DPO: o papel do encarregado de dados exigido pela LGPD

O que a LGPD realmente exige quando fala em encarregado de dados

O artigo 41 da Lei Geral de Proteção de Dados (Lei 13.709/2018) é curto, mas cria uma obrigação estrutural para praticamente toda empresa brasileira que trata dados pessoais: "o controlador deverá indicar encarregado pelo tratamento de dados pessoais". Esse encarregado é o que o mercado chama de DPO, sigla de Data Protection Officer, termo importado do GDPR europeu. Na prática, os dois nomes convivem — o que muda é que a versão brasileira tem exigências próprias, definidas pela ANPD (Autoridade Nacional de Proteção de Dados), e um regime de flexibilidade que o modelo europeu não tem.

A função do encarregado é ser o canal de comunicação entre três partes que raramente conversam entre si: a empresa que trata os dados, o titular desses dados (cliente, funcionário, fornecedor) e a ANPD. Não é um cargo decorativo nem uma linha em organograma para constar em auditoria. Quando um titular exerce o direito de acesso, correção ou eliminação previsto no artigo 18, é o encarregado quem recebe, encaminha e responde. Quando ocorre um incidente de segurança relevante, é o encarregado quem coordena a notificação à autoridade dentro do prazo. Quando a ANPD abre um procedimento de fiscalização, é o encarregado o interlocutor formal.

Um ponto que gera confusão constante: a LGPD exige que a identidade e as informações de contato do encarregado sejam divulgadas publicamente, de forma clara e objetiva — na prática, no site da empresa, geralmente na política de privacidade. Empresas que nomeiam alguém internamente mas não publicam o contato estão em descumprimento parcial da norma. A publicação não é detalhe formal: é o mecanismo que torna o direito do titular exercível.

Responsabilidades concretas do DPO no dia a dia

A lei lista quatro atribuições mínimas, mas a rotina real de um encarregado é bem mais densa. O texto legal define que cabe ao encarregado aceitar reclamações e comunicações dos titulares, receber comunicações da ANPD e adotar providências, orientar funcionários e contratados sobre práticas de proteção de dados, e executar as demais atribuições determinadas pelo controlador ou por normas complementares. Essa última alínea é intencionalmente aberta — e é onde mora a maior parte do trabalho.

Na operação, o encarregado costuma ser responsável por manter e revisar um conjunto de artefatos que sustentam a conformidade:

• Registro das operações de tratamento (ROPA) — o inventário de quais dados a empresa coleta, com que finalidade, com que base legal, por quanto tempo retém e com quem compartilha. Sem esse mapa, nenhuma outra obrigação da LGPD é auditável.
• Relatório de Impacto à Proteção de Dados (RIPD) — obrigatório quando o tratamento apresenta alto risco, especialmente em dados sensíveis, decisões automatizadas ou monitoramento em larga escala.
• Plano de resposta a incidentes — quem detecta, quem classifica a gravidade, quem aciona a ANPD e os titulares, em que prazo. A ANPD estabeleceu o prazo de 3 dias úteis para comunicação de incidentes de segurança relevantes, contados do conhecimento do fato.
• Gestão de bases legais — validar se cada tratamento está ancorado em uma das dez hipóteses do artigo 7º. Consentimento não é a regra: legítimo interesse, execução de contrato e cumprimento de obrigação legal cobrem a maior parte do tratamento corporativo.
• Contratos com operadores — cláusulas de proteção de dados com fornecedores de nuvem, folha de pagamento, marketing e TI terceirizada. A responsabilidade do controlador não termina no perímetro da própria rede.
• Treinamento recorrente — a maior parte dos incidentes tem origem em erro humano, não em falha técnica sofisticada.

Vale destacar que o encarregado orienta e fiscaliza, mas não é o dono do risco. A responsabilidade jurídica pelo tratamento continua sendo do controlador — a empresa. Nomear um DPO não transfere sanção para a pessoa física indicada, exceto em casos de dolo ou conduta pessoal ilícita. Essa distinção importa porque muita gente recusa o papel por medo de responsabilidade pessoal que a lei não impõe.

Quem pode ser encarregado — e quem não deveria

A LGPD é deliberadamente flexível aqui. O artigo 5º, VIII, define o encarregado como "pessoa indicada pelo controlador e operador para atuar como canal de comunicação". A redação original falava em "pessoa natural", mas a Lei 13.853/2019 alterou o texto justamente para permitir que o encarregado seja pessoa física ou jurídica. Isso abre a porta para a terceirização formal da função — o modelo conhecido como DPO as a Service.

A lei também não exige certificação, formação jurídica ou registro em conselho. Não existe "OAB do DPO" no Brasil. O que a ANPD exige, no Regulamento de Aplicação da LGPD para agentes de pequeno porte e nas orientações posteriores, é que o encarregado tenha conhecimento adequado, autonomia para exercer a função e acesso direto à alta direção. Esse último ponto é decisivo: um encarregado que reporta a um gerente de nível médio, sem canal com a diretoria, não consegue exercer a função quando o problema envolve uma decisão comercial da própria empresa.

Na prática, três perfis funcionam bem. O profissional de TI ou segurança da informação, que já entende onde os dados vivem e como fluem entre sistemas. O profissional jurídico ou de compliance, que domina base legal e contratos mas costuma precisar de apoio técnico. E o modelo híbrido, com um encarregado nomeado apoiado por um comitê de privacidade multidisciplinar — o arranjo mais robusto em empresas médias.

O conflito de interesses é o erro mais comum na nomeação. Quem decide as finalidades do tratamento não pode ser quem fiscaliza a legalidade desse tratamento. Nomear o diretor comercial, o head de marketing ou o CEO como encarregado cria uma situação em que a pessoa audita as próprias decisões.

Pela mesma lógica, o responsável pela área de RH costuma ser má escolha, já que trata volume alto de dados sensíveis de funcionários e seria fiscal de si mesmo. O gestor de TI é escolha frequente e defensável, desde que não seja também quem define finalidades de negócio — se ele apenas executa a infraestrutura, o conflito é baixo.

Quando faz sentido terceirizar o DPO

A pergunta prática que quase toda empresa de porte médio faz é: contrato alguém dedicado, acumulo a função com um profissional interno ou terceirizo? A resposta depende de três variáveis — volume e sensibilidade dos dados tratados, exposição regulatória do setor e maturidade da estrutura interna.

Empresas que tratam dados sensíveis em escala — saúde, educação, financeiro, seguros — ou que fazem tratamento de alto risco tendem a justificar um encarregado dedicado, muitas vezes com equipe. Já uma indústria, um escritório de serviços ou um varejista de médio porte raramente gera volume de demanda que ocupe uma pessoa em tempo integral. Nesses casos, acumular a função com alguém interno é viável, desde que a carga seja realista e o conflito de interesses seja evitado.

A terceirização faz sentido quando alguns sinais aparecem juntos:

1. Não há ninguém internamente com conhecimento simultâneo de LGPD, segurança da informação e mapeamento de processos.
2. A empresa já sofreu um incidente, recebeu reclamação de titular ou foi questionada por um cliente corporativo em due diligence de fornecedor.
3. O volume de demandas é baixo o suficiente para não justificar contratação dedicada, mas alto o suficiente para não caber "nas horas vagas" de alguém.
4. Clientes ou parceiros exigem evidência formal de conformidade em contrato — situação cada vez mais comum em cadeias B2B.
5. A empresa está em processo de certificação, auditoria ou expansão para setores regulados.

Um ponto que costuma pesar a favor do modelo terceirizado é a continuidade. Encarregado interno que pede demissão deixa a empresa sem canal publicado até a nova nomeação — e o site continua exibindo um contato inválido. Um contrato de DPO as a Service resolve isso estruturalmente, com substituição e histórico documentado.

Vale lembrar que agentes de tratamento de pequeno porte — startups, microempresas e empresas de pequeno porte, conforme definição da ANPD — estão dispensados da indicação obrigatória do encarregado, mas precisam disponibilizar um canal de comunicação com o titular. Dispensa de cargo não é dispensa de obrigação.

Erros que geram exposição real

A fiscalização da ANPD amadureceu e as sanções previstas no artigo 52 vão de advertência a multa de até 2% do faturamento no Brasil, limitada a R$ 50 milhões por infração, além de bloqueio ou eliminação dos dados envolvidos. Mas o risco financeiro direto raramente é o que atinge a empresa primeiro. O que aparece antes é a perda de contrato B2B por reprovação em due diligence, a ação judicial individual de titular e o dano reputacional após vazamento noticiado.

Os padrões de falha se repetem. Nomeação apenas formal, sem tempo alocado nem orçamento — o encarregado existe no papel e não executa nada. Ausência de inventário de dados, o que torna impossível responder a uma solicitação de titular dentro do prazo de 15 dias previsto para o direito de acesso. Contratos com fornecedores de nuvem e TI sem cláusula de proteção de dados, deixando a empresa exposta por ato de terceiro. E o clássico: política de privacidade genérica copiada de outro site, descrevendo tratamentos que a empresa não faz e omitindo os que faz.

Há ainda a lacuna técnica. Conformidade documental sem controle técnico é ficção: log de acesso a dados pessoais, segregação de permissões, criptografia em repouso e em trânsito, backup testado com retenção definida e capacidade de detectar acesso indevido. Sem isso, a empresa não tem como saber que houve incidente — e um incidente não detectado é um prazo de notificação já perdido.

Como a Duk apoia a estrutura de proteção de dados

Conformidade com a LGPD apoia-se em duas pernas: governança e infraestrutura. A parte de governança é do encarregado e do jurídico. A parte de infraestrutura — onde os dados residem, quem acessa, como são protegidos e como se recupera de um incidente — é o terreno da TI. É exatamente aí que a Duk Informática & Cloud atua há mais de 18 anos, atendendo mais de 550 empresas com estrutura própria de data center em Alphaville.

Na prática, o suporte técnico à conformidade envolve o que sustenta as evidências que o DPO precisa apresentar: controle de identidade e acesso com Microsoft 365 e Entra ID — a Duk é Microsoft Gold Partner —, política de retenção e backup testado periodicamente, segregação de permissões por função, monitoramento com registro de acesso a dados sensíveis e plano de recuperação com RPO e RTO definidos em contrato, não em promessa verbal. O suporte 24/7 com SLA garante que a detecção de incidente não dependa de alguém checar e-mail na segunda-feira.

Empresas que tratam a LGPD como projeto jurídico isolado costumam descobrir tarde que não conseguem comprovar nada tecnicamente. A recomendação prática é simples: nomeie e publique o encarregado, faça o inventário de dados antes de escrever qualquer política e alinhe o parceiro de TI ao que a lei exige em termos de controle, log e recuperação. Se quiser mapear o cenário atual da sua infraestrutura antes de decidir o modelo de encarregado, nossa equipe pode conduzir esse diagnóstico técnico.