Já ouviu falar em “DPO coletivo”?

Daniela Monte Serrat Cabella — Fri, 01 Feb 2019 14:29:15 +0000

Já ouviu falar em “DPO coletivo”?

Daniela Monte Serrat Cabella, da Neoway

O DPO somos nós! Sim, esta frase está correta. A Medida Provisória nº 869/2018 alterou a redação da LGPD – Lei Geral de Proteção de Dados¹ para abrir a possibilidade de o Data Protection Officer ser uma pessoa jurídica. A redação original da lei determinava que o DPO fosse uma pessoa física, indo na contramão da tendência europeia². Seis meses após a publicação da lei, a MP corrigiu esta questão para uniformizá-la com o cenário internacional.

Para empresas com operações de tratamento de dados pessoais mais simples, estabelecer uma única pessoa física como encarregada por esse processamento seria adequado. No entanto, para outras empresas, com operações complexas de tratamento, recomenda-se que essa responsabilidade seja dividida por integrantes de um corpo técnico multidisciplinar, seja ele interno ou externo.

Internamente, pode-se ter um DPO que atue com o apoio de um comitê composto por gestores das principais áreas envolvidas no tratamento de dados pessoais. Também é possível aproveitar um comitê de segurança da informação já instituído e incluir na pauta as questões de proteção de dados, tornando-o um comitê de segurança da informação e privacidade, por exemplo.

Nessa mesma linha, seria possível instituir um contato “dpo@empresa” que envolvesse o/a gestor/a de compliance, do jurídico, de TI e SI, dentre outros, para que a responsabilidade pela resolução das questões de proteção de dados seja organizada entre eles e de acordo com a matéria envolvida. Nesse contexto, é aconselhável que um desses profissionais fique como contato principal e gestor dessas atividades.

Já externamente, é possível que a função de DPO seja exercida por um prestador de serviços contratado para essa finalidade. Para essa hipótese, o Working Party 29, órgão consultivo para proteção de dados criado sob a Diretiva europeia de 1995³ , estabeleceu as seguintes orientações⁴ :

Se a função do [DPO] for exercida por um prestador de serviços externo, um conjunto de pessoas que trabalha para essa entidade poderá exercer de modo eficaz as funções do [DPO] enquanto [equipe], sob a responsabilidade de um [contato] principal e «pessoa responsável» [designada] para o cliente. Neste caso, é essencial que cada membro da organização externa, que exerce as funções de [DPO], cumpra todos os requisitos aplicáveis do [GDPR].

Por motivos de clareza jurídica e de boa organização, e no sentido de prevenir conflitos de interesses dos membros das [equipes], as presentes orientações recomendam que o contrato de prestação de serviços preveja uma clara repartição das tarefas no seio da [equipe] do [DPO] externo e a designação de uma única pessoa como [contato] principal e pessoa «responsável» do cliente.

Como o Brasil tem o modelo europeu por inspiração para a LGPD, a tendência é que as empresas brasileiras também adotem opções variadas para o exercício da função de DPO, escolhendo o modelo que melhor lhes atende dentro dos limites legais. Sendo o modelo escolhido o de grupo multidisciplinar de profissionais, é fundamental que ele se conecte a todas as áreas do negócio que tratam dados pessoais e se organize de maneira ágil para atendê-las, como um modelo plug and play.

O formato de “DPO coletivo” prova que a flexibilidade gera inovação não apenas no âmbito dos negócios, mas também na proteção de dados.

¹ Lei nº 13.709/2018.

² Conforme o art. 37 (6) do Regulamento n. 2016/679, ou GDPR – General Data Protection Regulation.

³ Diretiva n. 95/46/EC. Substituído, em 2018, pelo Comitê Europeu para a Proteção de Dados.

⁴ Working Party 29. Orientações sobre os encarregados da proteção de dados (EPD), pág.26. Disponível em: https://bit.ly/2CejOcc. Acesso em 31.01.2019. Texto original na linguagem de Portugal adaptado (adaptação livre).

DPO coletivo – Infra News Telecom

Já ouviu falar em “DPO coletivo”?

Já ouviu falar em “DPO coletivo”?