Encarregado de Dados e Data Protection Officer: figuras idênticas?

QUADRO COMPARATIVO – ENCARREGADO PELO TRATAMENTO DE DADOS PESSOAIS (LGPD) E DATA PROTECTION OFFICER (GDPR)

Definição

Pessoa indicada pelo controlador e operador para atuar como canal de comunicação entre o controlador, os titulares dos dados e a Autoridade Nacional de Proteção de Dados (ANPD)

Uma pessoa com conhecimento especializado do direito e das práticas (Segurança de TI) de proteção de dados pessoais para assistir o agente de tratamento no monitoramento interno da observância à legislação.

Função e Deveres

· Aceitar reclamações e comunicações dos titulares, prestar esclarecimentos e adotar providências;

· Receber comunicações da autoridade nacional e adotar providências;

· Orientar os funcionários e os contratados da entidade a respeito das práticas a serem tomadas em relação à proteção de dados pessoais;

· Executar as demais atribuições determinadas pelo controlador ou estabelecidas em normas complementares.

· Atribuições sujeitas a ampliação por regulamento da ANPD.

· Orientar e monitorar a avaliação de impacto da proteção de dados pessoais;

· Envolvimento em todas as questões institucionais relacionadas à proteção de dados pessoais;

· R犀利士
eceber contatos dos titulares de dados pessoais sobre qualquer questão relativa ao tratamento e/ou ao exercício de direitos;

· Observar dever de confidencialidade;

· Pode possuir outras funções;

· Informar a instituição e todos os seus membros responsáveis pelo tratamento de dados pessoais sobre a legislação e regulamentos aplicáveis a esta atividade;

· Monitorar a observância da legislação, dos regulamentos e das políticas internas sobre proteção de dados pessoais, designando responsabilidades. promovendo a conscientização e o treinamento dos envolvidos no tratamento e em auditorias;

· Cooperar coma autoridade competente, atuando como contato para questões relativas ao tratamento, incluindo a consulta prévia à autoridade ou outras consultas;

· Atuar de acordo com a natureza e a complexidade do tratamento.

Obrigação de nomear

Obrigatório para o controlador de dados pessoais, inclusive para órgãos públicos.

Há controvérsias sobre a necessidade de indicação por operadores, embora o art. 5º, inc. VIII, da LGPD, afirme que o encarregado é indicado “pelo controlador e operador”.

Hipóteses de dispensa de indicação sujeitas a definição por regulamento da ANPD – ainda inexistente.

Depende da centralidade e da escala do tratamento para entes privados e é obrigatória para entes públicos. Podem ser designados mesmo no caso de não ser o tratamento de dados central ou em larga escala

Contratação

Pode ser parte do quadro institucional ou prestador de serviços externo

Pode ser parte do quadro institucional ou prestador de serviços externo

Autonomia

Como boa prática, considera-se importante que o encarregado tenha liberdade na realização de suas atribuições.

Deve ter acesso aos recursos necessários para a função, inclusive quanto ao conhecimento técnico adequado;

Não deve receber ordens sobre o exercício de sua função;
Não pode ser demitido ou penalizado pelo exercício de sua função;
Deve se reportar diretamente ao órgão máximo de administração da entidade.

Contato

A identidade e as informações de contato do encarregado deverão ser divulgadas publicamente, de forma clara e objetiva, preferencialmente, no site do controlador.

Os detalhes de contato devem ser publicados, encaminhados às autoridades competente e incluídos no registro das atividades de tratamento.