A essa altura, as empresas já estão familiarizadas com a Lei Geral de Proteção de Dados (LGPD). Afinal, ela entrou em vigor em agosto de 2020, há dois anos, e desde o ano passado as sanções administrativas podem e devem ser aplicadas. No entanto, a lei não é totalmente clara sobre alguns aspectos, sendo que um deles é o Encarregado de Proteção de Dados, ou DPO, na sigla em inglês.

A contratação de um DPO é obrigatória para todas as empresas que realizam o tratamento de dados pessoais, sejam eles de funcionários, clientes ou parceiros comerciais. A exceção vale somente para as micro e pequenas empresas – inclusive, já falamos sobre esse tema aqui. A principal função desse profissional é assegurar o tratamento de dados pessoais em conformidade com a lei local. As demais funções incluem:

I – aceitar reclamações e comunicações dos titulares, prestar esclarecimentos e adotar providências;

II – receber comunicações da autoridade nacional e adotar providências;

III – orientar os funcionários e os contratados da entidade a respeito das práticas a serem tomadas em relação à proteção de dados pessoais; e

IV – executar as demais atribuições determinadas pelo controlador ou estabelecidas em normas complementares.

No entanto, a LGPD não dispõe sobre a formação específica para esse profissional. Para esse fim, foi publicada a Instrução Normativa SGD/ME 117, do Ministério da Economia, que dispõe sobre a indicação do Encarregado pelo Tratamento dos Dados Pessoais no âmbito dos órgãos e das entidades da administração pública federal direta, autárquica e fundacional.

Segundo a normativa, o DPO “deverá possuir conhecimentos multidisciplinares essenciais à sua atribuição, preferencialmente, os relativos aos temas de: privacidade e proteção de dados pessoais, análise jurídica, gestão de riscos, governança de dados e acesso à informação no setor público”. Além disso, “não deverá se encontrar lotado nas unidades de Tecnologia da Informação ou ser gestor responsável de sistemas de informação do órgão ou da entidade”.