Fonte: Blog Get Complied
Nos projetos de conformidade que desenvolvemos junto a empresas dos mais variados tipos e nas aulas que ministro reiteradamente, há a dúvida que permanece ainda sobre o profissional que atuará como Encarregado de Tratamento de Dados Pessoais, ou para alguns, o “DPO” (Data Protection Officer).
Inicialmente precisamos mudar esta cultura de importarmos os termos e criarmos sinônimos sem antes entender cada um deles, senão vejamos.
O Data Protection Officer (DPO) é um profissional (ou empresa especializada) que atua junto às organizações para garantir que os tratamentos de dados pessoais cumpram os requisitos do General Data Protection Regulation (GDPR), regulamento Europeu, aplicável às organizações que tratam dados pertencentes a cidadãos e residentes do referido continente. Ainda, estas organizações podem estarem baseadas na UE ou não, conhecido como "efeito extraterritorial".
Já o Encarregado de Tratamento de Dados Pessoais é um profissional (ou empresa especializada), determinado pela Lei Geral de Proteção de Dados (LGPD) se trata de “pessoa indicada pelo controlador e operador para atuar como canal de comunicação entre o controlador, os titulares dos dados e a Autoridade Nacional de Proteção de Dados (ANPD)”, lembrando que controlador e operador são os considerados agentes de tratamento de dados pessoais nos moldes da mesma lei e, que tem aplicação nestes tratamento nos termos do Art. 3º, respeitadas exceções do Art. 4º.
Toda esta introdução é para deixar claro que não estamos falando das mesmas atuações se observarmos os conceitos jurídicos de aplicação das leis que instituíram a figura destes profissionais que, em comum têm exatamente a missão de orientar as organizações sobre as melhores práticas quanto ao tratamento dos dados pessoais, respeitando cada um deles as formas prescritas nas leis que os constituíram.
Faço aqui um apartado para esclarece que não há como justificar que se contrate um DPO para cuidar das questões da LGPD porque simplesmente esta figura está vinculada a outro instituto jurídico, a GDPR. De todo modo, vejo muitos “profissionais especializados” inserindo em seus contratos tal termo dando a entender que se trata da mesma figura do Encarregado infelizmente.
Esta “confusão textual ou conceitual” se deu como parte de um efeito colateral da falta de regulamentação de nossa legislação de proteção de dados e explico o porquê desta minha afirmativa. Como ainda está pendente a criação de nossa Autoridade Nacional de Proteção de Dados (ANPD), o mantra que se ventila pelos quatro cantos do país é que a melhor prática está em observarmos as experiências e aplicações da Europa quanto ao cumprimento de seu regulamento e aplicarmos nas lacunas que não temos respostas na LGPD.
Certamente alguns já estão estranhando meu comentário acima e se perguntam: mas não é para fazer isto? O que está querendo dizer?
Bom, claro que esta é uma prática acertada e, de longa data o estudo do direito sempre trouxe o “Direito Comparado” como um remédio e referência quando encontramos esta possibilidade e certas similaridades de temas, comparando leis estrangeiras às nossas. Contudo, entendo que aqui está a chave deste meu diálogo com você que está lendo este artigo: a questão não é se devemos fazer, mas como devemos fazer!
Mais um parêntese para os meus leitores que não são de a área jurídica entenderem melhor a argumentação. No artigo “Direito e ciência. Uma comparação1” o advogado Cariel Bezerra Patriota traz as definições acerca do Direito Comparado determinando como “o ramo da ciência jurídica que estuda as diferenças e as semelhanças dos diversos ordenamentos jurídicos do mundo. É, também, uma ferramenta auxiliar para o operador de Direito Nacional.”
Ainda, para fixarmos o entendimento, reproduzo outro trecho do excelente artigo jurídico demonstrando que o “Direito Comparado tem como objeto específico a pluralidade de ordenamentos jurídicos, e através do método comparativo – caminho a ser seguido -, procura explicar e compreender as similitudes e diferenças dos sistemas estudados, levando-se em conta os condicionamentos sociais e econômicos a que estão expostos. A tarefa última seria o aprimoramento da civilização, marchando-se ao encontro de uma unicidade de direitos.”
De fato, quando utilizamos a GDPR para checar conceitos e pacificar entendimentos sobre a aplicação da LGPD, não realizamos substituições de termos e obrigações da lei brasileira pela europeia, mas sim devemos entender as diferenças e semelhanças e, como sempre afirmo aos meus alunos “tropicalizar” por vezes estes conceitos e entendimentos justamente observando as questões econômicas e sociais aqui existentes, bem como nosso “modus operandi” jurídico.
E certamente poderemos ter em uma mesma organização por vezes a incidência dos dois institutos jurídicos de proteção de dados mencionados (GDPR e LGPD) obrigando ao profissional que cumpra as especificidades de um DPO e um Encarregado simultaneamente. Ressalto que a utilização de forma desavisada destas denominações em contratos e políticas por exemplo, poderá trazer contradições e interpretações jurídicas dúbias e, colocar em risco a validade e aplicabilidade jurídica destes instrumentos.
De certo temos muitas semelhanças e completude ao avaliarmos as duas legislações quanto às características e papeis da pessoa (física ou jurídica) que terá a missão de ajudar as organizações a manterem o olhar na proteção dos dados pessoais e os direitos de seus titulares. E este deve ser o sentido quando alguém sugerir que se observem os bons (e maus também) exemplos da aplicação mais experimentada do GDPR ao implementarmos a conformidade à LGPD e não substituir desavisadamente termos e confundir conceitos.
Assim, uma vez esclarecidas as diferenças e semelhanças, sigamos maior intuito de promover a proteção dos dados pessoais e desta forma proteger os direitos fundamentais de liberdade e de privacidade e o livre desenvolvimento da personalidade dos cidadãos brasileiros.