LGPD: Obrigatoriedade de Encarregado de Dados (DPO)

A adequação à Lei Geral de Proteção de Dados (Lei nº 13.709/2018) é uma obrigação que se estende para além de gigantes de tecnologia, alcançando condomínios, holdings patrimoniais e empresas de todos os portes. Qualquer entidade que colete e utilize dados de clientes, funcionários, fornecedores ou moradores realiza tratamento de dados e, portanto, está sujeita às suas regras e sanções.

A ausência de uma estrutura de governança de dados, incluindo a nomeação de um Encarregado, representa um risco jurídico e financeiro concreto. Um simples cadastro de portaria, a lista de sócios de uma holding familiar ou a base de contatos de uma incorporadora constituem operações que exigem conformidade legal.

Quem é obrigado a nomear um Encarregado de Dados (DPO)?

A regra geral da LGPD, estabelecida no artigo 41, determina que todo controlador de dados deve indicar um Encarregado pela Proteção de Dados (DPO). Esta pessoa atua como o canal de comunicação entre a organização, os titulares dos dados e a Autoridade Nacional de Proteção de Dados (ANPD).

As entidades que devem se preocupar com a nomeação de forma imediata são:

• Condomínios residenciais e comerciais: Tratam dados de moradores, funcionários, prestadores de serviço e visitantes.

• Administradoras de condomínios: Como operadoras, gerenciam um volume massivo de dados pessoais em nome de seus clientes.

• Holdings patrimoniais e familiares: Centralizam dados de sócios, herdeiros e informações sobre os ativos do grupo.

• Empresas do setor imobiliário: Realizam tratamento intensivo de dados em prospecção, vendas e locação.

• Qualquer empresa que realize tratamento sistemático de dados para sua operação.

A ANPD, através da Resolução nº 2/2022, flexibilizou obrigações para "agentes de tratamento de pequeno porte". Contudo, a dispensa de nomear um encarregado não é automática. Ela não se aplica a organizações que realizam tratamento de alto risco, como o tratamento de dados em larga escala ou de dados sensíveis. A análise para esse enquadramento é técnica e requer cautela.

Leitura prática da Barbero: o passivo oculto que uma due diligence revela

Em nossa atuação em operações de M&A e auditorias jurídicas, temos observado um erro recorrente: empresas que tratam a LGPD como um projeto de TI ou um conjunto de documentos isolados, como uma política de privacidade padronizada. O verdadeiro problema, contudo, emerge na fase de due diligence, quando o comprador ou investidor testa a efetividade do programa de governança. A ausência de registros de tratamento de dados (ROPA), de relatórios de impacto e de um plano de resposta a incidentes funcional revela um passivo contingente que não é sanado por um documento. A consequência econômica é imediata: o valor do negócio é ajustado para baixo para cobrir o risco, ou cláusulas de retenção de preço (escrow) são impostas, afetando diretamente a liquidez dos vendedores.

A distinção crítica não é entre ter ou não ter uma política, mas entre possuir um 'documento de prateleira' e um programa de governança auditável e integrado à operação.

Riscos de não agir

A inércia frente à LGPD gera passivos com severas consequências financeiras e operacionais:

• Aplicação de multas pela ANPD: Sanções que podem chegar a 2% do faturamento da empresa, limitadas a R$ 50 milhões por infração.

• Condenação judicial: Ações de indenização por danos morais e materiais, individuais ou coletivas, movidas por titulares de dados.

• Desvalorização em operações de M&A: A não conformidade é um fator de risco crítico em processos de due diligence, podendo inviabilizar a venda da empresa ou reduzir seu valor de avaliação.

• Perda de contratos estratégicos: Grandes corporações exigem que sua cadeia de fornecedores esteja em conformidade, tornando a adequação um pré-requisito de negócios.

• Responsabilização pessoal de sócios e administradores: A omissão pode ser interpretada como violação ao dever de diligência (art. 158 da Lei das S.A.), expondo o patrimônio pessoal dos gestores.

Como esse problema costuma ser resolvido na prática

A resolução de passivos de LGPD segue um processo técnico e sequencial. O primeiro passo é o diagnóstico (Gap Analysis) para mapear todos os pontos de tratamento de dados na operação. A partir desse mapa, elabora-se um plano de ação para adequar processos e contratos. Implementam-se as soluções, como a revisão de cláusulas contratuais, a elaboração de políticas e a estruturação de canais para atender aos direitos dos titulares. A nomeação do Encarregado de Dados (DPO), interno ou externo, é um passo fundamental, seguido pelo treinamento das equipes e o estabelecimento de monitoramento contínuo. A Barbero Advogados atua na condução de projetos de conformidade à LGPD, do diagnóstico à defesa em processos administrativos e judiciais.

O que você deve fazer agora

• Realizar um inventário dos dados pessoais que sua empresa, holding ou condomínio coleta e armazena.

• Identificar a base legal que justifica cada atividade de tratamento de dados realizada.

• Revisar os contratos com fornecedores e prestadores de serviço para incluir cláusulas sobre proteção de dados.

• Analisar tecnicamente a necessidade de nomear um Encarregado pela Proteção de Dados (DPO).

• Documentar todos os processos e decisões relativas à privacidade para demonstrar conformidade (accountability).

Quando procurar orientação especializada

A busca por orientação especializada é recomendada quando a organização trata um volume significativo de dados pessoais; lida com dados sensíveis (saúde, biometria); recebe uma notificação da ANPD ou de um titular de dados; está passando por uma auditoria, fusão ou aquisição (M&A); ou quando os administradores não possuem segurança técnica para conduzir a adequação e desejam mitigar sua responsabilidade pessoal.

Base legal

• Lei nº 13.709/2018 (Lei Geral de Proteção de Dados Pessoais - LGPD): Artigos 5º, 41 e 52.

• Resolução CD/ANPD nº 2, de 27 de janeiro de 2022: Aprova o Regulamento de aplicação da LGPD para agentes de tratamento de pequeno porte.

• Lei nº 6.404/1976 (Lei das Sociedades por Ações): Artigo 158 (dever de diligência dos administradores).

• Lei nº 10.406/2002 (Código Civil): Artigos 186 e 927 (responsabilidade civil por ato ilícito).

**Barbero Insight**

A maioria dos conflitos sobre dados não nasce em vazamentos espetaculares. Nasce no tratamento rotineiro e silencioso de informações, sem base legal adequada ou transparência. A governança de dados é a estrutura que transforma essa obrigação legal em um ativo de confiança e segurança jurídica.