Nova regra da ANPD envolvendo a atuação do encarregado de dados pessoais

O Conselho Diretor da Autoridade Nacional de Proteção de Dados (ANPD) aprovou, em 16 de julho de 2024,  a Resolução CD/ANPD 18 que estabelece o regulamento sobre a atuação do encarregado pelo tratamento de dados pessoais. Este regulamento complementa e detalha as disposições da Lei Geral de Proteção de Dados (LGPD) acerca do papel e das responsabilidades do encarregado, oferecendo maior clareza e orientação aos agentes de tratamento. É pertinente discutir as principais inovações trazidas pela resolução, destacando as mudanças, manutenções e complementações em relação à LGPD e às orientações anteriores da ANPD, bem como a relevância dessas mudanças para os agentes de tratamento. 

A LGPD define o "encarregado" como a pessoa indicada pelo controlador e operador para atuar como canal de comunicação entre o controlador, os titulares dos dados e a ANPD. Nos termos do art. 41 da LGPD as atividades a serem desenvolvidas pelo encarregado incluem: aceitar reclamações e comunicações dos titulares, prestar esclarecimentos e adotar providências; receber comunicações da ANPD e adotar providências; orientar os colaboradores a respeito das práticas a serem tomadas em relação à proteção de dados pessoais; e executar as demais atribuições determinadas pelo controlador ou estabelecidas em normas complementares. Além disso, a LGPD prevê que a ANPD pode estabelecer normas complementares sobre a definição e as atribuições do encarregado, bem como hipóteses de dispensa de indicação. 

Até a publicação da nova resolução, a ANPD havia emitido duas orientações esparsas sobre o papel do encarregado: o Guia Orientativo para Definições dos Agentes de Tratamento de Dados Pessoais e do Encarregado, publicado em 28 de maio de 2021, e uma nota de esclarecimento que sanava dúvidas pontuais sobre o tema, publicada em 31 de março de 2023. No guia orientativo de 2021, havia as seguintes disposições sobre o encarregado:

• Atribuições do encarregado: reforçando as disposições da LGPD, o guia abordava as atribuições do encarregado, que incluíam aceitar reclamações e comunicações dos titulares, prestar esclarecimentos, receber comunicações da ANPD e orientar colaboradores sobre práticas de proteção de dados pessoais. Encarregado é a pessoa responsável por garantir a conformidade de uma organização, pública ou privada, às disposições da LGPD; 

• Indicação do encarregado: o guia sugeria que toda organização deveria nomear um encarregado, recomendando que essa nomeação fosse feita por um ato formal, através de um contrato de prestação de serviços ou ato administrativo;

• Encarregado interno ou externo: alinhado com as boas práticas internacionais, o guia estabelecia que o encarregado poderia ser tanto um empregado da organização quanto um agente externo, de natureza física ou jurídica;

• Qualificações profissionais do encarregado: o guia determinava que qualificações profissionais do encarregado deveriam ser definidas mediante um juízo de valor realizado pelo controlador, considerando conhecimentos de proteção de dados e segurança da informação em nível que atenda às necessidades da organização; 

• Independência e recursos disponíveis: por fim, o guia ressaltava a importância de o encarregado possuir liberdade e recursos adequados para desempenhar suas funções e atribuições, incluindo recursos humanos apropriados (por exemplo, uma equipe de proteção de dados para apoiá-lo na realização das suas atividades). 

Já a nota de esclarecimento de 2023 reforçava que, até aquele momento, a ANPD não havia estabelecido normas complementares sobre as atribuições do encarregado, de maneira que não havia reconhecimento oficial pela ANPD quanto à validade de qualquer norma ou procedimento de conduta estabelecidos por entidades privadas com o objetivo de nortear a atuação dos encarregados. A nota ainda esclarecia que não existia qualquer exigência legal de registro, perante a ANPD ou perante associações privadas, de profissionais de proteção de dados ou de encarregados como condição para o exercício da profissão e/ou como requisito para sua contratação.

Com isso, a Resolução 18 trouxe importantes complementações e mudanças em relação às orientações anteriores da ANPD sobre o tema, dentre as quais destacam-se as seguintes:

• Indicação do encarregado: a nova resolução estabelece que a indicação do encarregado deve ser realizada por ato formal do agente de tratamento, detalhando que esse ato deve dispor sobre as formas de atuação e as atividades a serem desempenhadas pelo encarregado, bem como ser um documento escrito, datado e assinado. A ANPD não forneceu um template ou modelo padrão para indicação do encarregado, o que permite certa flexibilidade às organizações para seguir suas próprias práticas internas e atos societários quando da indicação do encarregado. Quando solicitado, o ato de nomeação deve ser apresentado à ANPD. Essa exigência de formalização é uma medida que traz mais seriedade e clareza ao processo de indicação do encarregado, embora possa ser vista como um ônus administrativo adicional para os agentes de tratamento; 
• Divulgação da identidade e contato do encarregado: como regra geral, a Resolução nº 18 exige que a identidade e as informações de contato do encarregado sejam divulgadas publicamente, de forma clara e objetiva, em local de destaque e de fácil acesso, no site do agente de tratamento que o indicou. A divulgação da identidade do encarregado depende se este último é uma pessoa natural ou pessoa jurídica: se for pessoa natural, a identidade do encarregado abrange, no mínimo, o seu nome completo; ou se for pessoa jurídica, a identidade do encarregado abrange, no mínimo, o nome empresarial ou o título do estabelecimento, bem como o nome completo da pessoa natural responsável. A divulgação das informações de contato do encarregado, por sua vez, deverá abranger, no mínimo, os dados referentes aos meios de comunicação que viabilizem o exercício dos direitos dos titulares junto ao controlador e possibilitem o recebimento de comunicações da ANPD. A exigência de maior transparência é positiva, mas é importante resguardar a privacidade do próprio encarregado;
• Atribuições e deveres do encarregado: estão ampliadas e detalhadas na resolução, de forma a incluir as atividades de assistência e orientação ao agente de tratamento na elaboração de registros, comunicação de incidentes de segurança, relatório de impacto, e implementação de medidas de segurança, entre outras. A Resolução nº 18 ainda inova ao dispor que o encarregado deve ser capaz de comunicar-se com os titulares e com a ANPD em língua portuguesa, o que é visto como essencial para a eficácia do papel e função do encarregado um país com diversidades regionais e linguísticas como o Brasil;
• Deveres dos agentes de tratamento e responsabilidade: a nova resolução reforça os deveres dos agentes de tratamento, como prover os meios necessários para o exercício das atribuições do encarregado e garantir a autonomia técnica necessária para suas atividades, livre de interferências indevidas. Essa autonomia é vital para assegurar a independência e eficácia da atuação do encarregado, embora se espere que a ANPD estabeleça diretrizes claras sobre a sua implementação na prática;
• Conflito de interesse: a resolução aborda de forma detalhada a temática do conflito de interesse, assim definido como qualquer situação que possa comprometer, influenciar ou afetar, de maneira imprópria, a objetividade e o julgamento técnico do encarregado no desempenho de suas atribuições. Ficou determinado ser de responsabilidade do agente de tratamento se atentar para que o encarregado não exerça atribuições que acarretem conflito de interesse;
• Cumulação de funções: em conclusão, a Resolução nº 18 estabelece que o encarregado pode acumular funções e exercer as suas atividades para mais de um agente de tratamento, desde que seja possível o pleno atendimento de suas atribuições relacionadas a cada agente de tratamento e inexista conflito de interesse. Essa possibilidade é positiva, especialmente para organizações que podem ter dificuldades em manter um encarregado exclusivo, mas requer uma gestão cuidadosa para evitar sobrecargas de trabalhos e conflitos de interesse.

Apesar das novas especificações e complementações, a ANPD manteve alguns entendimentos já presentes nas orientações anteriores, tais como:

• A exigência de um ato formal para a nomeação do encarregado; 

• A possibilidade de que o encarregado seja uma pessoa natural ou jurídica, interna ou externa à organização;

• O exercício da atividade de encarregado não pressupõe a inscrição em qualquer entidade nem qualquer certificação ou formação profissional específica;

O agente de tratamento permanece responsável por garantir os recursos necessários para que o encarregado possa desempenhar suas funções adequadamente;

• Cabe ao agente de tratamento estabelecer as qualificações profissionais necessárias para o desempenho das atribuições do encarregado, considerando aspectos como: conhecimento sobre a legislação de proteção de dados pessoais, bem como o contexto, o volume e o risco das operações de tratamento realizadas;

• A responsabilidade pela conformidade do tratamento de dados pessoais continua sendo do agente de tratamento, não do encarregado.

A nova resolução representa um avanço significativo na regulamentação da atuação do encarregado no Brasil. As novas regras proporcionam maior clareza e segurança jurídica para agentes de tratamento e encarregados, detalhando procedimentos e responsabilidades de forma mais precisa. 

Ao comparar com as orientações anteriores, nota-se um esforço positivo da ANPD em complementar, atualizar e detalhar as regras para garantir uma proteção de dados pessoais mais eficaz e alinhada com as boas práticas internacionais.

Esse avanço é fundamental para o amadurecimento da governança de dados no país, especialmente ao garantir que o papel do encarregado seja respaldado por normas sólidas e mandatórias. No entanto, sua implementação requer um compromisso sério e diligente: por parte da ANPD, que ainda desempenhará um papel crucial ao fornecer orientações e exemplos práticos para o cumprimento dessas novas regras; e por parte dos agentes de tratamento, que devem revisar suas políticas e práticas de privacidade à luz das novas disposições introduzidas pela nova resolução, para garantir a conformidade e a efetividade na proteção dos dados pessoais.