O encarregado, conhecido como DPO, é a pessoa indicada pela empresa como canal de comunicação com os titulares dos dados e com a ANPD. Em regra deve ser indicado, mas agentes de tratamento de pequeno porte podem ser dispensados.
O que o encarregado faz (art. 41)
- Recebe reclamações e pedidos dos titulares e presta esclarecimentos.
- Recebe comunicações da ANPD e adota providências.
- Orienta funcionários e contratados sobre boas práticas de proteção de dados.
- Executa outras atribuições definidas pela empresa ou por normas complementares.
A identidade e o contato do encarregado devem ser divulgados publicamente, de forma clara e objetiva, preferencialmente no site da empresa.
E se a empresa for pequena?
A Resolução CD/ANPD nº 2/2022 dispensa os agentes de tratamento de pequeno porte da obrigação de indicar um encarregado, mas eles devem manter um canal de comunicação para atender os titulares. A dispensa não vale em todas as situações (por exemplo, em tratamentos de alto risco), e a indicação voluntária é considerada uma boa prática.
Quem pode ser o encarregado?
Não é preciso ser advogado ou ter formação específica, mas é necessário conhecimento da lei e de segurança da informação. O encarregado pode ser interno ou terceirizado (o chamado “DPO como serviço”). Convém evitar que a função seja acumulada com cargos que decidam sobre a finalidade do tratamento dos dados, para prevenir conflitos de interesse.
Conteúdo de caráter informativo, com base na legislação em vigor na data de sua elaboração. Cada situação tem particularidades e deve ser analisada individualmente.