Para pensar ...

Conversando com encarregados/DPO escutei afirmações de alívio devido aos seguintes artigos do Regulamento do Encarregado, que afirmam que o controlador é o responsável pela conformidade com a LGPD:

Art. 11. O agente de tratamento é o responsável pela conformidade do tratamento dos dados pessoais, nos termos da Lei nº 13.709, de 14 de agosto de 2018.

Art. 17. O desempenho das atividades e das atribuições dispostas nos arts. 15 e 16 não confere ao encarregado a responsabilidade, perante a ANPD, pela conformidade do tratamento dos dados pessoais realizado pelo controlador.

Estes dois artigos combinados são claros para definir quem é "responsável pela conformidade do tratamento dos dados pessoais": o agente de tratamento.

Porém há outra combinação de requisitos:

Art. 10. O agente de tratamento deverá ... II - solicitar assistência e orientação do encarregado quando da realização de atividades e tomada de decisões estratégicas referentes ao tratamento de dados pessoais;

Art. 16. Cabe, ainda, ao encarregado, nos termos do art. 10, inciso II, deste Regulamento, prestar assistência e orientação ao agente de tratamento na elaboração, definição e implementação, conforme o caso, de:

Penso na cena:

A autoridade diz: - Ô agente de tratamento, você precisa estar em conformidade;

No que o agente responde: - Sim senhora, vou pedir orientações ao encarregado;

E prontamente toma providências: - Encarregado, vem aqui, por favor me diga o que fazer;

E o competente encarregado: - Estou pronto!

Dentro do prazo, o encarregado conclui sua missão: - Agente, aqui estão as orientações conforme a lei e as boas práticas: RIPD, PbD, ROpA, Riscos, Incidentes, Governança, ...

O agente olha com atenção e decide: - Ótimo! Vou implementar tudo!;

Passado algum tempo, a autoridade reencontra o agente: - Agente, vi o incidente que aconteceu e encontrei umas inconsistências;

E o agente de tratamento: - Mas eu fiz tudo que o encarregado orientou...

Esta é uma alegoria, inventei esta história agora, poderia ter diferentes inícios, meios e fins. Entendo que o Programa de Governança em Privacidade pode ser o grande instrumento de alinhamento entre o titular, agente de tratamento, encarregados, autoridades, fornecedores, clientes e outros atores. Neste importante instrumento, as atribuições e responsabilidades podem ficar muito bem definidas.

Amanhã no evento da ANPD acho que muitos pontos ficarão mais claros. Vale conferir, link no comentário.

Obrigado,

Aquele abraço,

FNery.