Quem deve ser meu Encarregado/DPO? Eis a questão.

Dentre os muitos desafios trazidos pela LGPD, como planos de adequação, elaboração de relatórios de impacto, mapeamento dos dados pessoais tratados, etc., as empresas ainda precisarão se preocupar com a nomeação de uma peça-chave no âmbito da proteção de dados: o Encarregado de Proteção de Dados ou Data Protection Officer (DPO).

Essa figura passou por diversas mudanças desde a sanção da Lei em agosto de 2018. Na primeira versão da LGPD, o encarregado/DPO deveria, obrigatoriamente, ser uma pessoa física indicada somente pelo controlador, que atuaria como canal de comunicação entre o controlador e os titulares e a autoridade nacional de proteção de dados (ANPD).

Após a edição da Medida Provisória 869, em dezembro de 2018, admitiu-se que o encarregado/DPO poderia tanto ser uma pessoa física quanto jurídica (uma organização ou até mesmo um departamento interno), seguindo o que determina o GDPR (Regulação Europeia de Proteção de Dados). Em dado momento das discussões dessa Medida Provisória, chegou-se a incluir a exigência de o encarregado/DPO possuir conhecimento jurídico-regulatório em Proteção de Dados Pessoais, o que foi posteriormente vetado pelo Presidente da República.

Finalmente, após a conversão da Medida Provisória 869 na Lei 13.853, que levou à consolidação da LGPD em julho de 2019, decidiu-se que o encarregado/DPO deverá ser uma pessoa física ou jurídica (organização, terceirizado, departamento interno, etc.), a ser nomeada tanto pelo controlador quanto pelo operador de dados pessoais, que atuará como canal de comunicação entre os agentes de tratamento, os titulares dos dados e a ANPD (artigo 5º, VIII, da LGPD).

A partir daí, quando achávamos que a discussão sobre o encarregado/DPO finalmente havia chegado ao fim, teve início um outro debate que passou a trazer a seguinte indagação: qual é o(a) profissional mais indicado(a) para assumir o cargo de encarregado/DPO? Basicamente, passou-se a trabalhar com três possibilidades: advogados(as), profissionais de T.I ou compliance officers.

Os que passaram a defender que advogados(as) especializados(as) na área de Proteção de Dados seriam a melhor opção alegam que esses(as) profissionais têm um profundo conhecimento na Lei e uma interpretação que garantiria maior segurança jurídica às empresas. De outro lado, os que defendem que o encarregado/DPO deveria ser um profissional de T.I afirmam, em resumo, que a familiaridade com programações levaria ao desenvolvimento de aplicações já seguindo padrões de segurança e privacidade nos termos da LGPD. Por último, mas não menos importante, aqueles que afirmam serem os compliance officers a melhor opção, dizem que o fato de esses(as) profissionais já terem familiaridade com projetos de adequação à legislação anticorrupção, bem como com questões regulatórias, levaria a uma melhor adequação das empresas à LGPD. E, então, teve início uma espécie de “cabo de guerra”, onde cada lado passou a defender com unhas e dentes o porquê de uma classe ser mais qualificada que a outra para assumir o cargo de encarregado/DPO.

Nesse passo, apesar de saber das excelentes competências que cada um desses profissionais tem, a resposta para a pergunta sobre “qual é o(a) profissional mais indicado(a) para assumir o cargo de encarregado/DPO” é: TODOS. OU NENHUM.

E agora você pode se perguntar: “mas, Lucas. Você está maluco? Me fez ler o texto até aqui para não chegar em conclusão nenhuma?”. Calma! Vou explicar…

Acima de ser um(a) profissional da advocacia especializada, de T.I ou de compliance, o encarregado/DPO deve ser um(a) ótimo comunicador(a). Pois é, caro(a) leitor(a). Esse é o “único requisito” que a LGPD exige do encarregado/DPO, justamente por ele(a) funcionar como o canal decomunicação entre os agentes de tratamento, os titulares dos dados e a ANPD.

E vou além! Mais do que uma boa comunicação com os titulares de dados pessoais e a ANPD, o encarregado/DPO, seja do jurídico, T.I ou compliance, deve ter uma ótima comunicação interna, com excelente entrada em todos os departamentos da empresa e com ótimo relacionamento interpessoal (porém sempre com “pulso firme”). Tudo isso justamente porque ele(a), além de auxiliar na implantação de uma cultura de privacidade junto aos colaboradores, precisará, a todo momento, do suporte dos demais setores para elaborar respostas às solicitações da ANPD, relatórios de impacto à proteção de dados e cumprimento das demais obrigações que a LGPD impõe.

Sobre isso, costumo brincar dizendo que se o Sílvio Santos entendesse de LGPD, seria o melhor encarregado/DPO que existe, justamente por ser um dos maiores (senão o maior) comunicadores do Brasil.

No fundo, o(a) encarregado/DPO, independentemente de sua origem profissional, vai funcionar como uma espécie de “maestro”, orquestrando e organizando essa maravilhosa sinfonia que é a proteção de dados pessoais dentro de cada corporação. Dessa forma, o encarregado/DPO precisará se comunicar, ao mesmo tempo, com o jurídico, com o marketing, com o RH, com o financeiro.

Portanto, na minha opinião, discutir se o(a) encarregado/DPO deve ser um(a) advogado(a), profissional de T.I, compliance officer ou de qualquer outra origem é, definitivamente, discutir o sexo dos anjos. Escolher o encarregado/DPO pela profissão original de quem ocupará esse cargo em cada empresa funciona como um tiro no escuro: pode-se acertar na mosca ou errar por muito! Assim, o mais importante é fazer uma escolha de um(a) profissional qualificado, independentemente da origem, que atenda às necessidades da empresa e, principalmente, que tenha uma excelente comunicação.

Lucas Maldonado Diz Latinié advogado especialista em Direito Digital e Propriedade Intelectual pela Fundação Getúlio Vargas, sócio do escritório Maldonado Latini Advogados e Presidente da Comissão de Direito Digital e Compliance da 17ª Subseção da OAB/SP.