DPO terceirizado: encarregado de dados como serviço

O que faz o encarregado de dados

A LGPD define o encarregado como o canal de comunicação entre a empresa, os titulares dos dados e a Autoridade Nacional de Proteção de Dados. Na prática, as atividades incluem:

• Receber e responder reclamações e pedidos dos titulares: acesso, correção, exclusão.
• Receber comunicações da ANPD e responder a ela.
• Orientar funcionários e prestadores sobre as práticas de proteção de dados.
• Apoiar a empresa na resposta a incidentes de segurança, que têm prazo curto de comunicação.
• Acompanhar o registro das operações de tratamento e os relatórios de impacto, quando necessários.

O nome e o contato do encarregado devem ser divulgados de forma clara, normalmente na política de privacidade do site. Veja o panorama da lei em LGPD para empresas.

Quem precisa ter um encarregado

Em regra, todo controlador de dados pessoais, ou seja, a empresa que decide sobre o tratamento dos dados, precisa indicar um encarregado.

A ANPD criou um regime simplificado para agentes de tratamento de pequeno porte, como microempresas e empresas de pequeno porte, que os dispensa de indicar formalmente um encarregado. Mas eles precisam manter um canal de comunicação com os titulares, e a dispensa não vale quando o tratamento é de alto risco, como o uso de dados sensíveis em larga escala. Veja quanto custa a consultoria LGPD para pequenas empresas.

Interno ou terceirizado?

Muitas empresas adotam um modelo híbrido: o encarregado é externo, e há um ponto focal interno, normalmente na área administrativa ou de TI, que conhece os sistemas e repassa as demandas.

O cuidado com o conflito de interesses

A regulamentação da ANPD proíbe que o encarregado acumule atividades que gerem conflito de interesses com a função. Um exemplo clássico: o diretor de TI ou de marketing que decide como os dados são usados e, ao mesmo tempo, é quem deveria questionar essas decisões.

Esse é um dos motivos pelos quais o encarregado externo costuma ser uma boa escolha em empresas pequenas e médias, em que os gestores acumulam muitas funções.

O que o contrato de DPO terceirizado deve prever

• Escopo: atendimento a titulares e à ANPD, orientação, treinamentos, revisão de documentos, apoio em incidentes.
• Prazos de resposta: para pedidos de titulares e, principalmente, para incidentes de segurança.
• Volume incluído: horas ou demandas mensais e o que é cobrado à parte.
• Ponto focal interno e a forma de acesso às informações necessárias.
• Confidencialidade e tratamento dos dados a que o encarregado terá acesso.
• Relatórios periódicos sobre pedidos recebidos, riscos e recomendações.
• Regras de encerramento e transição para outro encarregado.

A responsabilidade continua sendo da empresa

Um ponto que precisa ficar claro: indicar um encarregado, interno ou externo, não transfere a ele a responsabilidade pela conformidade com a LGPD. A empresa, como controladora, continua respondendo perante a ANPD e perante os titulares.

O encarregado orienta, alerta e conduz a comunicação. As decisões sobre como os dados são tratados continuam sendo da empresa. Por isso o DPO terceirizado funciona melhor quando a empresa já passou por uma adequação, ou faz a adequação junto com ele.

Quanto costuma custar

O DPO terceirizado normalmente é cobrado por mensalidade. O valor depende do volume de dados tratados, da presença de dados sensíveis, do número de pedidos de titulares, do número de sistemas e fornecedores e do nível de suporte esperado em incidentes.

Empresas que ainda não fizeram a adequação costumam contratar um projeto inicial e, depois, a mensalidade do encarregado. Os componentes do custo estão detalhados em quanto custa uma consultoria LGPD.

Incidentes: quando o encarregado faz mais diferença

Um vazamento, um ataque de ransomware ou o envio de dados para a pessoa errada exigem resposta rápida: avaliar o risco, conter o problema, decidir se é preciso comunicar a ANPD e os titulares e fazer essa comunicação dentro do prazo regulamentar.

É nesse momento que um encarregado experiente faz mais diferença, coordenando a resposta com a TI e a direção e reduzindo o risco de sanções e de ações judiciais. Veja também compliance empresarial.

Sinais de que sua empresa precisa de um encarregado agora

• Um cliente importante pediu comprovação de conformidade com a LGPD para contratar ou renovar.
• A empresa trata dados de saúde, de crianças ou outros dados sensíveis.
• Chegaram pedidos de titulares que ninguém sabe como responder.
• Houve um incidente, mesmo pequeno, como um e-mail com dados enviado ao destinatário errado.
• A empresa cresceu e passou a usar vários sistemas e fornecedores com acesso a dados.

Como o encarregado atua no dia a dia

No modelo terceirizado, o trabalho costuma combinar uma rotina e respostas sob demanda. A rotina inclui reuniões periódicas com o ponto focal interno, revisão de novos contratos e processos que envolvam dados, atualização do registro das operações e treinamentos. Sob demanda, o encarregado responde aos pedidos de titulares, às comunicações da ANPD e, principalmente, aos incidentes.

Um bom serviço gera um relatório periódico simples, com o que foi recebido, os riscos identificados e as recomendações, que serve também como evidência de diligência da empresa.

Como contratar

Para uma proposta, informe o setor da empresa, o número de funcionários e de clientes, os principais sistemas usados e se já houve adequação à LGPD. Com isso, é possível definir o escopo e o formato do serviço.

O Moreira e Toledo atua como encarregado de dados e na adequação à LGPD de empresas de São José dos Campos e da região, e também à distância. Conheça nossa consultoria LGPD.

Perguntas frequentes