A Autoridade Nacional de Proteção de Dados publicou o ‘Guia Orientativo para Definições dos Agentes de Tratamento de Dados Pessoais e do Encarregado’

Na última semana, a Autoridade Nacional de Proteção de Dados (“ANPD”) divulgou o ‘Guia Orientativo para Definições dos Agentes de Tratamento de Dados Pessoais e do Encarregado’, que traz diretrizes aos agentes de tratamento e explica as funções do controlador, do operador e do encarregado.

Uma das atribuições legais da ANPD é a interpretação e a regulamentação dos artigos da Lei 13.709/18, a Lei Geral de Proteção de Dados (“LGPD”). Assim, o guia foi elaborado com a finalidade de esclarecer dúvidas sobre os conceitos e outros aspectos relacionados aos agentes de tratamento de dados pessoais, quais sejam, o controlador e o operador, e, ainda, sobre o conceito de encarregado pelo tratamento de dados pessoais, que é referido como DPO (Data Protection Officer).

Identificamos 7 (sete) pontos relevantes que foram tratados no guia, e que serão importantes na interpretação da LGPD para aplicação prática, que são:

• A figura do controlador está relacionada à pessoa jurídica ou física que toma as principais decisões quanto ao tratamento de dados pessoais, o que não quer dizer que tome todas as decisões (algumas decisões podem ser tomadas pelo operador). São decisões principais as referentes à finalidade do tratamento, à natureza dos dados tratados e à duração do tratamento;

• Os subordinados a uma pessoa jurídica que é considerada como controladora, (como exemplo, seus funcionários, administradores, diretores e sócios), não podem ser considerados agentes de tratamento, pois esses papéis são assumidos pela organização em si, não devendo ser entendidos como uma distribuição interna de competências e responsabilidades;

• Reconhecimento da possibilidade de controladoria conjunta, situação na qual controladores tratam dados para a mesma finalidade e, de forma comum, convergente ou complementar, determinam sobre os elementos essenciais para a realização do tratamento de dados pessoais;

• Explicita que a assinatura de contrato entre controlador e operador sobre o tratamento de dados é considerada como uma boa prática de governança, pois neste instrumento serão delimitadas as responsabilidades das partes, reduzindo riscos no tratamento;

• Em regra, o controlador é o responsável por danos causados nos processos de tratamento de dados, sendo que o operador é responsabilizado solidariamente, de forma excepcional, quando este último realizar tratamento de dados de forma irregular, ou seja, de forma contrária à LGPD e/ou às instruções passadas pelo controlador;

• É legal a figura do suboperador, que é a pessoa contratada pelo operador para auxiliá-lo no tratamento de dados pessoais à mando do controlador, sendo que é recomendável constar nos contratos entre controlador e operador a possibilidade de subcontratação pelo operador, e, inclusive, uma forma de vincular a atuação do suboperador ao instruído pelo controlador;

• Foi repetido o conceito de que o controlador deve indicar um encarregado pelo tratamento de dados, sendo que esse deve garantir a adequação de uma organização à LGPD. Ainda, foi ressaltado que todo controlador deve indicar um encarregado, mas que é possível que futuras regulamentações criem exceções a esta regra.

Este guia contém as primeiras orientações gerais da ANPD quanto a interpretação à LGPD, sendo que a ANPD deixou claro que esse material está sujeito a contribuições por parte da sociedade civil.

Por fim, é certo que mais materiais como esse serão publicados ao longo da vigência da Lei, a fim de sanar dúvidas e lacunas hoje existentes na lei, o que possibilitará melhor orientação quanto aos pontos de adequação das organizações à LGPD.

O ‘Guia Orientativo para Definições dos Agentes de Tratamento de Dados Pessoais e do Encarregado’ pode ser acessado na íntegra no seguinte link: https://www.gov.br/anpd/pt-br/assuntos/noticias/2021-05-27-guia-agentes-de-tratamento_final.pdf

A equipe do Goulart & Colepicolo Advogados tem advogados especializados em Direito Digital, Tecnologia e Proteção de Dados e está à disposição para esclarecer eventuais dúvidas.

Nota com caráter informativo sem conteúdo de opinião legal.