Encarregado de dados (DPO): quem pode ser e o que faz

O encarregado, também chamado de DPO, é a pessoa ou empresa que a organização indica para ser o canal de comunicação com os titulares de dados e com a ANPD (LGPD, art. 5º, VIII). Pode ser um empregado, um profissional externo ou uma pessoa jurídica, sem exigência de certificação específica. A indicação é obrigatória para o controlador, mas agentes de pequeno porte podem ser dispensados, desde que mantenham um canal de contato com o titular, não façam tratamento de alto risco e não ultrapassem os limites de receita do regulamento.

Onde está o risco

O erro mais comum não é deixar de indicar alguém. É indicar no papel e não dar estrutura: um nome no site, sem tempo, sem acesso à direção e sem processo para responder pedidos. Quando chega uma reclamação de titular ou um ofício da ANPD, ninguém sabe quem responde nem em quanto tempo.

O outro risco é o conflito de interesse. O regulamento da ANPD permite acumular funções, mas não com atividades que envolvam decidir estrategicamente sobre o tratamento de dados (Resolução CD/ANPD 18/2024, art. 19, §1º, II). A verificação é feita caso a caso e pode levar a sanção para a empresa (art. 19, §2º).

O que a lei e a ANPD dizem

• Quem precisa indicar. O controlador deve indicar encarregado (LGPD, art. 41). Para o operador, a indicação é facultativa e conta como boa prática de governança (Resolução CD/ANPD 18/2024, art. 6º).
• Como indicar. Por ato formal: documento escrito, datado e assinado, com as formas de atuação e as atividades do encarregado, que deve ser apresentado à ANPD quando ela pedir (art. 3º).
• Quem pode ser. Pessoa natural do quadro da empresa ou externa, ou uma pessoa jurídica (art. 12). Precisa se comunicar com clareza em língua portuguesa (art. 13). Não há exigência de inscrição em entidade, certificação ou formação específica (art. 14).
• Qualificação. A empresa define as qualificações necessárias, considerando conhecimento da legislação e o contexto, o volume e o risco das operações (art. 7º).
• Substituto. Ausências, impedimentos e vacâncias devem ser cobertos por substituto formalmente designado (art. 4º).
• Divulgação. Identidade e contato ficam públicos, em local de destaque no site. Se for pessoa natural, o nome completo; se for empresa, o nome empresarial e o nome da pessoa natural responsável (art. 9º).
• O que faz. Recebe reclamações e comunicações dos titulares, recebe comunicações da ANPD, orienta empregados e contratados sobre proteção de dados e executa outras atribuições definidas pela empresa (LGPD, art. 41, §2º; Resolução 18/2024, art. 15).
• Onde também orienta. Registro de operações, comunicação de incidentes de segurança, relatório de impacto, contratos, transferência internacional, medidas de segurança e produtos com privacidade desde a concepção (art. 16).
• Quem responde. A responsabilidade pela conformidade é do agente de tratamento, não do encarregado (arts. 11 e 17).

Deveres da empresa com o encarregado

O regulamento não trata o encarregado como cargo decorativo. A empresa deve dar recursos humanos, técnicos e administrativos; pedir a orientação dele em decisões estratégicas sobre dados; preservar a autonomia técnica dele; oferecer aos titulares meios ágeis de contato; e assegurar acesso direto à alta direção e às demais áreas (Resolução CD/ANPD 18/2024, art. 10).

Passo a passo para indicar o encarregado

1. Verifique se a empresa pode ser dispensada. Microempresas, empresas de pequeno porte e startups, no conceito do regulamento, não são obrigadas a indicar (Resolução CD/ANPD 2/2022, art. 11), salvo se fizerem tratamento de alto risco ou ultrapassarem os limites de receita (art. 3º).
2. Mapeie o volume e o risco dos dados. Dados sensíveis, de crianças e adolescentes, decisões automatizadas e grande escala pedem um encarregado com mais dedicação e experiência.
3. Escolha o modelo. Interno, profissional externo ou empresa contratada. Veja a tabela abaixo.
4. Teste o conflito de interesse. Pergunte: essa pessoa decide finalidades, meios ou campanhas que usam dados? Se sim, prefira outra pessoa ou crie salvaguardas claras (art. 21).
5. Formalize a indicação. Ato escrito, datado e assinado, com atividades, forma de atuação, substituto e canal de contato.
6. Publique identidade e contato. No site, em local de destaque, e no aviso de privacidade.
7. Organize o fluxo. Defina como os pedidos chegam, quem dá apoio em cada área, prazos internos e registro das respostas. O roteiro de pedidos de titulares ajuda a montar esse fluxo.
8. Dê acesso e agenda. Reuniões periódicas com a direção e participação nas decisões sobre novos produtos, sistemas e fornecedores.

Tabela de decisão: qual modelo de encarregado

Modelos mistos também funcionam: um encarregado externo com um ponto focal interno que conhece a rotina.

Erros comuns

• Indicar sem ato formal. Sem documento escrito, datado e assinado, a empresa não tem como demonstrar a indicação quando a ANPD pedir.
• Nomear quem decide sobre os dados. Diretores de marketing, produto ou tecnologia que definem o uso dos dados tendem a gerar conflito de interesse. Avalie antes e registre a análise.
• Divulgar só um e-mail genérico. O regulamento pede a identidade do encarregado, não apenas um endereço de contato. Publique o nome, ou o nome empresarial e o responsável.
• Esquecer o substituto. Férias e desligamentos não podem travar respostas a titulares ou à ANPD.
• Achar que o encarregado responde no lugar da empresa. A responsabilidade pela conformidade continua sendo do controlador. O encarregado orienta; a empresa decide e responde.
• Usar a dispensa do pequeno porte sem conferir os requisitos. Tratamento de alto risco ou receita acima do limite afastam a flexibilização. E quem não indica encarregado ainda precisa de canal com o titular.

Checklist

Perguntas frequentes

Toda empresa é obrigada a ter DPO? O controlador deve indicar encarregado, mas a ANPD dispensou os agentes de pequeno porte, como microempresas, empresas de pequeno porte e startups, desde que não façam tratamento de alto risco nem ultrapassem os limites de receita do regulamento. Quem usa a dispensa precisa manter um canal de comunicação com os titulares.

O sócio pode ser o encarregado? O regulamento não proíbe, mas veda situações de conflito de interesse, especialmente o acúmulo com atividades de decisão estratégica sobre o tratamento de dados. Se o sócio define como a empresa usa os dados, a indicação tende a ser questionável. A análise é feita no caso concreto.

Pode terceirizar a função de encarregado? Sim. O encarregado pode ser pessoa externa à empresa ou pessoa jurídica. Nesse caso, o site deve mostrar o nome empresarial e o nome da pessoa natural responsável, e o contrato deve prever atividades, dedicação e substituição.

O encarregado precisa de certificação? Não. O regulamento diz que a função não pressupõe inscrição em entidade, certificação ou formação específica. Cabe à empresa definir as qualificações adequadas ao volume e ao risco dos dados que trata.

Precisa registrar o encarregado na ANPD? O regulamento exige que o ato formal de indicação seja apresentado à ANPD quando solicitado e que identidade e contato sejam divulgados publicamente. Ele não prevê um registro prévio do encarregado na ANPD.

Próximo passo

O guia LGPD na prática mostra onde o encarregado entra no processo de adequação, ao lado do mapeamento e do aviso de privacidade. Se a empresa está começando, vale ler também LGPD em pequenas empresas: por onde começar. Para estruturar a indicação, o fluxo de atendimento e os documentos, o Dados em Conformidade reúne essas entregas com escopo definido. Mais conteúdo em LGPD.

Fontes

• Lei 13.709/2018 (LGPD), arts. 5º, VIII, e 41 (texto compilado).
• Resolução CD/ANPD 18, de 16 de julho de 2024 (Regulamento sobre a atuação do encarregado), publicada no DOU de 17/07/2024, arts. 3º, 4º, 6º, 7º, 9º a 17, 19 e 21. Vigente, segundo a página de regulamentações da ANPD.
• Resolução CD/ANPD 2, de 27 de janeiro de 2022 (agentes de tratamento de pequeno porte), arts. 3º e 11.

Conteúdo informativo. Não substitui consulta a um advogado.