A Agência Nacional de Proteção de Dados concluiu a primeira fase de dois processos de monitoramento destinados a verificar o cumprimento de obrigações relacionadas à indicação do encarregado pelo tratamento de dados pessoais e à disponibilização de canais de comunicação com os titulares.
Foram monitorados 56 agentes de tratamento, dos quais 39 eram órgãos públicos e 17 empresas privadas.
De acordo com o resultado divulgado pela Agência, 27 agentes atenderam integralmente às solicitações, oito ainda apresentavam pendências de regularização e 21 não responderam aos pedidos encaminhados durante a fiscalização.
A lista das organizações que não responderam foi encaminhada à Coordenação-Geral de Sanção. Essa área analisará o caso e avaliará quais medidas deverão ser adotadas, incluindo a eventual instauração de processos administrativos sancionadores.
O encaminhamento, portanto, não representa uma condenação antecipada nem a aplicação automática de penalidades.
O que a ANPD está fiscalizando?
Os processos de monitoramento concentram-se em duas obrigações diretamente relacionadas à transparência e ao exercício dos direitos dos titulares:
- A indicação do encarregado pelo tratamento de dados pessoais;
- A existência de um canal de comunicação acessível e adequado.
O encarregado atua como canal de comunicação entre o controlador, os titulares e a ANPD. Sua função também envolve orientar colaboradores e apoiar a organização em questões relacionadas às práticas de proteção de dados.
A fiscalização busca verificar se essa estrutura está formalmente constituída e se funciona de maneira efetiva.
Quem precisa indicar um encarregado?
De acordo com a LGPD, o controlador deve indicar um encarregado pelo tratamento de dados pessoais. Para os operadores, a indicação é facultativa e pode ser considerada uma prática de governança.
Existem hipóteses específicas de dispensa aplicáveis a determinados agentes de tratamento de pequeno porte. Essa dispensa, contudo, não é automática para toda empresa enquadrada como pequena organização.
Agentes que realizem tratamento de alto risco ou que ultrapassem os critérios regulatórios aplicáveis podem continuar sujeitos à obrigação de indicar um encarregado. Mesmo quando dispensado da indicação, o agente de pequeno porte deve manter um canal de comunicação com os titulares.
Por isso, a análise deve considerar o porte, o modelo de negócio, o volume de operações, a natureza dos dados tratados e os riscos envolvidos.
Como deve ser formalizada a indicação?
A indicação do encarregado deve ocorrer por meio de ato formal.
Segundo a orientação da ANPD, esse ato corresponde a um documento escrito, datado e assinado, que demonstre de maneira clara a intenção de designar uma pessoa natural ou jurídica para exercer a função.
No setor privado, a indicação pode ser formalizada por contrato, instrumento particular, termo aditivo ou outro documento adequado à estrutura societária e trabalhista da organização.
Esse documento não precisa, necessariamente, ser publicado no site ou encaminhado previamente à ANPD. Entretanto, deve ser mantido pela organização e apresentado à Agência quando solicitado em uma fiscalização.
Para órgãos e entidades públicas, também devem ser observadas as exigências de publicidade aplicáveis aos atos administrativos.
Quais informações devem estar publicadas?
Além da indicação formal, a identidade e as informações de contato do encarregado devem ser divulgadas publicamente de maneira clara e objetiva.
Quando o encarregado for uma pessoa natural, deve ser informado, no mínimo, seu nome completo.
Quando a função for exercida por uma pessoa jurídica, devem ser divulgados:
- Nome empresarial ou título do estabelecimento;
- Nome completo da pessoa natural responsável;
- Informações de contato que viabilizem a comunicação.
A ANPD orienta que essas informações sejam publicadas no site do controlador, em local de destaque e de fácil acesso. Caso a organização não possua site, poderão ser utilizados outros meios de comunicação habitualmente empregados no relacionamento com os titulares.
Não é recomendável limitar a informação a um rodapé pouco visível, a um documento extenso ou a uma política de privacidade de difícil localização.
Publicar um e-mail é suficiente?
A publicação de um endereço eletrônico não encerra a obrigação da organização.
O canal deve funcionar de maneira efetiva e permitir:
- O recebimento de solicitações dos titulares;
- O direcionamento interno das demandas;
- A confirmação da identidade do requerente;
- O acompanhamento dos prazos aplicáveis;
- O registro das respostas encaminhadas;
- O recebimento de comunicações da ANPD;
- A substituição do encarregado em períodos de ausência ou impedimento.
A própria orientação da ANPD esclarece que um e-mail representa uma informação de contato, mas não substitui a divulgação da identidade do encarregado.
Uma página que informa apenas “contato do DPO”, sem identificar a pessoa natural ou jurídica responsável, pode não atender integralmente aos requisitos regulatórios.
Quais foram os resultados do monitoramento?
Entre os agentes que atenderam integralmente às solicitações da Agência estão OpenAI, Shopee, XP Investimentos, Natura, Hotmart, Grupo Casas Bahia e Méliuz.
Google Brasil e iFood integravam a relação de agentes com pendências de regularização no momento da divulgação. Esses agentes receberam prazo de dez dias úteis, contado da notificação, para corrigir os pontos identificados.
As 21 organizações que não responderam foram encaminhadas à área de sanção para análise e adoção das medidas cabíveis.
A seleção dos agentes monitorados considerou informações provenientes de auditoria do Tribunal de Contas da União, requerimentos de titulares, denúncias, petições e demandas anteriormente encaminhadas pela ANPD sem resposta. A Agência também informou que priorizou controladores de maior porte, considerando o volume de dados tratados e a abrangência de suas atividades.
Quais são os riscos para as organizações?
A ausência de encarregado, quando sua indicação for obrigatória, pode representar descumprimento da LGPD e da regulamentação da ANPD.
Também podem gerar riscos:
- Ausência de ato formal de indicação;
- Informações desatualizadas no site;
- Divulgação apenas do e-mail, sem a identidade do encarregado;
- Canal que não recebe ou não direciona solicitações;
- Falta de substituto durante afastamentos;
- Ausência de registros das demandas;
- Falta de resposta a ofícios da ANPD;
- Desalinhamento entre as informações públicas e os documentos internos.
O não atendimento às solicitações da Agência pode resultar no aprofundamento da fiscalização e na eventual abertura de processo administrativo sancionador.
Como revisar a conformidade?
A organização pode iniciar a análise por meio de um checklist objetivo.
1. Confirmar a obrigatoriedade da indicação
Deve-se verificar se a empresa atua como controladora, se está abrangida por alguma hipótese de dispensa e se realiza operações de tratamento consideradas de alto risco.
2. Localizar o ato formal
O documento de indicação deve estar atualizado, datado, assinado e armazenado em local acessível para eventual fiscalização.
3. Revisar as informações publicadas
O site deve informar a identidade do encarregado e os meios de contato de forma clara, objetiva e facilmente localizável.
4. Testar o canal
É importante realizar testes periódicos para confirmar se as mensagens estão sendo recebidas, encaminhadas e respondidas.
5. Definir responsáveis internos
As áreas envolvidas precisam saber quem recebe, analisa e responde a cada tipo de solicitação.
6. Manter registros
Solicitações, comunicações, prazos, decisões e respostas devem ser documentados para demonstrar a efetividade do programa.
7. Preparar a substituição
A ausência ou o impedimento do encarregado não pode impedir o exercício dos direitos dos titulares ou a comunicação com a ANPD.
Fiscalização confirma amadurecimento regulatório
O monitoramento demonstra que a atuação regulatória está avançando da orientação geral para a verificação prática das estruturas implementadas pelas organizações.
Nesse cenário, não basta apresentar políticas ou documentos institucionais. A empresa deve demonstrar que sua governança funciona, que os canais estão ativos e que as solicitações são tratadas de maneira rastreável.
A atuação do PDK Advogados em Privacidade, Proteção de Dados e Cybersecurity contempla a análise de estruturas de governança, atuação do encarregado, canais de titulares e resposta a procedimentos fiscalizatórios.
