Publicado em: 17\/07\/2024 | Edi\u00e7\u00e3o: 136 | Se\u00e7\u00e3o: 1 | P\u00e1gina: 42<\/p>\n\n\n\n
\u00d3rg\u00e3o: <\/strong>Minist\u00e9rio da Justi\u00e7a e Seguran\u00e7a P\u00fablica\/Autoridade Nacional de Prote\u00e7\u00e3o de Dados\/Conselho Diretor<\/strong><\/p>\n\n\n\n RESOLU\u00c7\u00c3O CD\/ANPD N\u00ba 18, DE 16 DE JULHO DE 2024<\/p>\n\n\n\n Aprova o Regulamento sobre a atua\u00e7\u00e3o do encarregado pelo tratamento de dados pessoais.<\/p>\n\n\n\n O CONSELHO DIRETOR DA AUTORIDADE NACIONAL DE PROTE\u00c7\u00c3O DE DADOS (ANPD), no uso de suas atribui\u00e7\u00f5es legais, considerando o disposto nos arts. 41, \u00a7 3\u00ba e 55-J, inciso XIII, da Lei n\u00ba 13.709, de 14 de agosto de 2018, bem como a delibera\u00e7\u00e3o tomada nos autos do processo n\u00ba 00261.000226\/2022-53, resolve:<\/p>\n\n\n\n Art. 1\u00ba Fica aprovado o Regulamento sobre a atua\u00e7\u00e3o do encarregado pelo tratamento de dados pessoais, na forma do Anexo desta Resolu\u00e7\u00e3o.<\/p>\n\n\n\n Art. 2\u00ba Esta Resolu\u00e7\u00e3o entra em vigor na data de sua publica\u00e7\u00e3o.<\/p>\n\n\n\n WALDEMAR GON\u00c7ALVES ORTUNHO JUNIOR<\/p>\n\n\n\n Diretor-Presidente<\/p>\n\n\n\n ANEXO<\/p>\n\n\n\n REGULAMENTO SOBRE A ATUA\u00c7\u00c3O DO ENCARREGADO PELO TRATAMENTO DE DADOS PESSOAIS<\/p>\n\n\n\n CAP\u00cdTULO I<\/p>\n\n\n\n DISPOSI\u00c7\u00d5ES PRELIMINARES<\/p>\n\n\n\n Art. 1\u00ba Este Regulamento estabelece normas complementares sobre a indica\u00e7\u00e3o, a defini\u00e7\u00e3o, as atribui\u00e7\u00f5es e a atua\u00e7\u00e3o do encarregado, de que trata a Lei n\u00ba 13.709, de 14 de agosto de 2018.<\/p>\n\n\n\n Art. 2\u00ba Para fins deste Regulamento adotam-se as seguintes defini\u00e7\u00f5es:<\/p>\n\n\n\n I – agentes de tratamento: o controlador e o operador;<\/p>\n\n\n\n II – conflito de interesse: a situa\u00e7\u00e3o que possa comprometer, influenciar ou afetar, de maneira impr\u00f3pria, a objetividade e o julgamento t\u00e9cnico no desempenho das atribui\u00e7\u00f5es do encarregado;<\/p>\n\n\n\n III – controlador: pessoa natural ou jur\u00eddica, de direito p\u00fablico ou privado, a quem competem as decis\u00f5es referentes ao tratamento de dados pessoais;<\/p>\n\n\n\n IV – dado pessoal: informa\u00e7\u00e3o relacionada a pessoa natural identificada ou identific\u00e1vel;<\/p>\n\n\n\n V – encarregado: pessoa indicada pelo controlador e operador para atuar como canal de comunica\u00e7\u00e3o entre o controlador, os titulares dos dados e a Autoridade Nacional de Prote\u00e7\u00e3o de Dados (ANPD);<\/p>\n\n\n\n VI – operador: pessoa natural ou jur\u00eddica, de direito p\u00fablico ou privado, que realiza o tratamento de dados pessoais em nome do controlador;<\/p>\n\n\n\n VII – titular: pessoa natural a quem se referem os dados pessoais que s\u00e3o objeto de tratamento; e<\/p>\n\n\n\n VIII – tratamento: toda opera\u00e7\u00e3o realizada com dados pessoais, como as que se referem a coleta, produ\u00e7\u00e3o, recep\u00e7\u00e3o, classifica\u00e7\u00e3o, utiliza\u00e7\u00e3o, acesso, reprodu\u00e7\u00e3o, transmiss\u00e3o, distribui\u00e7\u00e3o, processamento, arquivamento, armazenamento, elimina\u00e7\u00e3o, avalia\u00e7\u00e3o ou controle da informa\u00e7\u00e3o, modifica\u00e7\u00e3o, comunica\u00e7\u00e3o, transfer\u00eancia, difus\u00e3o ou extra\u00e7\u00e3o.<\/p>\n\n\n\n CAP\u00cdTULO II<\/p>\n\n\n\n DOS AGENTES DE TRATAMENTO<\/p>\n\n\n\n Se\u00e7\u00e3o I<\/p>\n\n\n\n Da Indica\u00e7\u00e3o do Encarregado<\/p>\n\n\n\n Art. 3\u00ba A indica\u00e7\u00e3o do encarregado deve ser realizada por ato formal do agente de tratamento, do qual constem as formas de atua\u00e7\u00e3o e as atividades a serem desempenhadas.<\/p>\n\n\n\n \u00a7 1\u00ba Entende-se por ato formal o documento escrito, datado e assinado, que, de maneira clara e inequ\u00edvoca, demonstre a inten\u00e7\u00e3o do agente de tratamento em designar como encarregado uma pessoa natural ou uma pessoa jur\u00eddica.<\/p>\n\n\n\n \u00a7 2\u00ba O documento referido no caput dever\u00e1 ser apresentado \u00e0 ANPD, quando solicitado.<\/p>\n\n\n\n \u00a7 3\u00ba Os Agentes de Tratamento de Pequeno Porte dispensados de indicar encarregado devem disponibilizar um canal de comunica\u00e7\u00e3o com o titular de dados, nos termos do art. 11 do Regulamento de aplica\u00e7\u00e3o da LGPD para Agentes de Tratamento de Pequeno Porte, aprovado pela Resolu\u00e7\u00e3o CD\/ANPD n\u00ba 2, de 27 de janeiro de 2022.<\/p>\n\n\n\n Art. 4\u00ba Nas aus\u00eancias, impedimentos e vac\u00e2ncias do encarregado, a fun\u00e7\u00e3o ser\u00e1 exercida por substituto formalmente designado.<\/p>\n\n\n\n Par\u00e1grafo \u00fanico. As situa\u00e7\u00f5es referidas no caput n\u00e3o poder\u00e3o consistir em obst\u00e1culos para o exerc\u00edcio dos direitos dos titulares ou para o atendimento \u00e0s comunica\u00e7\u00f5es da ANPD.<\/p>\n\n\n\n Art. 5\u00ba As pessoas jur\u00eddicas de direito p\u00fablico referidas no art. 1\u00ba, par\u00e1grafo \u00fanico, da Lei n\u00ba 12.527, de 18 de novembro de 2011, dever\u00e3o indicar encarregado quando realizarem opera\u00e7\u00f5es de tratamento de dados pessoais, recaindo a indica\u00e7\u00e3o, preferencialmente, sobre servidores ou empregados p\u00fablicos detentores de reputa\u00e7\u00e3o ilibada.<\/p>\n\n\n\n \u00a7 1\u00ba A indica\u00e7\u00e3o dever\u00e1 ser publicada em Di\u00e1rio Oficial da Uni\u00e3o, do Estado, do Distrito Federal ou do Munic\u00edpio, a depender da esfera de atua\u00e7\u00e3o do agente de tratamento.<\/p>\n\n\n\n \u00a7 2\u00ba Entes despersonalizados da Administra\u00e7\u00e3o P\u00fablica que detenham obriga\u00e7\u00f5es t\u00edpicas de controlador poder\u00e3o indicar encarregado pr\u00f3prio, considerando o contexto e o volume dos tratamentos de dados pessoais realizados e a necessidade de desconcentra\u00e7\u00e3o administrativa, observadas as obriga\u00e7\u00f5es previstas neste Regulamento.<\/p>\n\n\n\n \u00a7 3\u00ba A indica\u00e7\u00e3o de encarregado nos termos do \u00a7 2\u00ba faz presumir sua compet\u00eancia sobre toda a estrutura organizacional subordinada ao \u00f3rg\u00e3o, exceto em caso de ressalva expressa no ato de indica\u00e7\u00e3o.<\/p>\n\n\n\n Art. 6\u00ba A indica\u00e7\u00e3o de encarregado por operadores \u00e9 facultativa e ser\u00e1 considerada pol\u00edtica de boas pr\u00e1ticas de governan\u00e7a para fins do disposto no art. 52, \u00a7 1\u00ba, inciso IX, da Lei n\u00ba 13.709, de 14 de agosto de 2018, e no art. 13, inciso II, do anexo da Resolu\u00e7\u00e3o CD\/ANPD n\u00ba 4, de 24 de fevereiro de 2023, desde que observadas as normas deste Regulamento.<\/p>\n\n\n\n Art. 7\u00ba Cabe ao agente de tratamento estabelecer as qualifica\u00e7\u00f5es profissionais necess\u00e1rias para o desempenho das atribui\u00e7\u00f5es do encarregado, considerando seus conhecimentos sobre a legisla\u00e7\u00e3o de prote\u00e7\u00e3o de dados pessoais, bem como o contexto, o volume e o risco das opera\u00e7\u00f5es de tratamento realizadas.<\/p>\n\n\n\n Se\u00e7\u00e3o II<\/p>\n\n\n\n Da Identidade e das Informa\u00e7\u00f5es de Contato do Encarregado<\/p>\n\n\n\n Art. 8\u00ba O agente de tratamento dever\u00e1 divulgar e manter atualizadas a identidade e as informa\u00e7\u00f5es de contato do encarregado.<\/p>\n\n\n\n Art. 9\u00ba A identidade e as informa\u00e7\u00f5es de contato do encarregado dever\u00e3o ser divulgadas publicamente, de forma clara e objetiva, em local de destaque e de f\u00e1cil acesso, no s\u00edtio eletr\u00f4nico do agente de tratamento, ressalvada a hip\u00f3tese do \u00a7 3\u00ba deste artigo.<\/p>\n\n\n\n \u00a7 1\u00ba A divulga\u00e7\u00e3o da identidade do encarregado abranger\u00e1, no m\u00ednimo:<\/p>\n\n\n\n I – o nome completo, se for pessoa natural; ou<\/p>\n\n\n\n II – o nome empresarial ou o t\u00edtulo do estabelecimento, bem como o nome completo da pessoa natural respons\u00e1vel, se pessoa jur\u00eddica.<\/p>\n\n\n\n \u00a7 2\u00ba A divulga\u00e7\u00e3o das informa\u00e7\u00f5es de contato do encarregado abranger\u00e1, no m\u00ednimo, os dados referentes aos meios de comunica\u00e7\u00e3o que viabilizem o exerc\u00edcio dos direitos dos titulares junto ao controlador e possibilitem o recebimento de comunica\u00e7\u00f5es da ANPD.<\/p>\n\n\n\n \u00a7 3\u00ba O agente de tratamento que n\u00e3o possuir s\u00edtio eletr\u00f4nico poder\u00e1 realizar a divulga\u00e7\u00e3o da identidade e das informa\u00e7\u00f5es de contato do encarregado por quaisquer outros meios de comunica\u00e7\u00e3o dispon\u00edveis, especialmente aqueles usualmente utilizados para contato com os titulares.<\/p>\n\n\n\n Se\u00e7\u00e3o III<\/p>\n\n\n\n Dos Deveres dos Agentes de Tratamento<\/p>\n\n\n\n Art. 10. O agente de tratamento dever\u00e1<\/p>\n\n\n\n I – prover os meios necess\u00e1rios para o exerc\u00edcio das atribui\u00e7\u00f5es do encarregado, neles compreendidos, entre outros, recursos humanos, t\u00e9cnicos e administrativos;<\/p>\n\n\n\n II – solicitar assist\u00eancia e orienta\u00e7\u00e3o do encarregado quando da realiza\u00e7\u00e3o de atividades e tomada de decis\u00f5es estrat\u00e9gicas referentes ao tratamento de dados pessoais;<\/p>\n\n\n\n III – garantir ao encarregado a autonomia t\u00e9cnica necess\u00e1ria para cumprir suas atividades, livre de interfer\u00eancias indevidas, especialmente na orienta\u00e7\u00e3o a respeito das pr\u00e1ticas a serem tomadas em rela\u00e7\u00e3o \u00e0 prote\u00e7\u00e3o de dados pessoais;<\/p>\n\n\n\n IV – assegurar aos titulares meios c\u00e9leres, eficazes e adequados para viabilizar a comunica\u00e7\u00e3o com o encarregado e o exerc\u00edcio de direitos;<\/p>\n\n\n\n V – garantir ao encarregado acesso direto \u00e0s pessoas de maior n\u00edvel hier\u00e1rquico dentro da organiza\u00e7\u00e3o, aos respons\u00e1veis pela tomada de decis\u00f5es estrat\u00e9gicas que afetem ou envolvam o tratamento de dados pessoais, bem como \u00e0s demais \u00e1reas da organiza\u00e7\u00e3o.<\/p>\n\n\n\n Art. 11. O agente de tratamento \u00e9 o respons\u00e1vel pela conformidade do tratamento dos dados pessoais, nos termos da Lei n\u00ba 13.709, de 14 de agosto de 2018.<\/p>\n\n\n\n CAP\u00cdTULO III<\/p>\n\n\n\n DO ENCARREGADO<\/p>\n\n\n\n Se\u00e7\u00e3o I<\/p>\n\n\n\n Das Caracter\u00edsticas<\/p>\n\n\n\n Art. 12. O encarregado poder\u00e1 ser:<\/p>\n\n\n\n I – uma pessoa natural, integrante do quadro organizacional do agente de tratamento ou externo a esse; ou<\/p>\n\n\n\n II – uma pessoa jur\u00eddica.<\/p>\n\n\n\n Art. 13. O encarregado dever\u00e1 ser capaz de comunicar-se com os titulares e com a ANPD, de forma clara e precisa e em l\u00edngua portuguesa.<\/p>\n\n\n\n Art. 14. O exerc\u00edcio da atividade de encarregado n\u00e3o pressup\u00f5e a inscri\u00e7\u00e3o em qualquer entidade nem qualquer certifica\u00e7\u00e3o ou forma\u00e7\u00e3o profissional espec\u00edfica.<\/p>\n\n\n\n Se\u00e7\u00e3o II<\/p>\n\n\n\n Das Atividades e das Atribui\u00e7\u00f5es<\/p>\n\n\n\n Art. 15. As atividades do encarregado consistem em:<\/p>\n\n\n\n I – aceitar reclama\u00e7\u00f5es e comunica\u00e7\u00f5es dos titulares, prestar esclarecimentos e adotar provid\u00eancias cab\u00edveis;<\/p>\n\n\n\n II – receber comunica\u00e7\u00f5es da ANPD e adotar provid\u00eancias;<\/p>\n\n\n\n III – orientar os funcion\u00e1rios e os contratados do agente de tratamento a respeito das pr\u00e1ticas a serem tomadas em rela\u00e7\u00e3o \u00e0 prote\u00e7\u00e3o de dados pessoais; e<\/p>\n\n\n\n IV – executar as demais atribui\u00e7\u00f5es determinadas pelo agente de tratamento ou estabelecidas em normas complementares.<\/p>\n\n\n\n Par\u00e1grafo \u00fanico. Ao receber comunica\u00e7\u00f5es da ANPD, o encarregado dever\u00e1 adotar as medidas necess\u00e1rias para o atendimento da solicita\u00e7\u00e3o e para o fornecimento das informa\u00e7\u00f5es pertinentes, adotando, entre outras, as seguintes provid\u00eancias:<\/p>\n\n\n\n I – encaminhar internamente a demanda para as unidades competentes;<\/p>\n\n\n\n II – fornecer a orienta\u00e7\u00e3o e a assist\u00eancia necess\u00e1rias ao agente de tratamento; e<\/p>\n\n\n\n III – indicar expressamente o representante do agente de tratamento perante a ANPD para fins de atua\u00e7\u00e3o em processos administrativos, quando esta fun\u00e7\u00e3o n\u00e3o for exercida pelo pr\u00f3prio encarregado.<\/p>\n\n\n\n Art. 16. Cabe, ainda, ao encarregado, nos termos do art. 10, inciso II, deste Regulamento, prestar assist\u00eancia e orienta\u00e7\u00e3o ao agente de tratamento na elabora\u00e7\u00e3o, defini\u00e7\u00e3o e implementa\u00e7\u00e3o, conforme o caso, de:<\/p>\n\n\n\n I – registro e comunica\u00e7\u00e3o de incidente de seguran\u00e7a;<\/p>\n\n\n\n II – registro das opera\u00e7\u00f5es de tratamento de dados pessoais;<\/p>\n\n\n\n III – relat\u00f3rio de impacto \u00e0 prote\u00e7\u00e3o de dados pessoais;<\/p>\n\n\n\n IV – mecanismos internos de supervis\u00e3o e de mitiga\u00e7\u00e3o de riscos relativos ao tratamento de dados pessoais;<\/p>\n\n\n\n V – medidas de seguran\u00e7a, t\u00e9cnicas e administrativas, aptas a proteger os dados pessoais de acessos n\u00e3o autorizados e de situa\u00e7\u00f5es acidentais ou il\u00edcitas de destrui\u00e7\u00e3o, perda, altera\u00e7\u00e3o, comunica\u00e7\u00e3o ou qualquer forma de tratamento inadequado ou il\u00edcito;<\/p>\n\n\n\n VI – processos e pol\u00edticas internas que assegurem o cumprimento da Lei n\u00ba 13.709, de 14 de agosto de 2018, e dos regulamentos e orienta\u00e7\u00f5es da ANPD;<\/p>\n\n\n\n VII – instrumentos contratuais que disciplinem quest\u00f5es relacionadas ao tratamento de dados pessoais;<\/p>\n\n\n\n VIII – transfer\u00eancias internacionais de dados;<\/p>\n\n\n\n IX – regras de boas pr\u00e1ticas e de governan\u00e7a e de programa de governan\u00e7a em privacidade, nos termos do art. 50 da Lei n\u00ba 13.709, de 14 de agosto de 2018;<\/p>\n\n\n\n X – produtos e servi\u00e7os que adotem padr\u00f5es de design compat\u00edveis com os princ\u00edpios previstos na LGPD, incluindo a privacidade por padr\u00e3o e a limita\u00e7\u00e3o da coleta de dados pessoais ao m\u00ednimo necess\u00e1rio para a realiza\u00e7\u00e3o de suas finalidades; e<\/p>\n\n\n\n XI – outras atividades e tomada de decis\u00f5es estrat\u00e9gicas referentes ao tratamento de dados pessoais.<\/p>\n\n\n\n Art. 17. O desempenho das atividades e das atribui\u00e7\u00f5es dispostas nos arts. 15 e 16 n\u00e3o confere ao encarregado a responsabilidade, perante a ANPD, pela conformidade do tratamento dos dados pessoais realizado pelo controlador.<\/p>\n\n\n\n Se\u00e7\u00e3o III<\/p>\n\n\n\n Do Conflito de Interesse<\/p>\n\n\n\n Art. 18. O encarregado dever\u00e1 atuar com \u00e9tica, integridade e autonomia t\u00e9cnica, evitando situa\u00e7\u00f5es que possam configurar conflito de interesse.<\/p>\n\n\n\n Art. 19. O encarregado poder\u00e1 acumular fun\u00e7\u00f5es e exercer as suas atividades para mais de um agente de tratamento, desde que seja poss\u00edvel o pleno atendimento de suas atribui\u00e7\u00f5es relacionadas a cada agente de tratamento e inexista conflito de interesse.<\/p>\n\n\n\n \u00a7 1\u00ba O conflito de interesse pode se configurar:<\/p>\n\n\n\n I – entre as atribui\u00e7\u00f5es exercidas internamente em um agente de tratamento ou no exerc\u00edcio da atividade de encarregado em agentes de tratamento distintos; ou<\/p>\n\n\n\n II – com o ac\u00famulo das atividades de encarregado com outras que envolvam a tomada de decis\u00f5es estrat\u00e9gicas sobre o tratamento de dados pessoais pelo controlador, ressalvadas as opera\u00e7\u00f5es com dados pessoais inerentes \u00e0s atribui\u00e7\u00f5es do encarregado.<\/p>\n\n\n\n \u00a7 2\u00ba A exist\u00eancia de conflito de interesse ser\u00e1 objeto de verifica\u00e7\u00e3o no caso concreto e poder\u00e1 ensejar a aplica\u00e7\u00e3o de san\u00e7\u00e3o ao agente de tratamento nos termos do art. 52 da Lei n\u00ba 13.709, de 14 de agosto de 2018.<\/p>\n\n\n\n Art. 20. O encarregado dever\u00e1 declarar ao agente de tratamento qualquer situa\u00e7\u00e3o que possa configurar conflito de interesse, responsabilizando-se pela veracidade das informa\u00e7\u00f5es prestadas.<\/p>\n\n\n\n Art. 21. O agente de tratamento deve atentar para que o encarregado n\u00e3o exer\u00e7a atribui\u00e7\u00f5es que acarretem conflito de interesse.<\/p>\n\n\n\n Par\u00e1grafo \u00fanico. Uma vez constatada a possibilidade de conflito de interesse, o agente de tratamento dever\u00e1 adotar as seguintes provid\u00eancias, conforme o caso:<\/p>\n\n\n\n I – n\u00e3o indicar a pessoa para exercer a fun\u00e7\u00e3o de encarregado;<\/p>\n\n\n\n II – implementar medidas para afastar o risco de conflito de interesse; ou<\/p>\n\n\n\n III – substituir a pessoa designada para exercer a fun\u00e7\u00e3o de encarregado.<\/p>\n\n\n\n Este conte\u00fado n\u00e3o substitui o publicado na vers\u00e3o certificada.<\/p>\n\n\n\n <\/p>\n\n\n\n