalmente, a exigência de obrigações não previstas na LGPD. No entanto, a versão final da Resolução, infelizmente, não refletiu grande parte das preocupações levantadas durante a consulta pública.
A fim de facilitar a conformidade com a Resolução, destacamos as principais mudanças introduzidas pelo documento, bem como as ações recomendadas:
a. Designação do encarregado: deverá ser realizada por ato formal, no qual constem as formas de atuação e as atividades a serem desempenhadas. A Autoridade esclarece que este ‘’ato formal’’ deve ser um documento escrito, datado e assinado, que demonstre de forma clara e inequívoca a designação do encarregado. A Resolução inova ao estabelecer obrigação de designação de encarregado substituto – que também deverá ser formalmente designado para atuar nas ausências, impedimentos e vacâncias do encarregado titular.
Ações recomendadas: revisar o Termo de Nomeação do Encarregado para garantir que o documento reflita as especificidades exigidas pela Resolução. Se possível, é preferível que o Termo já contemple a nomeação do encarregado substituto, visando evitar futuros entraves.
b. Divulgação da identidade: a identidade e as informações de contato do encarregado deverão ser divulgadas publicamente, de forma clara e objetiva, em local de destaque e de fácil acesso, no site do agente de tratamento. Essa divulgação deverá abranger, no mínimo, o nome completo, se for pessoa natural; e, no caso de pessoa jurídica, o nome empresarial ou o título do estabelecimento, bem como o nome completo da pessoa natural responsável. Quanto às informações de contato, deverá ser disponibilizado, no mínimo, os dados referentes aos meios de comunicação que viabilizem o exercício dos direitos dos titulares junto ao controlador e possibilitem o recebimento de comunicações da ANPD.
Ações recomendadas: revisar a publicação das informações de identidade e de contato do encarregado de acordo com os critérios da Resolução.
c. Características do encarregado: o encarregado poderá ser uma pessoa natural, integrante do quadro organizacional do agente de tratamento ou um terceiro externo; ou uma pessoa jurídica. No entanto, deverá ser capaz de comunicar-se com os titulares e com a ANPD, de forma clara e precisa e em língua portuguesa. Sobre o último requisito, o Regulamento não esclarece se a fluência em português pode ser suprida, por exemplo, por membros da equipe do encarregado com capacidade para se comunicar em português ou pelo auxílio de um tradutor.
Ações recomendadas: garantir que o encarregado designado, seja ele uma pessoa natural ou jurídica, tenha capacidade de comunicar-se claramente com os titulares e com a ANPD em língua portuguesa.
d. Conflito de interesse: o conflito de interesse do encarregado poderá ser configurado: (i) entre as atribuições exercidas internamente em um agente de tratamento ou no exercício da atividade de encarregado em agentes de tratamento distintos; ou (ii) com o acúmulo das atividades de encarregado com outras que envolvam a tomada de decisões estratégicas sobre o tratamento de dados pessoais pelo controlador, ressalvadas as operações com dados pessoais inerentes às atribuições do encarregado. O encarregado designado deverá declarar ao agente de tratamento qualquer situação que possa configurar conflito de interesse. Já o agente de tratamento, deverá atentar para que o encarregado não exerça atribuições que acarretem conflito de interesse.
Ações recomendadas: avaliar as atribuições do encarregado designado para verificar a existência de conflito de interesse e, se identificado, tomar as medidas necessárias para afastar o conflito ou promover a substituição do encarregado.
Por fim, as mudanças impostas pela Resolução demandam atenção e ajustes para garantir a plena conformidade e evitar possíveis sanções.
É essencial que cada organização revise seus processos e práticas atuais, adotando as medidas necessárias para atender às novas obrigações de forma eficaz e proativa.
A equipe de proteção de dados do BBL Advogados está à disposição para auxiliar na implementação dessas novas exigências e esclarecer quaisquer dúvidas que possam surgir.