A nomeação de um encarregado pelo tratamento de dados pessoais, ou Data Protection Officer (DPO), é obrigatória, de acordo com o Artigo 41 da Lei Geral de Proteção de Dados (LGPD), exceto para pequenas empresas, conforme já mencionamos em outro artigo. Em suma, o DPO assegura a proteção dos dados pessoais nos termos da lei, além de intermediar os interesses da empresa, que é a controladora, e do titular dos dados.

As atribuições do Data Protection Officer incluem:

 Compliance – O DPO deve assegurar que a empresa realize o tratamento de dados pessoais em conformidade com a Lei Geral de Proteção de Dados. Além disso, esse profissional tem a função de interpretar a lei para os agentes de tratamento (o controlador e o operador) e todos os envolvidos no tratamento dos dados, aconselhando sobre as melhores ações a serem tomadas.

Orientação e treinamento – O DPO é responsável por promover a educação e a sensibilização sobre a correta proteção dos dados pessoais, atuando na formação e conscientização dos funcionários, sugerindo procedimentos e criando uma verdadeira cultura de proteção de dados na empresa.

Autonomia – O DPO deve atuar de forma autônoma no cumprimento de suas funções, sem influência do controlador ou do operador dos dados pessoais. As suas considerações éticas e práticas devem estar em primeiro lugar. O Data Protection Officer não deve ser dispensado ou penalizado por cumprir o seu papel, por exemplo, se apontar o risco de descumprimento da lei em determinada ação da empresa.

Prestação de contas – O DPO deve estar disponível para responder a quaisquer perguntas que os titulares dos dados possam ter sobre a proteção dos seus dados pessoais. Durante o desempenho das suas funções e para cumprir as suas obrigações, o DPO deve dispor de todos os recursos adequados, incluindo o acesso aos dados pessoais e às atividades de tratamento.

Representação junto à Autoridade Nacional de Proteção de Dados (ANPD) – O DPO é quem vai receber as comunicações da autarquia nacional e tomar as devidas providências.