A Relação do Data Protection Officer (Dpo) Com os Reguladores

Luciano Benetti Timm 1

Renato Vieira Caovilla 2

Rodrigo Dufloth 3 , 4

I.Introdução: objetivo e limitação do artigo

O objetivo do presente artigo é analisar a figura do Data Protection Officer (“DPO”) — ou “Encarregado” 5 , conforme definição trazida pela nossa Lei nº 13.709/2018 (conforme alterada, a Lei Geral de Proteção de Dados ou “LGPD”) — com enfoque na sua relação com o regulador (ou, melhor dizendo, os reguladores, como explicaremos adiante). Dado que este estudo se insere no contexto de obra destinada a analisar o tema do DPO sob diversos prismas, não adentraremos em pormenores quanto à definição do seu conceito, aspectos históricos, responsabilidades detalhadamente (mas unicamente quando ligado à relação com reguladores) etc., de maneira que este artigo se limita ao enfoque da relação do DPO com as autoridades pertinentes.

Ainda, valer-nos-emos de comparações com outros países sempre que nos parecer uma contribuição válida para o escopo deste trabalho, especialmente com a União Europeia, uma vez que a LGPD, como é notório, inspirou-se em boa parte no Regulamento Geral de Proteção de Dados (2016/679) ou General Data Protection Regulation (o “GDPR”). Na União Europeia, considerando que o GDPR já se encontra vigente desde maio de 2018 (além de que há normativos que tratam de privacidade de dados pessoais há décadas), há um maior grau de maturidade quanto ao tema, motivo pelo qual nos parece ser importante estabelecer paralelos sempre que oportuno para o desenvolvimento do estudo.

Feitos tais esclarecimentos iniciais, dividimos este estudo da seguinte forma: (a) em um primeiro momento, analisaremos o que a LGPD prevê no que se refere à atuação do DPO e sua relação com autoridades (notadamente, a ANPD, mas sem prejuízo de outras, como veremos adiante); (b) para na sequência estabelecermos um paralelo com as atribuições do DPO no GDPR e como o assunto é tratado na União Europeia; (c) após, teceremos considerações sobre a competência da ANPD e de outras autoridades, no que se refere à proteção de dados pessoais, uma vez que não nos parece que a ANPD exclua a atuação de outras autoridades (como no campo de proteção ao consumidor); (d) a seguir, faremos reflexões quanto à responsabilidade do DPO para além da LGPD e da relação com outras autoridades, traçando uma linha de contato com a atividade do compliance officer; e (e) encerrarmos com alguns comentários sobre a prática na relação com os órgãos reguladores.

II.A atuação do DPO e sua relação com as autoridades, nos termos da LGPD

Inicialmente, vale notar que a LGPD conceitua o DPO como a “pessoa indicada pelo controlador e operador para atuar como canal de comunicação entre o controlador, os titulares dos dados e a Autoridade Nacional de Proteção de Dados” (“ANPD”) (art. 5º, VIII). Um relevante fato é que essa redação foi estabelecida após a Medida Provisória nº 869/2018 (“MP 869”), posteriormente convertida na Lei nº 13.853/2019, cabendo mencionar que, originariamente, na LGPD, a redação prevista trazia a definição iniciando como “pessoa natural”, ao passo que, por meio da MP 869, posteriormente convertida em lei, a palavra “natural” fora suprimida, restando, pois, o fato de que o DPO poderia ser pessoa natural ou jurídica.

Também foi por meio da Lei 13.853/2019 que foi retirada a obrigação de o DPO possuir “conhecimento jurídico-regulatório e ser apto a prestar serviços especializados em proteção de dados”, que era a proposta original. Embora fosse louvável essa exigência, estando, inclusive, alinhada com o que prevê o art. 37 do GDPR 6 , a justificativa aventada foi que seria excessivamente onerosa às organizações esse requisito, diante da amplitude e número de empresas no Brasil: em nosso País, há 6,4 milhões de estabelecimentos, dos quais 99% (noventa e nove por cento) são micro ou pequenas empresas, conforme dados do Serviço Brasileiro de Apoio às Micro e Pequenas Empresas – SEBRAE 7 .

Ainda, foi suprimida a exigência de autonomia técnica e profissional do cargo. Em que pese essa ser uma decisão que possa continuar sendo tomada pelas organizações, a ausência de …