O papel do Data Protection Officer (Encarregado) segundo a União Europeia

27.04.2020 – O Data Protection Officer – DPO, assim designado nos termos da GDPR – General Data Protection Regulation, lei de proteção de dados que entrou em vigor na União Europeia em 25 de março de 2018, recebeu o curioso título de “Encarregado”, de acordo com a LGPD, Lei Geral de Proteção de Dados no Brasil, publicada em 14 de agosto de 2018, mas que ainda não entrou em vigor.

Segundo o European Data Protection Supervisor, que é a autoridade independente de proteção de dados da União Europeia, estabelece as atribuições do DPO, sendo a principal delas garantir que sua organização processe os dados pessoais de sua equipe, clientes, fornecedores ou quaisquer outros indivíduos (também chamados de titulares de dados), em conformidade com as regras de proteção de dados aplicáveis.

O DPO deve poder desempenhar suas funções de forma independente, não devendo receber instruções sobre o desempenho de suas funções.
Não deve haver conflito de interesses entre os deveres do indivíduo como DPO e seus outros deveres, se houver, para não comprometer suas obrigações. Para evitar conflitos, é recomendável que:

1. o DPO não deve controlar também as atividades de tratamento (por exemplo, se ele é o gestor de recursos humanos);
2. o DPO não deve ser um funcionário com contrato de curto prazo;
3. o DPO não deve se reportar a um superior direto que não seja da alta gerência; e
4. o DPO deve ter a responsabilidade de gerenciar seu próprio orçamento.

Passamos agora às principais atribuições do DPO:

Garantir que os controladores e titulares dos dados sejam informados sobre seus direitos, obrigações e responsabilidades de proteção de dados e aumentem a conscientização sobre eles;

Dar conselhos e recomendações à instituição sobre a interpretação ou aplicação das regras de proteção de dados;

Criar um registo das operações de processamento na instituição e notificar o EDPS sobre os que apresentam riscos específicos (os chamados controles prévios);

Garantir a conformidade da proteção de dados em sua instituição e ajudar a mesma a ser responsável a esse respeito.

Lidar com consultas ou reclamações a pedido da instituição, do responsável pelo tratamento, de outra pessoa ou por sua própria iniciativa;

Cooperar com o EDPS (responder aos seus pedidos sobre investigações, tratamento de reclamações, inspeções realizadas pelo EDPS, etc.);

Chamar a atenção da instituição para qualquer falha no cumprimento das regras de proteção de dados aplicáveis.