Em 17.07.2024 a Autoridade Nacional de Proteção de Dados – ANPD divulgou a Resolução CD/ANPD nº 18, de 16 de julho de 2024 (“Resolução CD/ANPD nº 18”), aprovando Regulamento sobre a Atuação do Encarregado pelo Tratamento de Dados Pessoais (“Regulamento”) que estabelece normas complementares sobre a indicação, a definição, as atribuições e a atuação do encarregado pelo tratamento de dados pessoais, de que trata a Lei nº 13.709/2018 (a “Lei Geral de Proteção de Dados” – LGPD).

De acordo com o Regulamento, o encarregado pelo tratamento de dados pessoais é a pessoa indicada pelos agentes de tratamento para atuar como canal de comunicação entre o controlador, os titulares dos dados e a ANPD. Agentes de tratamento, por sua vez, são o controlador (pessoa natural ou jurídica, de direito público ou privado, a quem competem as decisões referentes ao tratamento de dados pessoais) e o operador (pessoa natural ou jurídica, de direito público ou privado, que realiza o tratamento de dados pessoais em nome do controlador).

Indicação do Encarregado

A indicação do encarregado deve ser realizada por ato formal do agente de tratamento (ou seja, documento escrito, datado e assinado, que, de maneira clara e inequívoca, demonstre a intenção em designar como encarregado uma pessoa natural ou jurídica), do qual constem as formas de atuação e as atividades a serem desempenhadas pelo encarregado. O referido documento deverá ser apresentado à ANPD, quando solicitado.

O Regulamento estabelece que, nas hipóteses de ausências, impedimentos e vacâncias do encarregado, a função será exercida por substituto formalmente designado. Tais situações não devem consistir em obstáculos para o exercício dos direitos dos titulares ou para o atendimento às comunicações da ANPD.

O Regulamento ressalva que as pessoas jurídicas de direito público referidas no art. 1º, parágrafo único, da Lei nº 12.527, de 18 de novembro de 2011², deverão indicar encarregado quando realizarem operações de tratamento de dados pessoais, recaindo a indicação, preferencialmente, sobre servidores ou empregados públicos detentores de reputação ilibada.

Identidade e das Informações de Contato do Encarregado

Segundo o Regulamento, o agente de tratamento de dados deverá divulgar ao público e manter atualizadas a identidade e as informações de contato do encarregado. A referida divulgação deve ser realizada de forma clara e objetiva, em local de destaque e de fácil acesso, no sítio eletrônico do agente de tratamento e, na sua ausência, por quaisquer outros meios de comunicação disponíveis, especialmente aqueles usualmente utilizados para contato com os titulares dos dados.

A divulgação das informações de contato do encarregado deve abranger, no mínimo, os dados referentes aos canais de comunicação que viabilizem o exercício dos direitos dos titulares junto ao controlador e possibilitem o recebimento de comunicações da ANPD.

Deveres dos Agentes de Tratamento

A ANPD estabeleceu, por meio do Regulamento, que o agente de tratamento é o responsável pela conformidade do tratamento dos dados pessoais, elencando os seguintes deveres a ele atribuíveis:

(i) prover os meios necessários para o exercício das atribuições do encarregado, neles compreendidos, entre outros, recursos humanos, técnicos e administrativos;

(ii) solicitar assistência e orientação do encarregado quando da realização de atividades e tomada de decisões estratégicas referentes ao tratamento de dados pessoais; e

(iii) garantir ao encarregado a autonomia técnica necessária para cumprir suas atividades, livre de interferências indevidas, especialmente na orientação a respeito das práticas a serem tomadas em relação à proteção de dados pessoais;

(iv) assegurar aos titulares meios céleres, eficazes e adequados para viabilizar a comunicação com o encarregado e o exercício de direitos; e

(v) garantir ao encarregado acesso direto às pessoas de maior nível hierárquico dentro da organização, aos responsáveis pela tomada de decisões estratégicas que afetem ou envolvam o tratamento de dados pessoais, bem como às demais áreas da organização.

Características, atividades e atribuições do encarregado

O encarregado poderá ser (i) uma pessoa natural que integre o quadro organizacional do agente de tratamento, ou externo; ou (ii) uma pessoa jurídica, devendo, em qualquer caso, ser capaz de se comunicar com os titulares e com a ANPD, de forma clara e precisa e em língua portuguesa.

O exercício da atividade de encarregado não pressupõe a inscrição em qualquer entidade, certificação ou formação profissional específica.

As atividades do encarregado consistem em: (i) aceitar reclamações e comunicações dos titulares, prestar esclarecimentos e adotar providências cabíveis; (ii) receber comunicações da ANPD e adotar providências, como por exemplo encaminhar internamente a demanda para as unidades competentes e fornecer a orientação e a assistência necessárias ao agente de tratamento; (iii) orientar os funcionários e os contratados do agente de tratamento a respeito das práticas a serem tomadas em relação à proteção de dados pessoais; (iv) executar as demais atribuições determinadas pelo agente de tratamento ou estabelecidas em normas complementares; (v) prestar assistência e orientação ao agente de tratamento em determinadas atividades, inclusive na elaboração, definição e implementação de registro e comunicação de incidente de segurança, transferências internacionais de dados, registro das operações de tratamento de dados pessoais e tomada de decisões estratégicas referentes ao tratamento de dados pessoais.

No Regulamento, a ANPD registra que o desempenho das referidas atividades e das atribuições dispostas não confere ao encarregado a responsabilidade, perante a ANPD, pela conformidade do tratamento dos dados pessoais realizado pelo controlador.

Conflito de Interesse

O encarregado possui o dever de atuar com ética, integridade e autonomia técnica, evitando situações que possam configurar conflito de interesse.

De acordo com o Regulamento, existência de conflito de interesse deve ser objeto de verificação no caso concreto e poderá ensejar a aplicação de sanção ao agente de tratamento nos termos do art. 52 da Lei nº 13.709/2018. Nessa linha, o encarregado deverá declarar ao agente de tratamento qualquer situação que possa configurar conflito de interesse, responsabilizando-se pela veracidade das informações prestadas.

O encarregado poderá acumular funções e exercer as suas atividades para mais de um agente de tratamento, desde que seja possível o pleno atendimento de suas atribuições relacionadas a cada agente de tratamento e inexista conflito de interesse, que pode se configurar, por exemplo, entre as atribuições exercidas internamente em um agente de tratamento ou no exercício da atividade de encarregado em agentes distintos. Desse modo, o agente de tratamento deve atentar-se para que o encarregado não exerça atribuições que acarretem em conflito.

Por fim, o Regulamento determina que, uma vez constatada a possibilidade de conflito de interesse, o agente de tratamento deverá: i.1 não indicar a pessoa para exercer a função de encarregado; i.2 implementar medidas para afastar o risco de conflito de interesse; ou i.3 substituir a pessoa designada para exercer a função de encarregado.

Maiores informações, bem como o inteiro teor da Resolução CD/ANPD nº 18, podem ser encontradas no site da CVM (www.gov.br/cvm).

²“Art. 1º. Esta Lei dispõe sobre os procedimentos a serem observados pela União, Estados, Distrito Federal e Municípios, com o fim de garantir o acesso a informações previsto no inciso XXXIII do art. 5º , no inciso II do § 3º do art. 37 e no § 2º do art. 216 da Constituição Federal. Parágrafo único. Subordinam-se ao regime desta Lei: I – os órgãos públicos integrantes da administração direta dos Poderes Executivo, Legislativo, incluindo as Cortes de Contas, e Judiciário e do Ministério Público; II – as autarquias, as fundações públicas, as empresas públicas, as sociedades de economia mista e demais entidades controladas direta ou indiretamente pela União, Estados, Distrito Federal e Municípios”.