Data Protection Officer (Encarregado) - Ed. 2020

Estruturação do Cargo de Dpo em Entes Públicos

Entre no Jusbrasil para imprimir o conteúdo do Jusbrasil

Acesse: https://www.jusbrasil.com.br/cadastro

Fabrício da Mota Alves 1

I. – Breves considerações sobre o regime regulatório do DPO na LGPD

A Lei nº 13.709, de 14 de agosto de 2018 – Lei Geral de Proteção de Dados Pessoais (LGPD) trouxe poucas e insuficientes regulações sobre o encarregado acerca do tratamento de dados pessoais.

Há tão somente oito menções ao termo “encarregado”, mesmo depois das mudanças promovidas pela Medida Provisória nº 869, de 27 de dezembro de 2018, transformada na Lei nº 13.853, de 8 de julho de 2019.

Em verdade, essa lei reformadora promoveu apenas uma única – mas significativa – mudança no regime regulatório incidente sobre o encarregado de proteção de dados, a saber:

Lei 13.709/18

(texto original)

MP 869/2018

Lei 13.853/19

Art. 5º................................

VIII – encarregado: pessoa natural, indicada pelo controlador, que atua como canal de comunicação entre o controlador e os titulares e a autoridade nacional;

Art. 5º................................

VIII – encarregado: pessoa indicada pelo controlador para atuar como canal de comunicação entre o controlador, os titulares dos dados e a Autoridade Nacional de Proteção de Dados;

Art. 5º................................

VIII – encarregado: pessoa indicada pelo controlador e operador para atuar como canal de comunicação entre o controlador, os titulares dos dados e a Autoridade Nacional de Proteção de Dados (ANPD);

Como já abordado nesta obra, a alteração elimina a obrigatoriedade de indicação de pessoa natural para atuar como encarregado sobre o tratamento de dados pessoais permitindo, assim, o exercício da função também por pessoa jurídica.

Além dessa disposição, a LGPD aborda a atividade e a própria definição do encarregado nas seguintes passagens:

LGPD

Explicação

Art. 5º, inc. VIII

Conceito legal do encarregado, com abertura regulatória para sua indicação também pelo operador.

Art. 23, inc. III

Condição legal para tratamento de dados pessoais pelo poder público, com remissão legal equivocada ao art. 39.

Seção II do Capítulo VI

Título da seção.

Art. 41, caput

Determinação de indicação obrigatória do encarregado (como regra geral) pelo controlador (sem menção ao operador, em evidente dissociação regulatória ao art. 5º, inc. VIII).

Art. 41, § 1º

Publicização dos dados de contato e identidade do encarregado.

Art. 41, § 2º

Atribuições do encarregado.

Art. 41, § 3º

Previsão, por regulamentação, de possibilidade de dispensa de indicação do encarregado.

Nada mais dispõe a LGPD quanto à função.

Há um evidente descompasso no tratamento regulatório da lei brasileira com o regulamento da União Europeia nesse ponto. De se notar que a Diretiva 95/46, revogada pelo RGPD, já dispunha sobre o encarregado de proteção de dados, muito embora de forma ainda muito simplificada e minimalista (ainda mais que a LGPD). Porém, trata-se de uma norma de 1995, editada em um ambiente social e cenário tecnológico profundamente diversos do que atualmente vivemos.

Não por acaso, o encarregado de proteção de dados deslocou-se, no RGPD, norma mais moderna e avançada, para um papel central no sistema de proteção de dados pessoais, como, aliás, bem reconhece 2 o antigo Grupo de Trabalho para a Proteção dos Dados, criado pelo Artigo 29º da Diretiva 95/46/EC do Parlamento Europeu e do Conselho, já tratado nesta obra, de cujo parecer se extrai o seguinte trecho:

“O Regulamento Geral sobre a Proteção de Dados (RGPD), cuja entrada em vigor está prevista para 25 de maio de 2018, proporciona um quadro de cumprimento modernizado e assente na responsabilidade em matéria de proteção de dados na Europa. Os encarregados da proteção de dados (EPD) terão um papel central neste novo quadro normativo relativamente a um vasto número de organizações, facilitando o cumprimento das disposições do RGPD.” 3

O gráfico a seguir demonstra a quantidade de vezes em que o termo “encarregado” é utilizado (e, portanto, objeto de regulação) entre os diplomas legais 4 :

Fonte: Elaborada pelo autor.

Se levarmos em conta os cento e setenta e três considerandos previstos no RGPD, a diferença é pouco significativa em relação ao comparativo anterior: isso porque somente dois considerandos do RGPD abordam a figura do encarregado na norma europeia: 77 e 97, elevando o número de menções para trinta e três.

Esse dado, de natureza meramente quantitativa, já revela, ainda que de forma superficial, a atenção conferida pelo legislador da União Europeia quanto à função do encarregado.

II. – Processo legislativo do art. 5º, inc. VIII, LGPD

Tendo em vista o impacto normativo que os conceitos legais têm no sistema, é importante evidenciar o equívoco do legislador federal de proteção de dados na reforma promovida pela Lei nº 13.853, de 2019.

Como demonstrado no início deste capítulo, a Medida Provisória nº 869, de 2018, modificou o art. 5º, inc. VIII, para, especialmente, suprimir o termo “natural” como adjetivo qualificado da pessoa responsável por exercer a função de encarregado. Até então, o propósito da alteração foi o de respeitar a mens legislatoris de arranque, quando se definiu que a indicação do encarregado seria apenas do controlador.

Todavia, posteriormente ao processo legislativo dessa medida provisória, o texto aprovado por ambas as Casas legislativas do Congresso Nacional acabou por inserir, nesse dispositivo, a indicação do encarregado também pelo operador, algo um tanto quanto descompassado do restante da lei, que não mais disciplinaria a questão quanto a esse ponto específico.

Observando-se o conjunto de documentos parlamentares que foram produzidos ao longo do processo, observa-se a origem da alteração, conforme explicaremos a seguir.

A origem da alteração possivelmente reside na Emenda nº 1, apresentada pelo Deputado Rodrigo de Castro (PSDB-MG), que estendia ao operador a obrigatoriedade de indicação do encarregado, pela mudança no art. 41 5 , entre outras disposições.

No entanto, referida emenda fora rejeitada pelo relator da Comissão Mista, Deputado Orlando Silva (PCdoB-SP), conforme se verifica do trecho conclusivo de seu relatório aprovado pelo colegiado congressista 6 :

“CONCLUSÃO

Pelos motivos acima expostos, VOTO:

I – pelo atendimento aos pressupostos constitucionais de relevância e urgência da Medida Provisória nº 869, de 2018;

II – pela constitucionalidade, juridicidade e boa técnica legislativa da MPV e das emendas apresentadas;

III – pela adequação e compatibilidade financeira e orçamentária da MPV e das emendas apresentadas;

IV – no mérito, pela APROVAÇÃO da Medida Provisória nº 869, de 2018, pela APROVAÇÃO das Emendas nºs 4, 6, 14, 15, 16, 21, 22, 23, 25, 29, 33, 34, 38, 46, 51, 52, 54, 57, 63, 64, 66, 67, 69, 73, 79, 80, 88, 93, 99, 102, 104, 109, 110, 125, 128, 131, 137, 138, 140, 141, 145, 148, 152, 153, 155, 159, 160, 163, 173 e 174, pela APROVAÇÃO PARCIAL das Emendas nº 9, 13, 17, 26, 31, 32, 42, 43, 47, 50, 70, 81, 83, 84, 87, 89, 94, 96, 97, 100, 103, 106, 112, 114, 116, 118, 119, 121, 122, 123, 129, 130, 142, 146, 147, 151, 158, 161, 165, 168 e 175, na forma do Projeto de Lei de Conversão anexo, e pela REJEIÇÃO das Emendas nº 1, 2, 3, 5, 7, 8, 10, 11, 12, 18, 19, 20, 24, 27, 28, 30, 35, 36, 37, 39, 40, 41, 44, 45, 48, 49, 53, 55, 56, 58, 59, 60, 61, 62, 65, 68, 71, 72, 74, 75, 76, 77, 78, 82, 85, 86, 90, 91, 92, 95, 98, 101, 105, 107, 108, 111, 113, 115, 117, 120, 124, 126, 127, 132, 133, 134, 135, 136, 139, 143, 144, 149, 150, 154, 156, 157, 162, 164, 166, 167, 169, 170, 171, 172 e 176.” (grifamos).

Nas complementações de voto que se sucederam e que passaram a compor o parecer aprovado pela Comissão Mista, igualmente, não há qualquer disposição acerca da extensão da indicação do encarregado ao operador no tratamento de dados pessoais. Inclusive, a redação consolidada que fora encaminhada para o Plenário da Câmara dos Deputados não apresenta referida modificação 7 .

Já o texto final aprovado pela Câmara dos Deputados e remetido ao Senado Federal demonstra a inserção em questão 8 , fruto da Emenda Aglutinativa nº 1, de autoria do próprio Deputado Rodrigo de Castro 9 , apresentada em Plenário ao Projeto de Lei de Conversão nº 7, de 2019, adotado pela Comissão Mista.

Na prática, a alteração pouca influência tem sobre o sistema, apesar da redação sancionada pelo Presidente da República, passando a compor o texto da Lei nº 13.853, de 2019.

Abre espaço, porém, para que, oportunamente, a Autoridade Nacional de Proteção de Dados possa disciplinar o assunto, ainda que sob a formatação de normas orientadoras de boas práticas em proteção de dados (tal qual o fez o antigo Grupo de Trabalho para a Proteção dos Dados, criado pelo Artigo 29º da Diretiva 95/46/EC do Parlamento Europeu e do Conselho em seu parecer pertinente, quando a indicação do encarregado se dá de maneira voluntária).

III. – Desafios para indicação do DPO público

a) Indicação obrigatória ou condição para tratamento de dados pessoais (art. 23, caput e inc. III, c/c art. 41, caput):

As normas que regem o tratamento de dados pessoais quando o agente de tratamento for pessoa jurídica de direito público respeitam uma estruturação regulatória própria: a LGPD deve ser aplicada em suas normas gerais, mas abre um capítulo de regras específicas, previstas no Capítulo IV, que, nos seus termos e apenas neles, devem direcionar a regulação para o poder público.

Nesse sentido, a lei brasileira pouco contribui para a elucidação em torno das possíveis – e prováveis – distinções entre o encarregado sobre o tratamento de dados pessoais indicado pelo agente de tratamento público ou privado, senão por uma única disposição: a que está prevista no art. 23, inc. III, importando a aplicação de regras gerais, a despeito das peculiaridades da natureza do tratamento:

“Art. 23. O tratamento de dados pessoais pelas pessoas jurídicas de direito público referidas no parágrafo único do art. da Lei nº 12.527, de 18 de novembro de 2011 (Lei de Acesso a Informacao), deverá ser realizado para o atendimento de sua finalidade pública, na persecução do interesse público, com o objetivo de executar as competências legais ou cumprir as atribuições legais do serviço público, desde que:

I – (...);

II – (...);

III – seja indicado um encarregado quando realizarem operações de tratamento de dados pessoais, nos termos do art. 39 desta Lei; e

IV – (...).”...

Uma experiência inovadora de pesquisa jurídica em doutrina, a um clique e em um só lugar.

No Jusbrasil Doutrina você acessa o acervo da Revista dos Tribunais e busca rapidamente o conteúdo que precisa, dentro de cada obra.

  • 3 acessos grátis às seções de obras.
  • Busca por conteúdo dentro das obras.
Ilustração de computador e livro
jusbrasil.com.br
7 de Dezembro de 2021
Disponível em: https://thomsonreuters.jusbrasil.com.br/doutrina/secao/1207548800/estruturacao-do-cargo-de-dpo-em-entes-publicos-data-protection-officer-encarregado-ed-2020