Governança, programa de privacidade e encarregado (DPO)
Domínio 4: Governança, programa de privacidade e encarregado (DPO)
O foco aqui é o programa de privacidade do art. 50, os registros do art. 37 e o encarregado do art. 41. A banca quer saber se você entende governança como sistema documentado, não como declaração de intenções.
Estrutura mínima
O controlador deve indicar encarregado e divulgar publicamente sua identidade e contato. A ANPD disciplinou o tema e admite encarregado pessoa natural ou jurídica, interno ou externo, sem exigência de certificação específica, mas com qualificação, autonomia e ausência de conflito de interesses. O encarregado recebe comunicações de titulares e da ANPD, orienta empregados e presta contas. O programa de governança deve incluir políticas, treinamento, registro das operações de tratamento, análise de riscos, plano de resposta a incidentes e mecanismos de auditoria. O registro das operações é especialmente importante quando a base é legítimo interesse.
Exemplo trabalhado: uma varejista nomeia o diretor de marketing como encarregado. Há conflito evidente: ele decide campanhas e também deveria orientar sobre necessidade e transparência. A nomeação é frágil. Melhor separar funções, dar acesso à alta direção e documentar a indicação. O encarregado não precisa ser advogado, mas deve ter recursos para responder titulares e ANPD.
Armadilhas: achar que o DPO é pessoalmente responsável por multas; confundir DPO com auditor externo; e supor que o programa de governança é obrigatório para todos os agentes. O art. 50 estimula boas práticas, mas a indicação do encarregado é obrigação legal. Também é erro comum não divulgar o contato do encarregado.
Palavras-chave: art. 41, art. 50, ROPA, accountability, conflito de interesses.