A resposta curta é: a LGPD exige encarregado de dados para agentes de tratamento, mas a ANPD pode dispensar essa indicação em situações específicas, sobretudo para agentes de pequeno porte. Ainda assim, mesmo quando há dispensa formal, a empresa continua responsável por atender titulares, manter controles e demonstrar conformidade.
O encarregado, também chamado de DPO, não é apenas um nome publicado em uma página. Ele ocupa um ponto de contato essencial entre a organização, os titulares dos dados e a Autoridade Nacional de Proteção de Dados (ANPD). Para empresas que lidam com dados de clientes, pacientes, usuários, colaboradores ou parceiros, tratar essa função como mera formalidade cria riscos operacionais, jurídicos e reputacionais.
Quando a LGPD exige encarregado de dados?
O artigo 41 da Lei Geral de Proteção de Dados determina que o controlador indique um encarregado pelo tratamento de dados pessoais. O controlador é quem toma as decisões centrais sobre a finalidade e os meios do tratamento. Uma clínica que administra prontuários, uma fintech que define como dados de clientes são usados ou uma empresa de tecnologia que coleta cadastros em sua plataforma são exemplos de controladores em contextos distintos.
A regra geral, portanto, é a indicação do encarregado. Porém, a Resolução CD/ANPD nº 2/2022 prevê a possibilidade de dispensa para agentes de tratamento de pequeno porte. Essa categoria pode incluir microempresas, empresas de pequeno porte, startups e pessoas físicas que tratam dados pessoais para fins econômicos, desde que atendidos os critérios da norma.
A dispensa não se aplica automaticamente a toda pequena empresa. Ela pode deixar de valer, por exemplo, se o tratamento envolver alto risco aos titulares, uso de tecnologias emergentes, vigilância de áreas acessíveis ao público, decisões automatizadas ou dados pessoais sensíveis em volume relevante. Saúde, serviços financeiros, educação e plataformas digitais merecem análise especialmente cuidadosa, pois o porte da companhia, sozinho, não mede a exposição envolvida.
Mesmo dispensado de nomear formalmente um encarregado, o agente de pequeno porte deve disponibilizar um canal de comunicação para titulares. Na prática, isso exige definir quem recebe solicitações, quem consulta as áreas internas, quem responde e onde ficam registrados os atendimentos. Sem esse fluxo, uma solicitação de acesso, correção ou eliminação pode se perder entre atendimento, jurídico e tecnologia.
O que faz o encarregado de dados?
As atribuições mínimas do encarregado estão previstas na LGPD. Ele recebe comunicações dos titulares, recebe comunicações da ANPD, orienta colaboradores e contratados sobre práticas de proteção de dados e executa outras atribuições determinadas pelo controlador ou por normas complementares.
Na operação real, a função costuma ser mais ampla. O encarregado ajuda a transformar a privacidade em rotina: participa do mapeamento de dados, acompanha contratos com fornecedores, avalia procedimentos de retenção e descarte, contribui para a resposta a incidentes e orienta as áreas antes de um novo aplicativo, campanha, integração ou uso de inteligência artificial entrar em produção.
Isso não significa que o DPO deve executar sozinho todas essas atividades. Segurança da informação, jurídico, compliance, recursos humanos, produto e atendimento continuam responsáveis por suas decisões e controles. O encarregado coordena, orienta, cobra evidências e dá visibilidade aos riscos. Quando a organização concentra toda a proteção de dados em uma única pessoa sem acesso às áreas e sem apoio da liderança, cria-se uma função sem capacidade efetiva de atuação.
O encarregado precisa ser funcionário da empresa?
Não necessariamente. A LGPD permite que o encarregado seja uma pessoa física ou jurídica, o que abre espaço para modelos internos, terceirizados ou híbridos. A escolha depende do volume e da sensibilidade dos dados, da maturidade da empresa, do nível de regulação do setor e da disponibilidade de profissionais qualificados.
Um profissional interno pode conhecer profundamente processos, sistemas e cultura organizacional. Em contrapartida, pode enfrentar conflitos de prioridade ou não ter repertório suficiente para lidar com temas jurídicos, técnicos e regulatórios ao mesmo tempo. Um encarregado externo pode agregar independência e experiência multidisciplinar, mas precisa receber contexto, acesso controlado e interlocução frequente com quem opera o negócio.
Também é preciso avaliar conflitos de interesse. Quem define sozinho finalidades de tratamento ou possui metas diretamente ligadas à exploração comercial dos dados pode ter dificuldade para exercer uma função de orientação e fiscalização interna com isenção. A legislação não impõe uma estrutura única, mas a empresa deve conseguir justificar sua escolha e demonstrar que ela funciona na prática.
Como formalizar a indicação sem criar uma função de fachada?
A indicação deve começar pela definição clara de escopo. A liderança precisa saber quais unidades, produtos, bases de dados e fornecedores estarão no radar do encarregado. Em grupos empresariais, por exemplo, pode haver um encarregado central, desde que exista capacidade para atender particularidades de cada empresa e canal de contato adequado para os titulares.
Depois, é necessário publicar a identidade e as informações de contato do encarregado de forma clara e acessível. O canal pode ser um e-mail corporativo, formulário ou outro meio que permita receber e controlar as demandas. O ponto decisivo é não expor um contato sem estrutura de atendimento. Uma caixa de entrada sem responsáveis, prazos internos e critérios de escalonamento amplia o risco em vez de reduzi-lo.
A empresa também precisa documentar seu modelo de governança. Um registro simples, mas consistente, deve indicar quem é o encarregado, quais são suas atribuições, como se dá sua comunicação com a alta administração e como solicitações e incidentes são tratados. Essa documentação será relevante em auditorias, questionários de grandes clientes e eventual interação com a ANPD.
Por fim, o encarregado precisa de insumos. Sem inventário de dados, política de privacidade alinhada à operação, critérios para gestão de fornecedores e visibilidade sobre incidentes, ele apenas reage a demandas isoladas. A proteção de dados ganha maturidade quando a empresa conecta governança, segurança técnica e processos de negócio.
Segurança da informação e privacidade precisam caminhar juntas?
Sim, mas elas não são sinônimos. A LGPD trata de princípios, direitos dos titulares e bases legais, enquanto a segurança da informação protege confidencialidade, integridade e disponibilidade dos ativos. Uma organização pode ter uma política de privacidade bem redigida e ainda expor dados por credenciais vazadas, acessos excessivos, aplicações vulneráveis ou fornecedores sem controles adequados.
Da mesma forma, investir somente em tecnologia não resolve dúvidas sobre finalidade, retenção, transparência e atendimento aos titulares. O encarregado precisa dialogar com a segurança para entender riscos concretos e priorizar medidas proporcionais. Em ambientes com dados sensíveis ou obrigações regulatórias, testes de segurança, gestão de vulnerabilidades e planos de resposta a incidentes deixam de ser temas paralelos à privacidade.
A LC Sec, empresa brasileira de cibersegurança em São Paulo com atuação em todo o Brasil, apoia organizações na adequação à LGPD conectando governança de dados aos controles que sustentam a proteção no dia a dia. Esse olhar é útil quando a empresa precisa sair de documentos genéricos e criar processos verificáveis por clientes, auditorias e reguladores.
Quais erros mais comprometem a função do encarregado?
O primeiro é acreditar que nomear alguém encerra a adequação. A indicação é um componente da governança, não uma solução completa. O segundo é escolher um responsável sem autoridade, tempo ou acesso às informações necessárias. Nessas condições, o encarregado recebe cobranças, mas não consegue conduzir respostas ou recomendar correções.
Outro erro recorrente é ignorar terceiros. Plataformas de CRM, serviços em nuvem, ferramentas de recrutamento, sistemas médicos, agências e provedores de tecnologia podem tratar dados em nome da empresa. O encarregado deve participar da avaliação desses relacionamentos, verificando responsabilidades contratuais, medidas de segurança, subcontratações e procedimentos diante de incidentes.
Também merece atenção a ausência de treinamento. Colaboradores que não sabem reconhecer uma solicitação de titular, um compartilhamento inadequado ou um possível incidente podem atrasar ações críticas. A orientação prevista para o encarregado precisa se traduzir em instruções compreensíveis para cada área, e não apenas em uma apresentação anual.
O que a empresa deve fazer agora?
Comece identificando se a empresa atua como controladora, operadora ou ambas, conforme cada atividade. Em seguida, avalie se há enquadramento válido como agente de tratamento de pequeno porte e se as operações apresentam alto risco. Essa análise deve considerar não apenas faturamento ou número de funcionários, mas a natureza dos dados, o público afetado, as integrações e o impacto de um uso indevido ou vazamento.
Se a indicação for necessária, formalize o encarregado, publique um canal de contato e estabeleça uma rotina de governança. Se houver dispensa, defina do mesmo modo um canal para titulares e um responsável interno por coordenar as demandas. Em ambos os cenários, mantenha evidências das decisões adotadas e revise o modelo à medida que produtos, volume de dados e exigências de clientes evoluírem.
Se ainda houver dúvida sobre a exposição digital, os controles de segurança ou a maturidade da operação de dados, um diagnóstico gratuito pode ajudar a transformar obrigações amplas em prioridades concretas. O melhor momento para estruturar essa função é antes que uma solicitação de titular, uma auditoria ou um incidente revele lacunas que já estavam visíveis na operação.
Compartilhe nas redes sociais:
