Uma vez que já temos o caminho dos dados dentro da sua empresa, precisamos destacar 2 aspectos da LGPD que vão te ajudar a determinar até onde vai a sua responsabilidade frente a tantos pontos listados na empresa. Estou falando da diferença entre Controlador e Operador de dados.

## Como determinar as diferenças entre as partes?

Um exemplo simples seriam os papéis entre uma empresa e sua agência de marketing. Neste caso a empresa seria o controlador e a agência o operador dos dados, pois, suas funções são distintas na cadeia de serviços e responsabilidades.

### Sempre se coloque no lugar do Titular dos Dados.

Por exemplo, quando ele for até um e-commerce comprar algum produto, na ótica dele, a quem ele está confiando os seus dados pessoais para realizar aquela compra?

Tem como ele saber se a agência recebe o lead e depois cadastra na ferramenta de e-mail marketing? Não. Isso então, faz do e-commerce o _controlador_ e da agência a _operadora_ dos dados. Logicamente cada um tem o seu papel perante a lei, mas, todos são corresponsáveis, em suas funções, para com os cuidados devidos aos dados dos titulares.

Assim sendo, no seu [mapeamento de dados](https://goadopt.io/blog/mapeamento-ou-inventario-de-dados-lgpd/), que falávamos a algumas linhas atrás; qual o seu papel: controlador ou o operador dos dados? Ou até mesmo, dependendo do seu modelo de negócios, os dois dependendo da etapa?

É importante que você destaque isso pois, assim como as suas responsabilidades são diferenciadas de acordo com o papel que você executa, a maneira como você vai conduzir uma solicitação de exclusão e, ou download dos dados é diferente. Pois, pode ser que você tenha os dados em mãos e também tenha e a capacidade para entrega-los aos titulares.

Mas, também pode acontecer que você só possa apontar ao controlador esse poder, afinal, você é apenas um elo na corrente, e não tem acesso aos dados diretamente, mas, a alguma criptografia que te dê apenas a visualização anonimizada destes.

## Mais exemplos entre Controlador e Operador de Dados - LGPD

Outros exemplos comuns onde há papeis diferentes, mas, uma corresponsabilidade clara para com os dados e seu uso,são:

#### Empresa <> Contabilidade Terceira. Empresa Imobiliária <> Corretores Terceirizados. Fundo de Investimento <> Agentes Autônomos. E-commerce <> Empresas de Logística e serviços de entrega. Escritórios de Advocacia <> Dados de qualificação dos clientes e seus funcionários.

Enfim, acredito que esteja claro a importância de uma listagem precisa de todos os controladores e operadores de dados dentro do mapeamento da sua empresa. Com isso em mãos, é recomendável que você faça o link de todos os envolvidos no processo de acordo a sua política de privacidade e termos de uso.

Futuramente, podemos falar das obrigatoriedades prescritas na lei.

Mas, isso você também pode consultar diretamente com o seu advogado, ainda mais se você tiver alguma legislação que se sobreponha à LGPD.

Em nosso próximo artigo, adentramos as [responsabilidades do DPO ou Encarregado de Dados.](https://goadopt.io/blog/responsabilidades-de-um-encarregado-de-dados/) Te espero lá.

As diferenças entre Operador e Controlador dos Dados - LGPD

Você já parou para pensar que a sua agência de marketing pode encontrar na LGPD uma grande oportunidade de negócios? Pois é, diferentemente do que muitos pensam ela traz mudanças que podem acelerar na busca dos serviços dessas empresas.

Afinal, a [Lei Geral de Proteção de Dados](https://goadopt.io/blog/lgpd-lei-geral-de-protecao-de-dados/) - como não deveria ser novidade para ninguém - trouxe significativas mudanças para as atuações das empresas em relação aos dados de terceiros. Isso se aplica tanto aos dados tratados pela internet ou não.

E o marketing é uma das áreas que foi diretamente atingida pelas novas regras, pois sua atuação digital depende necessariamente de dados de terceiros, justamente o foco da LGPD.

Assim, que tal saber mais como aproveitar essa nova lei para fins de criação de oportunidades na área do marketing? 

Para isso, continue lendo e veja, abaixo, tudo sobre o assunto!

## A LGPD não significa o fim do marketing digital, muito pelo contrário

Da mesma forma que outras novidades, o [surgimento da LGPD](https://goadopt.io/blog/lgpd-lei-geral-de-protecao-de-dados/) também trouxe muitos rumores, criou lendas e gerou muita apreensão! Afinal, ela muda a forma como os dados até então eram tratados e traz novos deveres.

A [LGPD](https://goadopt.io/blog/significado-da-lgpd/) visa, especialmente, a transparência em relação ao uso de dados, bem como a utilização deles de acordo com o consentimento do titular e nos limites desta autorização.

Por isso, muitos acreditaram que com ela viria o fim da era de ouro do marketing digital. Afinal, ele necessita das informações dos usuários que, por sua vez, necessita do consentimento deles.

Tendo-se em vista que são diversos acessos e ações que ocorrem nas páginas, bem como diversas as impressões e alcances que um marketing visa ter, isso pareceria impossível.

Contudo, não é. 

É possível organizar o marketing digital de acordo com a Lei Geral de Proteção de Dados de forma que ele continue gerando leads e atraindo clientes e interessados. Abaixo, separei um artigo que vai te ajudar nessa jornada:

[### DICA: 10 processos de marketing que você deve repensar por conta da LGPD.](https://goadopt.io/blog/10-processos-arriscados-no-seu-marketing/)

## Mudanças significativas para o marketing surgiram com a LGPD

O marketing não morreu, mas isso não significa que ele não requeira atualizações nas ferramentas dele e na forma como ele ocorre.

Por exemplo, o consentimento dele sempre estará presente no recolhimento de quaisquer dados que o usuário conceda, direta ou indiretamente. Somente com ele é possível que a empresa use as informações para qualquer fim, inclusive para o marketing.

Certamente outras [bases legais da LGPD ](https://goadopt.io/blog/bases-legais-da-lgpd/)servem de base para a permissão e uso do dado. Mas, de qualquer maneira o consentimento acaba sendo parte de todas, uma vez que em algum momento do fluxo do dado o cidadão consentiu em ceder àquele produto/serviço.

Igualmente, o uso desses dados sempre deve estar claro, independentemente se o usuário conceder suas informações de forma voluntária (como em inscrições de formulários) ou se eles são colhidos automaticamente por meio de cookies e outras ferramentas.

Nesse sentido, é importante ter em mente que o marketing somente obtém sucesso quando tem em mãos dados para direcionar suas ações, dentre eles, agora, a confirmação que comprova que o dado foi coletado regularmente.
Logo, esses dados, então, somente podem ser captados e utilizados após o usuário ser notificado disso e conceder o seu consentimento, ou via outra base legal.

Para obter o consentimento inúmeras ferramentas se apresentam, como veremos na sequência.

[### Conheça mais sobre a adequação do marketing digital à Lei Geral de Proteção de Dados.](https://goadopt.io/blog/como-adequar-o-marketing-digital-a-lgpd/)

## Terceirizar o marketing se mostra uma opção interessante, desde que as agências saibam como lidar

Pois bem, você pode estar se perguntando: Ok, a LGPD trouxe mudanças em relação ao marketing. Mas onde as agências entram nisso?

Muitas empresas optam por fazer ações de marketing por si mesmas ou até mesmo terceirizam grande parte delas. De qualquer maneira, o serviço precisa ser feito e agora, plenamente adequado à LGPD. Isto é, sejam ações ações internas ou, terceiras, conduzidas por especialistas, todas devem se ajustar.

O que acarreta em uma série de novas ações, rotinas e processos diários que alguém terá que ser responsável. 

### Será que algumas das novas demandas criadas pela LGPD não podem fazer parte do portfólio de serviços da agência?

Já sabemos que ao simplesmente ignorá-los a empresa pode sofrer com as [multas e sanções pela LGPD ](https://goadopt.io/blog/multas-na-lgpd/)que, por sua vez, podem exigir altas quantias em dinheiro e até levar à suspensão do site ou da base de dados.

Além disso, existe outra questão muito importante para as agências de marketing em relação ao LGPD. Afinal, uma vez que a partir dela os dados captados são apenas os consentidos, ali está um rico terreno para campanhas.

Em outras palavras, a lei obriga que a captação de dados se dê com a autorização do usuário, que os concede de forma voluntária. 

Isso, então, significa que o marketing tem em mãos dados que realmente o direcionam para quem já possui interesse nos serviços ou produtos da empresa, bem como estão engajados!

Portanto, a LGPD é uma oportunidade para as agências de marketing na medida em que elas podem se apresentar como especialistas na adaptação das estratégias de divulgação de produtos e captação de clientes, e agora, de maneira adequada à lei!

## Desenvolva uma política de marketing baseada na LGPD
As agências possuem uma série de formas de adaptarem as estratégias de marketing. Por exemplo, veja algumas das ferramentas que devem ser revistas:

- E-mail de marketing;
- Anúncios patrocinados;
- Formulários;
- Landing pages e outros.

Note que todas essas ferramentas captam dados do usuário, seja pelo uso de cookies ou pelo requerimento de dados de contato (entre outros) para o acesso a informações, promoções e produtos.

Portanto, todas elas devem acompanhar o desenvolvimento de uma política que deixe claro ao usuário que esses dados serão utilizados, bem como os limites do uso dos dados.

Uma boa [ferramenta para a LGPD](http://goadopt.io/) é o [banner de cookies](https://goadopt.io/blog/banner-de-cookies/) que pede um "check" antes do envio e concessão dos dados, entre outras coisas.

### [Saiba mais sobre o funcionamento de um aviso de cookies!](https://goadopt.io/blog/funcionamento-aviso-de-cookies/)

## Outras adaptações para a LGPD além do marketing digital

Ainda, é importante que também se pense no próprio site, para onde páginas de publicidade podem fazer o tráfego de usuários.

Neste caso, então, é interessante que o site seja instrumentalizado com uma ferramenta que apresente, em um só lugar, todas as políticas da empresa em relação ao uso de dados.

Isto é, os Termos de Uso, a Política de Privacidade e também a Política de Cookies. Neste caso, todas elas trazem informações sobre uso de dados e informações relativas a eles.

[Conheça tudo sobre a Política de Privacidade, como ela funciona e requisitos!](https://goadopt.io/blog/o-que-e-politica-de-privacidade/)

Para isso, conte com a AdOpt! Nossa ferramenta trabalha com a concessão de uma aba como um pop-up que abre no seu site todas as vezes que alguém o acessa.

Ali, então, é possível ter acesso às regras de uso do site, às políticas de uso de dados (em suas diversas formas), e à coleta do consentimento.

[Saiba mais sobre banner de Cookies, suas vantagens e como usá-lo.](https://goadopt.io/blog/banner-de-cookies/)

LGPD: Uma oportunidade para agências de marketing digital!

João Bruno Soares

A [LGPD - Lei Geral de Proteção de Dados](https://goadopt.io/blog/lgpd-lei-geral-de-protecao-de-dados/) trouxe consigo várias siglas e termos específicos. Muitos deles importados de outros países e legislações. Um deles é o ROPA (_Record Of Processing Activities_), adaptado no Brasil para Registros das Atividades de Tratamento. Um documento essencial para qualquer DPO, Encarregado de Dados.

Se você trabalha na área ou está em processo de adequação da sua empresa, esse artigo foi feito para te ajudar a entender melhor esse documento.
 
O ROPA (_Record Of Processing Activities_), nada mais é do que um documento que organiza as provas oficiais da empresa sobre:
- **Como é feita a coleta de dados**, seus processos e atividades; 
- **O que é feito com o dado**, se há algum tratamento ou compartilhamento;
- **Como o dado é excluído**, se for o caso.

Ou seja, as perguntas e respostas essenciais em caso de consulta da ANPD - Autoridade Nacional de Proteção de Dados, à sua empresa. Abaixo falaremos melhor de cada um destes pontos.

Vale destacar que todos os documentos e processos mapeados pelo Encarregado de Dados da empresa são "vivos", em constante atualização e mudança. Um processo novo criado no departamento X pode alterar o ROPA, a [Política de Privacidade](https://goadopt.io/blog/existe-politica-de-privacidade-ideal/) e tantos outros controles.

Assim, independente do tamanho da sua empresa, os documentos devem sempre refletir a realidade e serem constantemente atualizados.

Pode ser que empresas menores não sintam tanto a necessidade ou complexidade de manter esse "Mapeamento dos fluxos" atualizados, afinal tudo é menor e com menos pessoas envolvidas. Agora, para uma empresa maior, já existem softwares que ajudam nesse controle de maneira mais automatizada, como a [LGPDNOW](http://lgpdnow.com.br/), por exemplo.

## O que é o ROPA?
 
ROPA (_Record Of Processing Activities_), traduzido pelo mercado brasileiro para Registros das Atividades de Tratamento, é um documento oficial das empresas, gerado por um sistema ou não, que registra todos os fluxos, processamentos e atividades envolvendo dados pessoais. 

Nele, lista-se principalmente todas as finalidades e razões pela qual a empresa precisa daquele(s) dado para sua operação, embasamento jurídico ([Base Legal](https://goadopt.io/blog/bases-legais-da-lgpd/)), critérios de segurança, período de armazenamento/retenção do dado.

## ROPA é a mesma coisa que Data Mapping?
 
A resposta fácil é: _depende_.

O [Data Mapping ou Inventário de Dados ](https://goadopt.io/blog/mapeamento-ou-inventario-de-dados-lgpd/)funciona como um mapa visual do fluxo de dados pessoais dentro do Agente de Tratamento, trazendo muito mais do que o ROPA, como mapas de sistema e transferências internacionais, parâmetros de adequação à ISO, NIST entre outros.

Já o ROPA foca nas atividades onde haja tratamento de dados. Ou seja, em uma empresa mais estruturada, pode acontecer de um Data Mapping conter alguns ROPAs como parte dele.

De qualquer maneira, o registro das atividades é parte essencial de ambos os documentos. A ótica e metodologia aplicada em cada um pode ser o seu diferencial.

## Como deve ser um ROPA?

De acordo com a [ICO (Information Commissioner’s Office) um ROPA deve ter no mínimo:](https://ico.org.uk/for-organisations/accountability-framework/records-of-processing-and-lawful-basis/#requirements)

- Nome e dados de contato de sua organização, seja ela um controlador ou um operador (e onde aplicável, o controlador conjunto, seu representante e o DPO);
- Os objetivos do processamento;
- Uma descrição das categorias de indivíduos e dos dados pessoais;
- As categorias de destinatários dos dados pessoais;
- Os detalhes das transferências para países terceiros, incluindo um registro das salvaguardas do mecanismo de transferência em vigor;
- Os horários de retenção / armazenamento;
- Uma descrição das medidas de segurança técnica e organizacional em vigor.
- Se você tem um registro interno de todas as atividades de processamento realizadas por qualquer processador em nome de sua organização.

**### Perguntas que o ROPA deverá responder:**

- Você já considerou a eficácia de suas medidas de responsabilização?
- O pessoal diria que você tem processos eficazes para manter o registro atualizado, preciso e garantir que os dados sejam minimizados?
- O pessoal poderia explicar suas responsabilidades e como as executam na prática?


## Boas práticas para um bom ROPA.

Ainda, de acordo com a [ICO (Information Commissioner’s Office)](https://ico.org.uk/for-organisations/accountability-framework/records-of-processing-and-lawful-basis/#requirements) O ROPA também inclui, ou faz links para, a documentação que cobre:

- Informações necessárias para os avisos de privacidade, tais como a base legal para o processamento e a fonte dos dados pessoais;
- Registros de consentimento;
- Contratos do controlador-processador;
- A localização dos dados pessoais;
- Relatórios da DPIA;
- Registros de violações de dados pessoais;
- Informações necessárias para o processamento de dados de categoria especial ou dados de condenações penais e infrações nos termos da Lei de Proteção de Dados de 2018 (DPA 2018); e
- Documentos de política de retenção e exclusão.

### **Questionamento para a criação do seu ROPA:**

- Você já considerou a eficácia de suas medidas de responsabilização?
- O pessoal entende como acessar outros documentos relevantes vinculados ao ROPA?
- É fácil para o pessoal acessar a documentação relevante da ROPA?
- O pessoal poderia explicar este processo e como ele impacta a sua função?


## Como fazer um ROPA para LGPD?
Um bom exemplo para quem está começando, ou tem uma empresa menor é utilizar planilhas para esse controle e organização.

Além disso, no site do [gov.br existem diversos guias e templates para te ajudar na adequação à LGPD.](https://www.gov.br/governodigital/pt-br/seguranca-e-protecao-de-dados/guias-operacionais-para-adequacao-a-lei-geral-de-protecao-de-dados-pessoais-lgpd)

Para empresas maiores que precisam estruturar melhor esses processos uma plataforma de gerenciamento da privacidade e mapeamento de dados pode ajudar muito! 

Por isso indicamos que você marque com o pessoal da [LGPDNOW](http://lgpdnow.com.br/) para uma conversa, sem compromisso, e ver como eles podem te ajudar no desenvolvimento do seu ROPA para LGPD.

Pois, templates e modelos importados de outras empresas ajuda muito. Mas, é essencial que você consiga traduzir exatamente a realidade da sua empresa com clareza e objetividade.

Todas as vezes que nos deparamos com a complexidade de justificar e embasar um a coleta de um dado, re-pensarmos a sua real necessidade. Afinal, devemos sempre prezar pela privacidade ao longo de todos os processos, como nos ensina o [Privacy by Design](https://goadopt.io/blog/o-que-e-privacy-by-design/)

## Como a AdOpt pode te ajudar no ROPA?
 
Conforme as recomendações da ICO listadas acima a Plataforma para LGPD da AdOpt te ajuda a mapear e organizar:

- [Banner de Cookies](https://goadopt.io/blog/banner-de-cookies/) dentro dos padrões da ICO, LGPD, GDPR, CCPA.
- Registros de todos os consentimentos por escrito; (organizado por usuário com data, hora e detalhes de cada consentimento.)
- API de Integração com suas demais plataformas para enriquecer os dados coletados com as informações de consentimento registradas.
- Entre outros, a depender do tamanho da sua empresa.

Estamos aqui para te ajudar!

Então, neste [link](https://calendly.com/valquiriaadopt) a nossa agenda aberta para discutirmos os seus desafios de adequação do seu negócio.

ROPA na LGPD? Conheça os Registros das Atividades de Tratamento

O [encarregado de dados, ou DPO](https://goadopt.io/blog/lgpd-lei-geral-de-protecao-de-dados/) (_Data Protection Officer_ em inglês) é um cargo novo que surgiu, no Brasil, junto à [Lei Geral de Proteção de Dados](https://goadopt.io/blog/lgpd-lei-geral-de-protecao-de-dados/). Embora já existisse em outras legislações internacionais, como na [GDPR](https://goadopt.io/blog/gdpr-lgpd-e-ccpa-o-que-sao-essas-leis-semelhancas-e-diferencas/) da União Europeia, aqui ele ainda é uma novidade que se impõe desde 2020. Com ele também surge a possibilidade de terceirização, o DPOaaS (DPO as a Service).

Por ser uma figura nova e pela importância que seu papel resguarda, muitas empresas e organizações estão optando pela terceirização dessa atividade. Mas será que isso realmente é uma boa? Quais são os riscos e vantagens em fazê-lo?

Confira as respostas para essas perguntas e conheça melhor o encarregado de dados e suas atribuições conforme determinações presentes na LGPD.

## O que é o DPO?

O DPO é uma pessoa física ou jurídica que é estabelecida dentro das Políticas de Proteção de Dados como um dos agentes que atua junto ao tratamento e uso de informações de titulares. Dessa forma, sua atuação é de extrema importância.

Ele pode ser uma pessoa física ou jurídica. Contudo, não pode corresponder a um departamento ou equipe da empresa. Afinal, é preciso que os documentos referentes à captação e tratamento de dados indiquem de forma específica quem se responsabiliza enquanto encarregado.

**### Saiba mais sobre as funções de controlador e operador de dados da LGPD**

As funções do DPO se revelam na intermediação da relação entre os titulares de dados, o agente de tratamento e, também, a Autoridade Nacional de Proteção de Dados (ANPD). 

Ele não necessariamente toma decisões em relação aos dados e ao uso deles. Mas, auxilia no seguimento e cumprimento  das diretrizes que são impostas pelo agente de dados e pela Lei Geral de Proteção de Dados. E, aqui, surge outra das atribuições do DPO.

Afinal, ele também tem a responsabilidade de orientar os colaboradores que têm acesso aos dados de terceiros e que os utilizam como devem agir para respeitar as diretrizes da LGPD, bem como os consentimentos que foram concedidos.

_### Seu papel é de educar, organizar e auditar de acordo com as normativas da ANPD._

Dentre as principais atividades que um DPO encontra - sendo ele terceirizado ou não - estão:

- Aceitar reclamações dos titulares de dados, prestar esclarecimentos e adotar as providências necessárias;
- Receber comunicações da ANPD e tomar providências;
- Receber as revogações de consentimento ou as alterações no consentimento e dar as devidas providências;
- Garantir a aplicação dos princípios da LGPD referentes ao tratamento de dados pessoais;
- Monitorar a conformidade das organizações em relação à Lei Geral de Proteção de Dados, etc.

Assim, tem-se que o DPO realiza um serviço de meio de campo, pois ele intermedia relações e, ainda, é um dos agentes que se responsabiliza pelo respeito e adequação das ações à LGPD.

## Quando é possível terceirizar o DPO?

Sempre que a empresa ou organização desejar ela pode terceirizar esses serviços. A lei não exige que o encarregado seja um funcionário interno. Aliás, ela sequer exige que seja uma pessoa física que assuma esse papel.

Portanto, qualquer profissional autônomo ou empresa que preste serviços nessa área pode prestar serviços para outras empresas. Assim, estipula-se um contrato de prestação ou terceirização de serviços.

No caso da contratação de uma pessoa externa como DPO _as a service_, (_DPOaaS_) toma-se um contrato de prestação de serviços diretamente com o profissional.

Por outro lado, quando há contratação de uma empresa, há uma terceirização de DPO. Quem fica determinado como encarregado, dentro das Políticas de Privacidade, é a pessoa jurídica, então.

Ela concede, desse modo, profissionais que irão realizar os serviços típicos de um DPO. Contudo, eles prestam esse serviço a uma empresa em razão da contratação do seu empregador.

## Vantagens do DPO as a service

Para saber se vale a pena apostar na terceirização do DPO LGPD é necessário saber quais são as vantagens que isso oferta. Confira as principais delas abaixo.

Primeiramente, é indispensável para a adequação das empresas, organizações e sites à [LGPD](https://goadopt.io/blog/ignorar-a-lgpd/) que eles tenham a determinação clara de quem é o DPO. Atualmente todas as empresas devem ter um, embora existam indícios de limitação da obrigação no futuro.

### Abaixo algumas vantagens para o DPOaaS

### Agilidade
Nesse sentido, note que nem sempre é fácil contratar alguém que tenha os conhecimentos necessários para essa função ou treiná-lo para que cumpra as atividades do DPO. Por isso, a adequação pode ser mais rápida e fácil pela terceirização de tais serviços.

### Velocidade
Uma vez que se encontre um profissional já qualificado, ou até mesmo uma empresa que concentre o conhecimento multidisciplinar para a função, ganha-se muita velocidade no processo de adequação, já que cada empresa e mercado tem a sua especificidade.

### Treinamento e capacitação
Toda nova área e lei pede muito estudo e está sujeita a diversas mudanças no curto prazo. Logo, terceirizar essa função também designa a terceirização da responsabilidade de estar sempre atualizado e investindo na formação dos profissionais.

### Autonomia
Funções de guarda e auditoria acabam criando certos atritos com as áreas e até mesmo gestores. É essencial que o DPO tenha autonomia no seu trabalho, e até mesmo estabilidade, algo prescrito pela lei. Afinal, ele não pode ser ameaçado de perder o emprego por fiscalizar processos dentro da empresa. Assim, terceirizar essa responsabilidade por tornar as coisas um pouco mais leve no clima organizacional.

### Flexibilidade
Assim como todo prestador de serviço trabalha com um contrato, a sua substituição é muito mais fácil do que no caso de um funcionário CLT. Logo, o DPOaaS como PJ dará muito mais flexibilidade em caso de necessidade de ajustes ou substituições ao longo do tempo.

### Menor Custo
Encargos trabalhistas e previdenciários são muito pesados no Brasil, logo a contratação de um PJ para essa função pode servir de acordo reduzindo custos para a empresa e aumentando a remuneração do prestador de serviços.

**ATENÇÃO**: Vale destacar que todo prestador de serviço, por mais responsável que seja, pela função desempenhada, ainda está embaixo da hierarquia do empregador. Logo, decisões de última instância podem ser levadas à responsabilidade última dos administradores da empresa, mesmo tendo o DPOaaS. Logo, tome cuidado para não se apoiar na terceirização como uma isenção de responsabilidades.

O mesmo acontece quando a empresa não indica um DPO,os administradores assumem automaticamente. Falaremos mais a seguir.

## Se ninguém for nomeado DPO, o que acontece?

Independente da nomeação, os sócios administradores da empresa também já acumulam essa responsabilidade, a não ser que outra pessoa seja de fato designada. 

Contudo, em última instância a responsabilidade sempre cairá sob os sócios administradores. Quando nomeado então, o profissional age em nome da empresa e dos seus representantes diante da autoridade nacional.

**### Sabe qual a diferença entre o Mapeamento de Dados e o [ROPA na LGPD](https://goadopt.io/blog/ropa-lgpd/)?**

## Contrate especialistas no assunto

Outro ponto interessante na terceirização do DPO é que desse modo você pode contar com um especialista no assunto. Como dito acima, veja que não é a sua empresa quem se responsabiliza pela capacitação, mas sim a empresa ou profissional contratado.

Com isso é possível garantir ainda mais segurança às operações para que elas se adequem a LGPD e estejam em mãos de experts.

Melhor ainda quando o profissional faz parte de uma rede ou grupo multidisciplinar que pode auxiliá-lo nas peculiaridades do seu negócio e mercado.

## Quais são as funções do DPO quando há terceirização?

As funções, nesse caso, são as mesmas que um encarregado interno teria. Afinal, a terceirização somente se refere à possibilidade de que as atividades sejam realizadas por um agente externo à empresa.

Como vimos acima, então, esse agente pode ser uma pessoa jurídica ou natural. Seja como for, deverá ocorrer a indicação de quem ele é, de forma específica, dentro da [Política de Privacidade](https://goadopt.io/blog/existe-politica-de-privacidade-ideal/) e demais documentos referentes ao consentimento, uso e tratamento de dados.

Aliás, qualquer alteração referente a quem é o responsável enquanto encarregado de dados LGPD deve refletir em uma alteração das políticas. Em caso contrário, haverá transgressão à Lei Geral de Proteção de Dados e criação de risco de sanções como [multas e até suspensão das bases de dados.](https://goadopt.io/blog/multas-na-lgpd/)

Quer saber mais sobre as [responsabilidades do Encarregado de Dados](https://goadopt.io/blog/responsabilidades-de-um-encarregado-de-dados/), separei esse artigo para você!




Terceirizar o DPO (DPOaaS), ou encarregado de dados da empresa é uma boa?

Como lidar com uma profissão que sequer existia até alguns anos atrás e cuja presença se faz obrigatória, hoje, nas empresas? Essa é justamente a pergunta que se apresenta quando pensamos na figura do [Encarregado de Dados ou DPO](https://goadopt.io/blog/responsabilidades-de-um-encarregado-de-dados/).

Esse termo, bem como o profissional por trás dele, surgiu com a promulgação das leis de privacidade, no Brasil a [Lei Geral de Proteção de Dados - LGPD.](https://goadopt.io/blog/lgpd-lei-geral-de-protecao-de-dados/) Esta, ocorreu em 2018, e entrou em vigor apenas em 2020. Segundo a lei, então ele é o encarregado por garantir o correto tratamento dos dados que a empresa eventualmente use e que pertençam a terceiros.

E essa responsabilidade que a lei atribui sobre a figura profissional do encarregado pode dar a entender que ele é o único e exclusivo responsável pelos cuidados que se aplicam a tais dados. E aí? É isso ou não? O trabalho do Encarregado de Dados é solitário ou deve ser em equipe? Confira tudo isso na sequência.

## Encarregado de Dados e suas responsabilidades

Sabe aquelas listas em que vemos as “profissões do futuro”? Pois saiba que se por futuro considerássemos 2021, a figura do Encarregado de Dados estaria nessa lista, pois em termos profissionais ela é o que há de mais novo e moderno no mercado.

Afinal, esse cargo sequer existia antes da LGPD, ou da GDPR. A lei criou uma nova profissão. Isso ocorreu a partir do momento em que a Lei Geral de Proteção de Dados estipulou expressamente a existência dessa figura. Ao mesmo tempo, trouxe todas as suas responsabilidades.

O Encarregado de Dados ou DPO (_Data Protection Officer_) é justamente uma figura que deve controlar e gerenciar o tratamento de dados - ou seja, o uso deles - no dia a dia da empresa. Assim, é ele quem se responsabiliza por garantir que todos os processos, fluxos e ações respeitem os limites amparados pela Base Legal que sustenta o uso daquela dado pela empresa. Assim, em caso de uma consulta da ANPD à empresa, ele é quem deve responder em nome da instituição.

### Saiba mais sobre as Bases Legais da LGPD.

Dentre as responsabilidades do DPO que estão claras na LGPD estão:

- Executar atribuições determinadas pelo Controlador de Dados e nos limites dessa determinação (e, claro, da lei);
- Lidar com as reclamações dos titulares dos dados pessoais;
- Prestar esclarecimentos sobre o uso dos dados aos titulares deles;
- Comunicar-se com os titulares de dados sempre que necessário;
- Tomar as providências para que haja o devido reflexo no uso e captação de dados diante de eventual alteração de consentimento do titular;
- Orientar os demais profissionais que lidem com esses dados e os tratem quanto aos cuidados com a segurança e aos limites de consentimento e aplicação dessas informações.
- 
Aliás, note que por responder às diretrizes do [Controlador de Dados](https://goadopt.io/blog/diferencas-operador-controlador-de-dados-lgpd/), o DPO não se confunde com essa figura. Enquanto o controlador se refere a quem define o modo de tratamento das informações desde a sua entrada até a eliminação delas, o Operador de Dados é quem executa o processo e garante que isso será seguido à risca. Ambos, Controlador e Operador, quando distintos, devem ter os seus DPOs responáveis.

### [Conheça mais sobre as responsabilidades do Encarregado de Dados e como o trabalho dele impacta as empresas frente à Lei Geral de Proteção de Dados ](https://goadopt.io/blog/responsabilidades-de-um-encarregado-de-dados/)

## Todos os clichês de trabalho em equipe se tornam realidade nos cuidados ao tratamento de dados conforme LGPD.

São várias as atribuições que um DPO possui dentro de uma empresa, como vimos acima. E isso não se dá por acaso, afinal os tratamentos de dados impõem limites específicos e requerem atenção e cuidados essenciais.

Nesse sentido, fica claro que o Encarregado de Dados acumula uma série de atividades. Mas, por mais que ele seja capacitado para as suas responsabilidades e esteja em dia com as atividades da empresa que envolvam o tratamento de dados, isso não é suficiente.

_O trabalho isolado do DPO é algo que é impossível de ocorrer. _

Ou melhor, não encontra possibilidades de se desenvolver com a qualidade necessária e com a manutenção da segurança contra vazamentos de dados ou uso deles de forma indevida.

É por isso que quando falamos no trabalho do Encarregado de Dados não podemos entender que suas atividades se dão de forma isolada ou individual. A importância e o número das atribuições fazem com que seu trabalho se dê em equipe.

Para que não haja confusão, entenda: o DPO realmente tem responsabilidade sobre as questões que envolvem o uso de dados. Assim, em caso de acidentes ou problemas que envolvam essas informações, ele estará diretamente envolvido.

Por outro lado, isso não significa, então, que ele deva trabalhar sozinho. Muito pelo contrário! Garantir que os demais colaboradores e equipes se envolvam no cuidado que os tratamentos de dados exigem em razão da LGPD é crucial.

O trabalho do Encarregado de Dados é multidisciplinar. Jurídico, Tecnologia, [Marketing](https://goadopt.io/blog/10-processos-arriscados-no-seu-marketing/), Segurança da Informação, Gestão de Processos, Relações 
Institucionais,etc. Como é muito difícil que uma pessoa domine todas essas áreas, o auxílio de uma equipe/time de suporte é essencial!

Somente assim se torna possível desenvolver um trabalho em sintonia, que ocorra conjuntamente de forma a garantir o uso correto dos dados. Dessa forma, nada de isolar o seu DPO! O trabalho dele deve acontecer perto dos demais colaboradores e com a assistência destes.

## Formação de um comitê de segurança

Uma forma de dar ao Encarregado de Dados o apoio do qual ele precisa para desenvolver suas atividades com sucesso é criar um comitê de segurança de dados. Ele, então, deve ser formado por diversos profissionais que representam as equipes da empresa.

Ainda, que representem os principais interesses que entram em jogo quando estamos diante do vazamento ou mau uso de dados. Por isso, deve ter representantes de Recursos Humanos, do setor Jurídico e de Tecnologia da Informação, no mínimo.

Da mesma forma, podem contar, fixamente ou em situações específicas, com representante do time de marketing, bem como dos departamentos de Comunicação, Comercial, Financeiro…

Com isso o DPO encontra possibilidades de, conjuntamente, traçar estratégias, de forma que os representantes de cada um desses departamentos ajudem na implementação delas, bem como no mapeamento dos principais problemas que o tratamento de dados encontra nos mais diversos processos empresariais.

Cada representante age como um braço direto do DPO no seu(s) departamento(s), assim, é importante que haja um bom conhecimento dos processos e autonomia na investigação dos fluxos e detalhes.

## Conhecimento sobre os processos da empresa que se baseiam em tratamento de dados

Como vimos, o DPO se encarrega por garantir que o uso de dados ocorra de acordo com a [base legal ](https://goadopt.io/blog/bases-legais-da-lgpd/)que ampara o uso de dados dos usuários e com os limites da LGPD. E, também, em fiel seguimento às determinações do Controlador de Dados.

São inúmeros os tipos de atividades que ocorrem simultaneamente, dentro de uma empresa, que envolvem o tratamento de dados. Considere, nesse sentido, uma venda online. Nesse caso, são colhidos dados de endereço, CPF, telefone e nome completo, que deverão ser usados para:

- Cobrança;
- Geração de nota fiscal;
- Comunicação da conclusão da venda com o próprio cliente;
- Logística de separação e encaminhamento do produto;
- Oferecimento de rastreamento;
- Contato para pós-venda.
- …

E essas são apenas algumas das atividades que requerem dados em um processo de venda. Portanto, é necessário que o Encarregado de Dados conheça esses processos, como eles se dão, os dados que usam, como são armazenados, descatados e outras informações do tipo.

Somente dessa maneira se torna possível saber onde a empresa está acertando e errando no tratamento de dados, bem como traçar estratégias de segurança e garantir que o tratamento de dados se dê dentro dos seus limites e normas.

## Estipular limites e regras para o uso dos dados pelas equipes

Ideias e possibilidades não faltam. 
Mas, para tentar encerrar esse tópico, uma última dica.

Quando o DPO está em contato com as equipes ele também se torna capaz de orientá-las para que, no seu dia a dia, o tratamento de dados ocorra da maneira correta. Isso pode ser feito de diversas formas, como pelo desenvolvimento de um manual, treinamentos, etc.

É crucial que todos que de alguma forma trabalham com o tratamento de dados tenham acesso a tais normas e que saibam exatamente qual é o limite do uso das informações. 

Com isso, o trabalho em equipe do Encarregado de Dados não apenas se torna possível, mas, igualmente, traz melhorias efetivas na empresa e a deixa segura frente às diretrizes da LGPD.

Já ouviu falar do [ROPA na LGPD](https://goadopt.io/blog/ropa-lgpd/), sabe o que é esse documento?

Aqui falamos um pouco mais dele, para te ajudar nos [processos de adequação](https://goadopt.io/blog/10-processos-arriscados-no-seu-marketing/).



Encarregado de Dados e LGPD, um trabalho solitário ou em equipe?

Como o seu site lida com a LGPD? Quais são as estratégias que ele usa para cumprir a [Lei Geral de Proteção de Dados](https://goadopt.io/blog/lgpd-lei-geral-de-protecao-de-dados/)? Já pensou em usar um [aviso de cookies](https://goadopt.io/blog/por-que-do-aviso-de-cookies/) mas não sabe se seu site tem [cookies](https://goadopt.io/blog/cookies-e-lgpd/) ou se é o suficiente? Caso você não saiba responder a essas questões, cuidado! Sua página pode estar exposta a multas e outras sanções.

Abaixo, confira 5 indícios que demonstram que suas estratégias ou não existem, ou não estão funcionando conforme deveria. Por isso, continue lendo e confira para garantir a adequação necessária do seu site aos preceitos da lei que normatiza o consentimento do uso de dados.

## 5 sinais de que você precisa de uma estratégia de consentimento LGPD para ontem

Confira os 5 principais sinais de que o seu site não está de acordo com a LGPD e, depois, veja como começar sua adequação!

## 1 - Você não tem controle sobre os dados que capta e que usa
Esse é um sinal inquestionável sobre a necessidade de rever a forma como você enxerga a LGPD. Afinal, ela dispõe quanto ao uso de dados de terceiros.

Ela exige que haja o respeito à privacidade do usuário, bem como à vontade dele. Portanto, o uso de dados sempre deve ser informado. Não só isso, mas também os fins aos quais se direcionam, à forma de arquivamento e ao prazo de uso.

Assim, considere que se você não sabe quais são os dados que capta, como vai informar ao visitante? Ainda, como vai garantir que o uso dessas informações se dá dentro dos limites impostos pelo titular?

Essas são questões importantes que indicam que algo não está correto no seu site em relação à LGPD e às imposições dela.

LPs criadas sem controle, conteúdos ricos disponíveis para download sem aceite dos termos e política, mailings sendo compartilhados e passando de campanha por campanha… Cuidado!

Separei esse artigo para você, caso esse seja o seu caso:

[Entenda o significado da LGPD para a sua empresa.](https://goadopt.io/blog/significado-da-lgpd/)

## 2 - Não há informação sobre o uso de cookies

Os cookies são outros tipos de dados que, a princípio, deveriam ser informados pelos sites aos seus visitantes. Afinal, eles também captam informações sobre esses titulares e, portanto, entram no conceito de uso de dados do qual a LGPD trata.

O uso de cookies é quase que natural pela maioria dos sites, principalmente se eles vêm de plataformas de ecommerce, por exemplo.

_### Para verificar se seu site dispara cookie,acesse-o pelo computador e - no Google Chrome, clique no cadeado logo à esquerda do endereço. Ele deve mostrar exatamente quais e quantos são._

Contudo, muitas páginas deixam de encarar os cookies como eles realmente são: arquivos de dados e informações pessoais. Por isso, a inexistência dessa comunicação ao visitante do seu site, é perigosa por poder ser uma infração à Lei. 

Aliás, não só ela, mas a captação deles sem que, para isso, haja a autorização prévia dos cookies. Sabe aquele pop-up “Nós usamos Cookies”? Pois saiba que ele não está ali à toa. 

Ele é uma forma de cumprimento da LGPD na medida em que informa o uso desse tipo de arquivo ao mesmo tempo em que capta a autorização para utilizá-los.

- Neste artigo te ajudo a entender mais sobre o [consentimento como uma Base Legal da LGPD.](https://goadopt.io/blog/bases-legais-da-lgpd/)
- Neste, [como escolher uma CMP - Plataforma de Gestão de Consentimentos adequada para o seu site.](https://goadopt.io/blog/como-escolher-cmp-plataforma-gestao-consentimentos/)

## 3 - Política de Privacidade e Termos de Uso genéricos

Seu site provavelmente tenha documentos tais como Política de Privacidade e Termos de Uso. Eles informam, respectivamente, o uso de dados dos visitantes (e captam autorização para isso) e as normas ali vigentes, direitos e deveres.

Portanto, eles são muito importantes, especialmente em tempos de LGPD! Eles são elementos que se destacam pelo teor informativo de modo a promover a transparência com o titular de dados.

Cabe a este, então, aceitar ou não as condições ali vigentes. Nesse sentido, cabe ressaltar que o site pode suspender o acesso a alguns serviços, por exemplo, por falta de aceite das normas e condições. E isso é natural, na medida que alguns deles somente são possíveis diante da autorização para uso de certos dados.

Seja como for, esses são documentos importantes. Mas eles não devem apenas estar ali. Eles devem ser específicos em relação ao que o site oferece e ao funcionamento dele. Por isso, se você fez seus termos e políticas com base no Ctrl C + Ctrl V, atenção!

Está na hora de rever esses documentos, bem como redigi-los novamente para que eles sejam compatíveis com a realidade do site. Também, para que preencham lacunas e esclareçam o uso de dados. Abaixo, separei mais alguns artigos para você:

- [O que é uma política de privacidade?](https://goadopt.io/blog/o-que-e-politica-de-privacidade/)
- [Qual a Política de Privacidade ideal para a sua empresa?](https://goadopt.io/blog/existe-politica-de-privacidade-ideal/)
[- O que são termos de uso na LGPD?](https://goadopt.io/blog/termos-de-uso-lgpd/)


## 4 - Perda de dados ou Vazamento de Dados

Falou em perda de dados? Então é hora de ligar um alerta. O vazamento de dados é um grande indício de que sua estratégia LGPD precisa de uma correção urgente. De qualquer forma, ela deve ser revista.

Afinal, ela deve se desenvolver com vistas a manter o sigilo dos dados e o uso deles de acordo com o consentimento do titular, ou a [base legal ](https://goadopt.io/blog/bases-legais-da-lgpd/)que tenha sido elegida. Também, para garantir a proteção dessas informações.

Os vazamentos são comprometedores! Eles podem acabar com a imagem da empresa e muitas vezes dos seus clientes e fornecedores. Além disso, esta pode ser responsabilizada por eles e, com isso, arcar com grandes sanções, inclusive com multas milionárias.

[**Entenda aqui a diferença entre Controlador e Operador de Dados na LGPD**](https://goadopt.io/blog/diferencas-operador-controlador-de-dados-lgpd/)

E não é apenas a perda de dados em si. A ausência de um planejamento claro para ações diante do vazamento de informações também é um indício que você precisa urgentemente trabalhar suas estratégias LGPD. Abaixo mais alguns artigos para te ajudar nesta revisão:

- [Mapeamento ou Inventário de Dados na LGPD, o colete salva-vidas do DPO.](https://goadopt.io/blog/mapeamento-ou-inventario-de-dados-lgpd/)
- [Como adequar o seu marketing à LGPD](https://goadopt.io/blog/como-adequar-o-marketing-digital-a-lgpd/)
- [10 processos arriscados no seu marketing](https://goadopt.io/blog/10-processos-arriscados-no-seu-marketing/)

## 5 - Ausência de estipulação de um Encarregado de Dados

Por fim, o último indício de que o seu site precisa de uma estratégia de LGPD é a ausência da determinação de um Encarregado de Dados ou DPO (Data Protection Officer) para o tratamento de dados do seu site.

Essa figura é uma exigência da LGPD e, conforme a lei, é responsável por controlar e gerenciar o tratamento de dados. Ele executa atribuições determinadas pelo Controlador de Dados.

Também, é ele quem lida com as reclamações dos titulares dos dados pessoais, presta esclarecimentos e se comunica com eles. Da mesma forma, controla a entrada e a saída de consentimentos, de forma que toma as atitudes necessárias para que eles respeitem as autorizações. Neste artigo explico mais sobre [as responsabilidades do Encarregado de Dados ou DPO na LGPD.](https://goadopt.io/blog/responsabilidades-de-um-encarregado-de-dados/)

## E aí, que tal adequar seu site à LGPD?

Caso você tenha reconhecido que seu site se enquadra em qualquer um dos indícios acima é sinal de que você deve tomar uma atitude para adequá-lo à lei. Em caso contrário, pode sofrer [multas](https://goadopt.io/blog/multas-na-lgpd/) e outras penalidades que podem até mesmo levar à suspensão das atividades da página.

Isso sem falar nos reflexos que a imagem da sua marca passa a ter diante do público, como alguém que poderia se importar mais com a privacidade de dados.

Por isso, é mais do que hora de rever suas estratégias de privacidade diante da LGPD. Para isso, conte com a [AdOpt](https://goadopt.io/), que ajuda você não apenas a organizá-las, mas a controlar a entrada e uso de dados, bem como os consentimentos sobre eles.


As diferenças entre Operador e Controlador dos Dados - LGPD

LGPD: Uma oportunidade para agências de marketing digital!

ROPA na LGPD? Conheça os Registros das Atividades de Tratamento

Terceirizar o DPO (DPOaaS), ou encarregado de dados da empresa é uma boa?

Encarregado de Dados e LGPD, um trabalho solitário ou em equipe?

5 indícios que o seu site precisa de uma estratégia de consentimentos para LGPD