O DPO somos nós! Sim, esta frase está correta. A Medida Provisória nº 869/2018 alterou a redação da LGPD – Lei Geral de Proteção de Dados¹ para abrir a possibilidade de o Data Protection Officer ser uma pessoa jurídica. A redação original da lei determinava que o DPO fosse uma pessoa física, indo na contramão da tendência europeia². Seis meses após a publicação da lei, a MP corrigiu esta questão para uniformizá-la com o cenário internacional.

  Para empresas com operações de tratamento de dados pessoais mais simples, estabelecer uma única pessoa física como encarregada por esse processamento seria adequado. No entanto, para outras empresas, com operações complexas de tratamento, recomenda-se que essa responsabilidade seja dividida por integrantes de um corpo técnico multidisciplinar, seja ele interno ou externo.

  Internamente, pode-se ter um DPO que atue com o apoio de um comitê composto por gestores das principais áreas envolvidas no tratamento de dados pessoais. Também é possível aproveitar um comitê de segurança da informação já instituído e incluir na pauta as questões de proteção de dados, tornando-o um comitê de segurança da informação e privacidade, por exemplo.

  Nessa mesma linha, seria possível instituir um contato “dpo@empresa” que envolvesse o/a gestor/a de compliance, do jurídico, de TI e SI, dentre outros, para que a responsabilidade pela resolução das questões de proteção de dados seja organizada entre eles e de acordo com a matéria envolvida. Nesse contexto, é aconselhável que um desses profissionais fique como contato principal e gestor dessas atividades.

  Já externamente, é possível que a função de DPO seja exercida por um prestador de serviços contratado para essa finalidade. Para essa hipótese, o Working Party 29, órgão consultivo para proteção de dados criado sob a Diretiva europeia de 1995³ , estabeleceu as seguintes orientações⁴ :

  Foi dado o start! Este ano será de extrema importância para empresas privadas e organizações públicas que iniciam um processo de autoconhecimento em matéria de proteção de dados pessoais. A Lei Geral de Proteção de Dados (Lei nº 13.709/2018, ou “LGPD”) entrará em vigor em 2020. Estes próximos meses serão de muito trabalho para os departamentos que lidam com dados que identificam ou podem identificar, ainda que indiretamente, uma pessoa física.

  Uma das etapas do processo de adequação passa pelos direitos das pessoas físicas. As organizações que definem a finalidade e a forma do processamento de dados pessoais, tanto do setor público como do privado, devem garantir que asseguram a possibilidade de as pessoas físicas exercerem efetivamente os seus direitos previstos no artigo 18 da LGPD, quais sejam:

  O ano de 2018 foi emblemático para a proteção de dados pessoais. Em maio, o Regulamento nº 2016/679 europeu (General Data Protection Regulation, ou GDPR) entrou em vigor; em agosto, tivemos a nossa Lei nº 13.709/2018 (Lei Geral de Proteção de Dados, ou LGPD, como ficou conhecida), sancionada pelo Presidente; e, durante o ano todo, foram noticiadas diversas investigações do Ministério Público e notificações dos Procons sobre proteção de dados pessoais, bem como violações de dados nos mais distintos negócios, tanto no Brasil como no exterior.

  Não há dúvidas de que os olhos do mercado e das autoridades continuarão atentos ao tema em 2019 – especialmente no Brasil, por ser o ano de adequação à LGPD antes de sua entrada em vigor, em fevereiro de 2020. É necessário, portanto, otimizar, nos próximos doze meses, a adequação de documentos, processos, sistemas e cultura da organização, de modo a estarem integralmente alinhados aos princípios estabelecidos pela legislação. Entre eles, destaco os seguintes:

• Transparência – Este princípio já está consolidado na legislação vigente, como no Código de Defesa do Consumidor, mas é ampliado e reforçado pela LGPD. Considerando que o objetivo da nova lei é conceder maior controle às pessoas físicas sobre o que é feito com os seus dados pessoais, o princípio da transparência gera para as organizações o dever de fornecer “informações claras, precisas e facilmente acessíveis”[1] sobre a coleta, uso, armazenamento, compartilhamento e eliminação dos dados.
• Necessidade – Toda e qualquer operação realizada com dados pessoais agora deverá envolver apenas os dados “pertinentes, proporcionais e não excessivos em relação às finalidades do tratamento”[2]. Isso significa que o costume de coletar o máximo de dados possível para “depois ver o que fazer com eles” está condenado.
• Segurança – As empresas e instituições públicas que detêm ou utilizam dados de pessoas físicas capazes de identificá-las direta ou indiretamente devem aplicar medidas técnicas e administrativas para protegê-los de “acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão”[3]. E essa proteção deverá ser aplicada a dados processados e armazenados tanto em meios digitais como físicos.

  Estamos testemunhando um momento histórico, de novas leis estabelecendo uma nova cultura no mercado, baseada no respeito ao direito fundamental à privacidade. Deve-se ter consciência, no entanto, de que a legislação nunca irá (e nem pretende) tratar de modo específico todas as situações possíveis em proteção de dados. Por esse motivo, é fundamental ter conhecimento de todos os princípios que a embasam durante a verificação dos fluxos de dados, documentos, sistemas e procedimentos internos em um processo de adequação legal. Na dúvida, “principie” pelos princípios.