Corte de Justiça da União Europeia publica decisão preliminar sobre conflito de interesses na função do encarregado
No dia 9 de fevereiro de 2023, a Corte de Justiça da União Europeia ("CJUE") publicou sua decisão preliminar no caso "X-FAB Dresden GmbH & Co. KG v. FC" (a primeira abaixo referida como "X-FAB"). Dentre outros, a decisão versa sobre o conflito de interesses do seu Encarregado de proteção de dados pessoais que atuava em mais de uma função ("Encarregado X-FAB").
FC (cujo nome não foi identificado) trabalha na X-FAB desde 1993 e exerce a função de presidente da Comissão de Trabalhadores. Em 2015, FC foi designado como o Encarregado X-FAB de empresas do grupo. Todavia, as empresas do grupo da X-FAB destituíram FC do posto de Encarregado X-FAB em 2017, a pedido da autoridade de proteção de dados da Turíngia, Alemanha.
Em resposta, FC ajuizou uma ação na Alemanha solicitando a sua manutenção no posto de Encarregado X-FAB. Esse pedido se fundamenta na Lei Federal de Proteção de Dados da Alemanha (BGSD), que permite a destituição do encarregado apenas em casos de justa causa. Por sua vez, a X-FAB alega que o exercício concomitante da função de Encarregado X-FAB e presidente da Comissão de Trabalhadores gera um conflito de interesses.
O pedido de FC foi acatado em duas instâncias da justiça alemã. Então, a X-FAB interpôs um pedido de revisão perante o Supremo Tribunal do Trabalho da Alemanha, que remeteu o caso à CJUE. Em específico, questiona-se a interpretação do artigo 38(6) do General Data Protection Regulation ("GDPR"), o qual dispõe que as funções do encarregado devem ser exercidas sem qualquer tipo de conflito de interesses.
Preliminarmente, a CJUE atestou que o GDPR não proíbe que o encarregado também exerça outras atividades no âmbito da empresa. Todavia, demais atividades não podem impedir que o encarregado exerça seus deveres de forma independente, incluindo o monitoramento do cumprimento do GDPR e de políticas internas.
Segundo a CJUE, o "conflito de interesses" ocorre quando o encarregado se responsabiliza por outras tarefas e deveres que resultem na determinação das finalidades ou dos meios do tratamento de dados pessoais juntamente ao controlador ou operador. A CJUE destacou que tal análise deve levar em conta a estrutura organizacional do agente de tratamento, incluindo quaisquer políticas internas aplicáveis.
No Brasil, a LGPD obriga que agentes de tratamento nomeiem um encarregado, definindo-o como a pessoa indicada para atuar como canal de comunicação entre o controlador, os titulares dos dados e a ANPD. Nos termos do §3º do artigo 41 da LGPD, caberá à ANPD editar normas complementares sobre a definição e as atribuições do encarregado, conforme previsto no âmbito da Agenda Regulatória da ANPD para o biênio 2023-2024.
>>> Este conteúdo faz parte do Informativo de Proteção de Dados e Cybersecurity. Clique aqui para ler mais notícias. O artigo foi escrito por nossos profissionais Felipe Palhares, Fernanda Villela, Bárbara Iszlaji e Arthur Pichelli Ueda.
