O encarregado de proteção de dados não é considerado um agente de tratamento na LGPD (art. 5º, IX) e possui atribuições delimitadas na lei. Apesar de não ter as mesmas responsabilidades de controlador e operador, o encarregado desempenha funções relevantes, que exigem um conhecimento multidisciplinar e, ao mesmo tempo, de toda a organização em que atua.
Trata-se da pessoa indicada pelo operador ou pelo controlador para exercer a função principal de ser o ponto de contato desses dois agentes de tratamento com os titulares dos dados pessoais e com a Autoridade Nacional de Proteção de Dados (ANPD), além de outras funções previstas na LGPD (art. 5º, VIII).
As pessoas que realizam atividade de tratamento de dados pessoais têm o dever legal de designar um encarregado (art. 41, § 3º, da LGPD). A ANPD poderá ampliar a definição e as atribuições do encarregado, além de definir hipóteses de dispensa da necessidade de sua indicação, conforme a natureza e o porte do controlador ou o volume de operações de tratamento de dados pessoais realizadas por ele (art. 41, § 3º, da LGPD). Logo, até que a ANPD defina quais são as situações de dispensa, a nomeação do encarregado é um dever do controlador. Como exceção, toda pessoa jurídica de direito público que tratar dados pessoais deve nomear um encarregado (art. 23, III, da LGPD), o que não poderá ser afastado pela ANPD.
Não se trata de uma atividade privativa de bacharel em Direito, ou seja, não há necessidade de formação jurídica ou de ser advogado para atuar como encarregado. Aliás, independentemente do grau de instrução, é necessário que o encarregado tenha um conhecimento amplo nas áreas de sua atuação, ou que sejam designados tantos encarregados quantos forem os setores específicos do controlador.
O controlador e o operador podem designar mais de um encarregado, para atuar de forma conjunta ou até mesmo para desempenhar suas funções de forma fracionada, em setores diferentes da organização (ex: administrativo, jurídico, tecnologia da informação, entre outros).
Em resumo, o encarregado exerce as atribuições de relacionamento com o titular dos dados pessoais, com a ANPD e com os demais órgãos regulatórios da atividade (ex: PROCON, Banco Central, CNJ), de orientação do controlador e de todas as pessoas na organização a observar as normas protetivas dos dados pessoais no desempenho de suas atividades, entre outras funções administrativas e jurídicas relativas ao tratamento de dados.
Considerando as principais atribuições do encarregado (art. 41, §§ 2º e 3º, da LGPD), o conhecimento, a complexidade e o tempo exigidos para o desempenho de todas elas, é recomendável que o encarregado seja um órgão colegiado ou que tenha em seu apoio um grupo de pessoas (de setores representativos da organização), para que as suas atividades sejam realizadas de forma adequada.
