Marketplace de pequeno porte, encarregado acumulando marketing e prazos internos
O marketplace Vestebem tem 25 empregados, faturamento anual de R$ 4 milhões e 300 mil clientes ativos. Em setembro, a diretoria decidiu nomear a gerente de marketing, que mora em Lisboa e responde pelo CRM e pelas campanhas, como encarregada de dados. O anúncio interno diz que ela "será o canal para reclamações de titulares e dará as diretrizes de privacidade". A empresa não publica nome ou contato do encarregado no site; os pedidos chegam pelo SAC e são respondidos em até 30 dias. A empresa trata dados de cartão tokenizados e, no programa de fidelidade, dados de saúde autodeclarados (restrições alimentares e alergias) de 12 mil clientes. A diretoria afirma que, por ser de pequeno porte, está dispensada de indicar encarregado e de manter registro das operações.
1. A dispensa de indicação de encarregado prevista para agentes de pequeno porte se aplica ao Vestebem?
Read the worked answer
Não necessariamente. A Resolução CD/ANPD nº 2/2022 flexibiliza obrigações para agentes de tratamento de pequeno porte - entre elas a indicação de encarregado, a manutenção do registro das operações (Art. 37) e a elaboração do relatório de impacto (Art. 38) -, mas os benefícios não são automáticos nem alcançam tratamento de alto risco. A própria resolução afasta a flexibilização quando o agente trata dados sensíveis, dados de crianças e adolescentes, ou realiza tratamento em larga escala ou com tecnologias emergentes.
Aqui dois elementos afastam o benefício: 300 mil titulares (larga escala, ainda que o faturamento seja de R$ 4 milhões) e dados de saúde autodeclarados no programa de fidelidade - restrições alimentares e alergias são dados sensíveis (Art. 5º, II). Logo, a empresa deve indicar encarregado e manter registro das operações; o relatório de impacto passa a ser exigível se a ANPD determinar ou se o tratamento de sensíveis for relevante.
Mesmo quem realmente se enquadra na dispensa precisa manter canal de comunicação com o titular, responder pedidos e adotar medidas de segurança. A diretoria confunde "dispensa de encarregado" com "dispensa de LGPD".
2. A nomeação da gerente de marketing é adequada? Discuta conflito de interesses, localização e requisitos da função.
Read the worked answer
É inadequada. O encarregado é o canal de comunicação entre controlador, titulares e ANPD (Art. 41), com atribuições de receber reclamações, orientar empregados, dar diretrizes e executar outras tarefas. Para isso precisa de autonomia técnica e operacional, acesso a dados e a decisões e ausência de conflito de interesses.
A gerente de marketing responde exatamente pelos processos de maior risco: CRM, campanhas e definição de finalidades. Se ela decide o que será feito com os dados, não pode ser, ao mesmo tempo, a instância que avalia e reporta se o tratamento está adequado. O conflito é estrutural, não apenas de agenda - a orientação da ANPD é no sentido de evitar a acumulação com funções que decidam sobre o tratamento.
Morar em Lisboa, por si só, não impede a função: o encarregado pode ser pessoa natural ou jurídica, interna ou externa, no Brasil ou no exterior, desde que haja disponibilidade e canal efetivo em português, compatível com os prazos legais.
Boas práticas: nomear alguém fora da cadeia de marketing (jurídico ou compliance, com reporte à alta administração), formalizar a designação por escrito, garantir orçamento, acesso e possibilidade de substituição, e documentar a análise de conflito.
3. Avalie a divulgação do encarregado e o prazo de 30 dias praticado pelo SAC, e indique correções necessárias.
Read the worked answer
Há dois erros. Primeiro, a identidade e o contato do encarregado devem ser divulgados publicamente, de forma clara e objetiva, preferencialmente no site da empresa (Art. 41, §1º). Canal interno de SAC não basta: o titular precisa saber a quem e como se dirigir para exercer direitos (Art. 18).
Segundo, o prazo interno de 30 dias contraria a lei. Confirmação de existência de tratamento ou acesso aos dados devem ser providenciados imediatamente ou em até 15 dias (Art. 19). Para os demais pedidos - correção, eliminação, portabilidade, informação sobre compartilhamento, revogação do consentimento - não há prazo único na lei, mas a resposta deve ser diligente, e o prazo de 15 dias é a referência de razoabilidade. Recusa, se houver, precisa ser fundamentada.
Correções: publicar página de privacidade com nome e contato do encarregado; criar fluxo com SLA, registro e trilha de auditoria; treinar o SAC para reconhecer pedidos de titular e não tratá-los como reclamação comum; medir indicadores de prazo. Como a empresa trata dados de saúde, deve também revisar a base legal do programa de fidelidade e restringir a coleta ao mínimo necessário, evitando converter dado sensível em insumo de marketing.