Agentes de tratamento de dados pessoais e encarregado: guia prático sobre suas atribuições, responsabilidades e boas práticas

Abstract

Este trabalho surge da necessidade de implementação da Lei 13.709/2018 (Lei Geral de Proteção de Dados). O foco são os novos personagens trazidos pela norma: os Agentes de Tratamento de Dados Pessoais (Controlador e Operador) e o Encarregado. O contexto da pesquisa é o desafio de adequação à lei, em oposição à criação tardia da Autoridade Nacional de Proteção de Dados, ente da administração pública apto a emitir diretrizes e esclarecimentos necessários para a implementação da norma. Dessa maneira, com base no diploma normativo de privacidade europeu, que exerceu grande influência na LGPD, assim como no histórico brasileiro de relação de consumo, de aplicações de conceitos de solidariedade, responsabilização subjetiva e objetiva e em precedentes,são elucidadas as possíveis atribuições, responsabilizações, governanças e diligências que cada um dos Agentes, assim como o Encarregado, devem buscar quando da implementação da lei. O trabalho expõe como aspectos imprescindíveis para a evidência da conformidade com a regra, a criação de um programa de proteção de dados, com política e/ou notificação de privacidade, cláusulas contratuais para reger a relação entre Operador e Controlador, assim como requisitos técnicos para o exercício da função do Encarregado. Tais aspectos são detalhados com exemplos de cláusulas e tópicos que podem ser utilizados por um Controlador que busca uma correta adequação.

This dissertation arises from the necessity to implement the Law n. 13,709/2018 (Brazilian Data Protection Law). The focus is on the new characters brought by the rule: the Data Processing Agents (Controller and Processor) and the Data Protection Officer. The context for this dissertation is the challenge to compliant with the law, as opposed to the late constitution of the Brazilian Data Protection Authority, the public entity responsible for publishing guidelines for the implementation process. Thus, based on the European data privacy rule, which influenced the Brazilian one and on the Brazilian historical of consumer laws, joint-liability, strict and subjective liability and legal precedents, the possible outcomes related to functions, liabilities, governances, and diligences in the law implementation for each agent and for the Data Protection Officer are developed in this work. As a fundamental aspect to evidence compliance with the rule, this research suggests the implementation of a privacy program, including privacy policy and/or notice, specific clauses about the relation between Controller and Processor to be inserted in their agreements, as well as technical requirements to act as the Data Protection Officer. Those aspects are developed and detailed throughout examples of clauses and topics that can be used by Controllers aiming to follow the law.