O Data Protection Officer – DPO, assim designado nos termos da GDPR – General Data Protection Regulation, lei de proteção de dados que entrou em vigor na União Europeia em 25 de março de 2018, recebeu o curioso título de “Encarregado”, de acordo com a LGPD, Lei Geral de Proteção de Dados no Brasil, publicada em 15 de agosto de 2018, cuja vigência iniciou-se apenas em 18 de setembro de 2020.
Segundo o European Data Protection Supervisor, que é a autoridade independente de proteção de dados da União Europeia, estabelece as atribuições do DPO, sendo a principal delas garantir que sua organização processe os dados pessoais de sua equipe, clientes, fornecedores ou quaisquer outros indivíduos (também chamados de titulares de dados), em conformidade com as regras de proteção de dados aplicáveis.
O DPO deve poder desempenhar suas funções de forma independente, não devendo receber instruções sobre o desempenho de suas funções. Não deve haver conflito de interesses entre os deveres do indivíduo como DPO e seus outros deveres, se houver, para não comprometer suas obrigações. Para evitar conflitos, é recomendável que:
- o DPO não deve controlar também as atividades de tratamento (por exemplo, se ele é o gestor de recursos humanos);
- o DPO não deve ser um funcionário com contrato de curto prazo;
- o DPO não deve se reportar a um superior direto que não seja da alta gerência; e
- o DPO deve ter a responsabilidade de gerenciar seu próprio orçamento.
Passamos agora às principais atribuições do DPO:
