Encarregado de dados (DPO): quando é obrigatório, quem pode ser e o que faz

"Minha empresa precisa ter um DPO?" é uma das primeiras perguntas que aparecem quando alguém começa a olhar para a LGPD. Para a maior parte das empresas, a resposta curta é sim. A resposta útil é mais longa, porque envolve saber se a empresa está entre as poucas que podem ser dispensadas, quem pode ocupar a função, como formalizar a escolha, o que precisa ser publicado e o que essa pessoa vai fazer no dia a dia.

Desde julho de 2024, essas respostas ficaram bem mais claras. A Resolução CD/ANPD nº 18/2024 aprovou o regulamento sobre a atuação do encarregado de dados, e em dezembro do mesmo ano a ANPD publicou um guia orientativo com exemplos e modelos de ato de indicação. Este artigo separa o que essas normas exigem do que é recomendação da ANPD e mostra o que costuma dar errado quando a indicação é feita às pressas.

Sobre os nomes: DPO, sigla de Data Protection Officer, vem do regulamento europeu, e o guia da ANPD lembra que as atribuições não são idênticas às do encarregado previsto na LGPD. Aqui os dois termos aparecem como sinônimos só porque é assim que muita gente procura pelo assunto.

A regra está no art. 41 da LGPD: o controlador deve indicar um encarregado. Controlador é quem toma as decisões sobre o tratamento, como a empresa que decide coletar dados de clientes para vender, cobrar e fazer marketing. Quase toda empresa é controladora em relação aos dados dos próprios clientes, colaboradores e candidatos. O guia da ANPD registra justamente isso: é muito residual a situação de uma organização que atua apenas como operadora.

Para o operador, que trata dados em nome de outra empresa, a indicação é facultativa. O art. 6º da Resolução CD/ANPD nº 18/2024 diz que, quando o operador indica um encarregado seguindo as regras do regulamento, isso conta como política de boas práticas e governança, um dos critérios que a lei manda considerar na aplicação de sanções (art. 52, § 1º, IX, da LGPD). Se a dúvida é saber qual papel a empresa exerce em cada tratamento, veja antes o nosso artigo sobre controlador e operador na prática.

A única dispensa prevista hoje vem da Resolução CD/ANPD nº 2/2022, que regulamenta a LGPD para agentes de tratamento de pequeno porte. O art. 11 dessa resolução diz que eles não são obrigados a indicar encarregado. Entram nesse grupo, por exemplo, microempresas, empresas de pequeno porte e startups, desde que não façam tratamento de alto risco para os titulares, não ultrapassem os limites de receita bruta previstos na legislação e não pertençam a grupo econômico que os ultrapasse.

A dispensa não vale automaticamente para toda empresa pequena. O guia da ANPD traz o exemplo de uma empresa de atendimento médico domiciliar a idosos, com faturamento compatível com empresa de pequeno porte, que deixou de indicar encarregado por se considerar dispensada. A análise da ANPD foi a de que o tratamento de dados de saúde de pessoas idosas, com potencial de afetar significativamente os titulares, caracteriza alto risco. Nesse cenário, a empresa continua obrigada a indicar encarregado.

A Resolução CD/ANPD nº 18/2024 deixa três pontos claros. O encarregado pode ser uma pessoa natural, do quadro da empresa ou externa a ela, ou uma pessoa jurídica (art. 12). Não é exigida inscrição em nenhuma entidade, nem certificação ou formação profissional específica (art. 14). E a pessoa precisa conseguir se comunicar com os titulares e com a ANPD de forma clara e precisa, em língua portuguesa (art. 13).

Quem define as qualificações necessárias é a própria empresa, considerando o conhecimento da legislação de proteção de dados e o contexto, o volume e o risco dos tratamentos que faz (art. 7º). Uma loja com cadastro de clientes não precisa do mesmo perfil que um hospital. O guia da ANPD cita como conhecimentos úteis a gestão de riscos, a governança de dados, compliance e auditoria, a segurança da informação e o conhecimento do próprio negócio da organização.

As duas opções são válidas, e cada uma tem limites. O encarregado interno conhece processos, sistemas e pessoas, o que acelera bastante o trabalho. Em compensação, costuma acumular a função com outras responsabilidades, pode ficar sem tempo para ela e, dependendo do cargo, cair em conflito de interesses.

O encarregado externo, seja um profissional ou uma empresa, traz dedicação ao tema e experiência com outras organizações. O cuidado é garantir que ele tenha acesso às informações e às pessoas certas, porque sem isso a função vira um endereço de e-mail que só repassa mensagens. Também é possível combinar os dois modelos, com um encarregado externo apoiado por um ponto focal interno que ajuda a buscar respostas nas áreas. Em qualquer formato, a responsabilidade pela conformidade continua sendo da empresa (arts. 11 e 17 da Resolução CD/ANPD nº 18/2024).

A resolução define "conflito de interesse" como a situação que possa comprometer, influenciar ou afetar de maneira imprópria a objetividade e o julgamento técnico do encarregado (art. 2º, II). O encarregado pode acumular funções e até atuar para mais de uma organização, desde que consiga cumprir todas as atribuições e não haja conflito (art. 19).

O risco mais comum aparece dentro da própria empresa. O art. 19, § 1º, II, aponta como possível conflito acumular a função de encarregado com atividades que envolvam decisões estratégicas sobre o tratamento de dados. O guia da ANPD dá exemplos: cargos de chefia, gerência ou direção de áreas que definem meios e objetivos do tratamento, como recursos humanos, tecnologia da informação, finanças ou saúde. A lógica é simples. Quem decide como os dados serão usados terá dificuldade para questionar a própria decisão.

Isso não quer dizer que um diretor de TI esteja proibido de ser encarregado em qualquer situação. A resolução manda verificar o conflito no caso concreto e prevê que, se ele existir, pode levar a sanção para a empresa (art. 19, § 2º). Por isso os deveres são divididos: o encarregado deve declarar qualquer situação que possa configurar conflito (art. 20), e a empresa, ao identificar o risco, deve deixar de indicar a pessoa, adotar medidas para afastar o conflito ou substituí-la (art. 21).

A indicação precisa ser feita por ato formal, com a descrição das formas de atuação e das atividades que o encarregado vai desempenhar (art. 3º). A resolução explica que ato formal é um documento escrito, datado e assinado, que demonstre de forma clara e inequívoca a intenção de designar aquela pessoa natural ou jurídica como encarregado. O documento não precisa ser enviado à ANPD, mas deve ser apresentado quando a ANPD pedir.

O formato depende do vínculo. Para um empregado, o guia da ANPD menciona como exemplo um termo aditivo ao contrato de trabalho. Para um profissional externo ou uma empresa contratada, pode ser o próprio contrato de prestação de serviços ou um instrumento específico. Os anexos do guia da ANPD sobre a atuação do encarregado trazem modelos de ato formal para pessoa natural e para pessoa jurídica, que servem como ponto de partida. Um roteiro que costuma funcionar:

O art. 4º determina que, nas ausências, impedimentos e vacâncias do encarregado, a função será exercida por um substituto formalmente designado, e que essas situações não podem virar obstáculo para os titulares ou para o atendimento à ANPD. O guia recomenda designá-lo junto com o encarregado principal, pelo mesmo procedimento e com a mesma divulgação. Quando o encarregado é uma pessoa jurídica, também é preciso indicar um substituto para a pessoa natural responsável.

O ato formal tem ainda um uso bem concreto. A Resolução CD/ANPD nº 15/2024, que regula a comunicação de incidentes, prevê que a comunicação à ANPD seja feita pelo controlador por meio do encarregado, com documento que comprove o vínculo, ou por um representante com poderes para isso. Quando o incidente precisa ser comunicado, o prazo é de três dias úteis, e ninguém quer procurar esse documento no meio da resposta.

O art. 41, § 1º, da LGPD exige que a identidade e as informações de contato do encarregado sejam divulgadas publicamente, de forma clara e objetiva, preferencialmente no site. A resolução pede local de destaque e de fácil acesso (art. 9º) e informações sempre atualizadas (art. 8º). A identidade inclui, no mínimo, o nome completo, se for pessoa natural, ou o nome empresarial e o nome completo da pessoa natural responsável, se for pessoa jurídica. O contato deve permitir que os titulares exerçam seus direitos e que a ANPD envie comunicações.

Um detalhe que o guia da ANPD faz questão de apontar: publicar apenas um endereço como [email protected] não atende à exigência, porque e-mail é contato, não identidade. Empresas sem site podem divulgar essas informações pelos meios que já usam para falar com os titulares, como aplicativos, avisos no estabelecimento ou folhetos.

A LGPD lista quatro atividades (art. 41, § 2º): aceitar reclamações e comunicações dos titulares, prestar esclarecimentos e adotar providências; receber comunicações da ANPD e adotar providências; orientar funcionários e contratados sobre as práticas de proteção de dados; e executar as demais atribuições definidas pelo controlador ou por normas complementares.

A Resolução CD/ANPD nº 18/2024 detalhou o que significa receber uma comunicação da ANPD: encaminhar a demanda às áreas competentes, orientar a empresa e indicar expressamente quem será o representante perante a ANPD em processos administrativos, quando não for o próprio encarregado (art. 15, parágrafo único). Também listou temas em que ele deve prestar assistência e orientação (art. 16), entre eles:

A palavra que se repete é orientação. O encarregado não decide como os dados serão tratados. Essa decisão é do controlador, que continua responsável pela conformidade (art. 11). O art. 17 é explícito: exercer essas atividades não torna o encarregado responsável, perante a ANPD, pela conformidade do tratamento feito pelo controlador. Na rotina, o encarregado aponta riscos e recomenda caminhos, e a gestão decide e responde pela decisão. Para organizar a parte mais visível do trabalho, veja o nosso guia sobre como organizar o atendimento das solicitações dos titulares.

Indicar alguém não encerra a obrigação. O art. 10 da resolução lista deveres da empresa: prover os meios necessários, incluindo recursos humanos, técnicos e administrativos; pedir a assistência do encarregado nas decisões estratégicas que envolvam dados pessoais; garantir autonomia técnica, sem interferências indevidas; oferecer aos titulares meios rápidos e eficazes para falar com ele; e assegurar acesso direto à alta gestão e às demais áreas.

Esses deveres respondem a problemas conhecidos. O encarregado que só descobre um sistema novo depois que ele entrou em produção não teve a chance de orientar nada. Aquele que precisa pedir licença a três gestores para conversar com a diretoria não tem acesso direto. E quem acumula a função com um cargo operacional, sem nenhuma hora reservada para ela, não tem meios. Dependendo do porte, o guia da ANPD sugere até a criação de uma equipe ou comitê de apoio ao encarregado.

Esses pontos deixaram de ser teóricos. A ANPD tem acompanhado a indicação de encarregados e a existência de canais para os titulares, e o que esse acompanhamento mostra está no nosso artigo sobre a fiscalização da ANPD em 2026.

Imagine uma distribuidora de alimentos com 150 colaboradores, clientes empresariais e pessoas físicas e uma equipe comercial que trabalha com CRM. Pelo faturamento, a empresa não se enquadra como agente de pequeno porte, então precisa indicar encarregado. O primeiro nome sugerido é o do gerente de TI, que já cuida dos sistemas.

Na análise de conflito, a diretoria percebe que o gerente de TI decide quais ferramentas coletam e armazenam dados de clientes e colaboradores. A escolha recai sobre uma analista do jurídico com formação em proteção de dados, que não participa dessas decisões e passa a ter parte fixa da semana reservada para a função. O ato formal é feito por aditivo contratual, com as atividades descritas, e uma profissional de compliance é designada como substituta.

A página de privacidade do site passa a mostrar o nome completo da encarregada e da substituta, um formulário e um e-mail de contato. A diretoria define que sistemas e fornecedores novos com acesso a dados devem passar pela avaliação da encarregada antes da contratação. Meses depois, quando a substituta assume durante uma licença, ninguém precisa improvisar: o ato está arquivado, o site já informa o nome dela e os pedidos em andamento estão registrados.

O exemplo é fictício, mas mostra que a indicação envolve mais decisões do que parece, e que quase todas cabem em poucas semanas de trabalho.

Tudo isso pode ser feito com documentos, uma caixa de e-mail e uma planilha, principalmente quando a empresa recebe poucos pedidos de titulares. A dificuldade aparece quando os pedidos aumentam, quando o substituto precisa assumir no meio de um atendimento ou quando é preciso demonstrar o que foi respondido, quando e por quem.

Na LGPD Cloud, o módulo de Direito dos Titulares oferece um canal em que o titular abre a solicitação e confirma o próprio e-mail. Cada pedido recebe protocolo e fica registrado com o tipo de relacionamento (cliente, ex-colaborador, candidato, fornecedor, entre outros), os direitos solicitados, o status, o histórico completo de mensagens e anexos e, quando for o caso, os dados do procurador. O controle de prazo permite pausar e retomar a contagem enquanto a empresa aguarda uma informação do titular. Se o encarregado se ausenta, o substituto pode consultar o histórico no mesmo lugar.

O procedimento de atendimento e a política de privacidade podem ficar no módulo de Políticas e Normas, com responsável, status, versões numeradas com a descrição das mudanças, registro de aprovação e data da próxima revisão. Quando o encarregado muda, os documentos que citam o nome dele podem ser revisados e aprovados em uma nova versão, sem perder o histórico. A plataforma não substitui o encarregado nem as decisões da empresa, mas mantém organizado aquilo que ele precisa mostrar.

Para quase todas as empresas, a pergunta não é se é preciso ter um encarregado de dados, e sim quem ele será e em que condições vai trabalhar. A parte formal a Resolução CD/ANPD nº 18/2024 já resolveu: ato escrito, substituto, identidade publicada e atenção ao conflito de interesses.

O restante depende da empresa. Escolha alguém que consiga orientar sem decidir, dê a essa pessoa tempo e acesso e mantenha os registros em ordem. Quando a ANPD, um cliente ou um titular perguntar quem cuida dos dados pessoais, a resposta vai estar pronta.

Consulte o texto compilado da LGPD, especialmente os arts. 5º, VIII, 41 e 52; a Resolução CD/ANPD nº 18/2024 no Diário Oficial da União; o guia orientativo da ANPD sobre a atuação do encarregado, com os modelos de ato formal; e a Resolução CD/ANPD nº 2/2022, que trata da dispensa para agentes de tratamento de pequeno porte.