dpo.eti.br
A LGPD não pergunta o seu faturamento.
Ela pergunta que dado você trata. E o seu já está aí dentro, no computador do balcão, no sistema do fornecedor, no backup que ninguém conferiu.
Encarregado de dados · Adequação à LGPD · Resposta a incidentes
A LGPD não pergunta o seu faturamento.
Ela pergunta que dado você trata. Farmácia, academia, consultório, escola, associação e condomínio tratam dado pessoal sensível todos os dias, e é o dado, não o tamanho da empresa, que define o regime jurídico aplicável.
- 3 dias úteis
- Prazo de comunicação à ANPD
Res. CD/ANPD 15/2024 - Art. 41
- Encarregado pelo tratamento
de dados pessoais - 2 h úteis
- Retorno humano em
horário comercial - 24 h
- Protocolo de Primeira Hora
automático, todos os dias
O básico, para quem nunca precisou saber
Antes de falar em adequação, três definições.
O que é a LGPD
É a Lei Geral de Proteção de Dados Pessoais, Lei 13.709/2018, em vigor desde setembro de 2020. Ela diz o que uma empresa pode e o que não pode fazer com informação sobre pessoas.
Dado pessoal é qualquer informação que identifique alguém. Nome, CPF, telefone, endereço, foto, digital, placa do carro, resultado de exame. Se dá para saber de quem é, é dado pessoal.
A lei não proíbe usar. Ela exige três coisas. Que exista um motivo previsto na própria lei para cada uso. Que a pessoa saiba o que está sendo feito com o que é dela. E que o dado seja protegido enquanto for necessário e eliminado quando deixar de ser.
Quem cobra
A ANPD, Autoridade Nacional de Proteção de Dados. É órgão federal, regulamenta a lei por resolução, recebe reclamação de qualquer cidadão, investiga vazamento e aplica sanção. As resoluções dela valem tanto quanto a lei no dia a dia da empresa.
O que é um DPO
DPO vem do inglês, Data Protection Officer. Na LGPD brasileira o nome é encarregado pelo tratamento de dados pessoais. É a pessoa indicada pela empresa para ser o canal entre ela, os clientes e a ANPD.
Na prática o encarregado faz quatro coisas. Atende o cliente que quer saber quais dados a empresa tem sobre ele, ou que quer apagá-los. Responde à ANPD quando ela pergunta. Orienta a equipe sobre o que pode e o que não pode. E conduz a resposta quando alguma coisa vaza.
O encarregado não precisa ser funcionário
A Resolução CD/ANPD nº 18/2024 admite que a função seja exercida por pessoa de fora, física ou jurídica. Para a empresa que não tem departamento jurídico nem de tecnologia, contratar sai mais barato e mais seguro do que designar alguém de casa sem preparo, que assumiria a responsabilidade no papel e não na prática.
A mesma resolução exige que o encarregado atue com autonomia e sem conflito de interesses, o que é justamente o argumento a favor de alguém de fora.
Por que porte não isenta
Não existe isenção por tamanho. Existe simplificação, e ela não alcança quem trata dado sensível.
A LGPD não tem faturamento mínimo, número mínimo de clientes nem de funcionários. O critério do art. 3º é territorial e finalístico. As exceções do art. 4º são uso pessoal e doméstico, jornalístico, artístico, acadêmico e de segurança pública. Nenhuma delas cobre um negócio.
O que existe é a Resolução CD/ANPD nº 2/2022, que criou regime simplificado para agentes de pequeno porte, inclusive dispensando a nomeação formal de encarregado pelo art. 11. Mas o §1º do mesmo artigo mantém a obrigação de disponibilizar canal de comunicação com o titular, e a dispensa não afasta as demais obrigações da lei.
Res. CD/ANPD nº 2/2022, art. 3º, I Não se beneficia do tratamento diferenciado o agente de pequeno porte que realize tratamento de alto risco para os titulares.
O art. 4º define alto risco pela combinação de um critério geral, que é larga escala ou tratamento capaz de afetar significativamente interesses e direitos fundamentais, somado a um critério específico, entre eles a utilização de dados pessoais sensíveis ou de dados de crianças, adolescentes e idosos, o uso de tecnologias emergentes e a vigilância de zonas acessíveis ao público.
A clínica, a academia e a creche já estão no regime de alto risco. Só não sabem.
Res. CD/ANPD nº 2/2022, art. 4º
Basta um critério geral somado a um específico. Dado de saúde e biometria são critério específico expresso. Reconhecimento facial na recepção soma outros dois.
Onde estão os seus dados
Escolha o seu ramo e veja o que você trata sem perceber.
Quase todo negócio de atendimento ao público no interior trata dado sensível. A diferença é que alguns sabem disso.
O que fazemos
Quem fiscaliza não pode ser quem defende.
A Resolução CD/ANPD nº 18/2024 exige que o encarregado atue com autonomia e sem conflito de interesses. Assumimos isso por escrito, desde o contrato.
Três frentes
Um encarregado, do mapeamento à defesa.
ENCARREGADO
DPO como serviço
Assunção da função de encarregado perante a ANPD e os titulares, com canal de atendimento operante.
- Canal do titular hospedado e mantido
- Resposta a requisições do art. 18
- Interlocução com a ANPD
- Relatório periódico à direção
ADEQUAÇÃO
Programa de conformidade
Do mapeamento ao documento assinável, em fases com entregável definido em cada uma.
- Mapeamento de fluxos e registro das operações
- Definição de bases legais por finalidade
- Política de privacidade e de retenção
- Contratos com operadores e fornecedores
INCIDENTE
Resposta a vazamento
Contenção, avaliação de risco relevante, comunicação à ANPD e aos titulares dentro do prazo.
- Preservação de evidência desde a hora zero
- Enquadramento do dever de comunicar
- Peças de comunicação à ANPD
- Defesa em processo administrativo
Política de Independência do Encarregado
Não atuamos no contencioso da empresa que assessoramos como encarregado. Toda a relação é regida por contrato de honorários advocatícios, com o sigilo profissional do art. 7º, II, da Lei 8.906/94 desde a primeira conversa.
Comece por aqui
Diagnóstico de maturidade em proteção de dados.
Vinte e cinco perguntas objetivas sobre bases legais, registro de operações, contratos com operadores, retenção, plano de resposta a incidente e canal do titular. Ao final, nota por eixo e relatório em PDF gerado dentro do seu próprio aparelho, na hora e sem custo. Nenhuma resposta é transmitida, e não pedimos identificação alguma.
Conteúdo informativo. Não constitui consulta jurídica nem substitui análise do caso concreto.