Entenda a relação entre DPO e encarregado da LGPD, verifique quando a indicação pode ser dispensada e organize uma estrutura interna, terceirizada ou híbrida.
Uma pequena empresa de comércio eletrônico recebe pelo atendimento um pedido de acesso a dados. Ao mesmo tempo, o marketing prepara uma campanha segmentada, a área de compras negocia uma nova plataforma e a tecnologia investiga uma possível exposição de cadastros. Sem uma referência clara, cada departamento interpreta a LGPD de modo diferente, mensagens sensíveis circulam sem controle e a direção descobre decisões relevantes tarde demais.
O Data Protection Officer (DPO) pode coordenar esse cenário, desde que não seja apenas um nome publicado no aviso de privacidade. No vocabulário da LGPD, essa função é exercida pelo encarregado pelo tratamento de dados pessoais. Na empresa fictícia usada neste guia, o encarregado conecta atendimento, marketing, tecnologia, logística, pagamentos, recursos humanos, fornecedores e liderança, mas não assume sozinho todas as tarefas de conformidade.
Estruturar a função exige três decisões iniciais: verificar se a indicação é obrigatória ou se existe uma dispensa regulatória aplicável, escolher um modelo compatível com os riscos e formalizar fluxos que funcionem na prática. O resultado esperado não é uma promessa abstrata de conformidade, mas uma capacidade demonstrável de receber demandas, localizar responsáveis, orientar decisões, registrar providências e escalar riscos.
Principais pontos
- O Data Protection Officer (DPO), chamado de encarregado pelo tratamento na LGPD, atua como canal de comunicação e coordenador, sem substituir as responsabilidades do controlador e do operador.
- O porte reduzido não gera dispensa automática: é necessário conferir as categorias, os limites e as exclusões da Resolução CD/ANPD nº 2/2022.
- Um tratamento somente é considerado de alto risco, para essa regulamentação, quando combina pelo menos um critério geral e um critério específico.
- O prazo de até 15 dias do artigo 19 da LGPD refere-se à declaração clara e completa relacionada à confirmação e ao acesso, não indistintamente a todos os direitos do titular.
- A indicação do encarregado deve ser formalizada, seus contatos precisam ser divulgados e deve haver substituição para ausências, impedimentos e vacância.
- A escolha entre DPO interno, terceirizado ou híbrido deve considerar volume, complexidade, disponibilidade, conflitos, SLA, custo total e necessidade de cobertura.
- Metas como triagem em 24 horas, revisão semestral e implantação em 90 dias são parâmetros editoriais exemplificativos, e não prazos legais gerais.
O que é um Data Protection Officer e qual é sua relação com a LGPD
DPO é a sigla inglesa de Data Protection Officer. No Brasil, a Lei nº 13.709/2018, a LGPD, utiliza a expressão encarregado pelo tratamento de dados pessoais. Os termos costumam indicar a mesma função no cotidiano empresarial, mas políticas, contratos e atos de indicação devem observar a terminologia e os requisitos brasileiros. O artigo 41 da LGPD estabelece atribuições básicas, e a Resolução CD/ANPD nº 18/2024 regulamenta aspectos da indicação, divulgação e atuação.
O controlador é o agente a quem competem as decisões referentes ao tratamento, como definir finalidades e elementos essenciais de uma campanha de marketing. O operador trata dados pessoais em nome do controlador e conforme suas instruções, como pode ocorrer com uma plataforma contratada para disparar comunicações. A classificação depende da atuação concreta, e não apenas do nome usado no contrato. O encarregado, por sua vez, funciona como canal entre o agente de tratamento, os titulares e a ANPD, além de orientar funcionários e contratados e executar as demais atribuições previstas em normas ou definidas pelo controlador.
Essa distinção evita transferências indevidas de responsabilidade. O controlador continua responsável por suas decisões e deve proporcionar ao encarregado recursos humanos, técnicos e administrativos. O operador deve cumprir as obrigações que lhe sejam aplicáveis e as instruções lícitas do controlador. O encarregado coordena, recomenda, comunica e acompanha, mas não se torna automaticamente o autor de cada decisão nem o executor de todos os controles.
Segundo a Resolução CD/ANPD nº 18/2024, a indicação feita pelo controlador deve constar de ato formal escrito, datado e assinado, que demonstre de maneira clara e inequívoca a intenção de designar o encarregado e descreva suas atividades e atribuições. O documento precisa ficar disponível para apresentação à ANPD quando solicitado. A função pode ser exercida por pessoa natural ou jurídica; o operador também pode indicar encarregado, embora sua indicação seja facultativa segundo a regulamentação.
A identidade e as informações de contato devem ser divulgadas publicamente, de maneira clara, objetiva, destacada e facilmente acessível, preferencialmente no site do agente. Para pessoa natural, divulga-se o nome completo; para pessoa jurídica, divulgam-se o nome empresarial ou título do estabelecimento e o nome completo da pessoa natural responsável. Quem não possui site deve utilizar outro meio habitual de comunicação. As informações precisam permanecer atualizadas, e um substituto formalmente designado deve exercer a função em ausências, impedimentos ou vacância.
Na loja fictícia, o encarregado recebe uma solicitação e coordena sua tramitação. O atendimento autentica o solicitante de modo proporcional, a tecnologia localiza registros, o marketing verifica perfis e a área financeira consulta transações. O DPO acompanha o fluxo, identifica lacunas e consolida a comunicação, sem necessariamente operar cada sistema.
Por que a função importa mesmo em uma empresa de pequeno ou médio porte
Pedidos de acesso, correção, informação ou eliminação atravessam sistemas e departamentos. Incidentes, auditorias de clientes, contratações de fornecedores e projetos de publicidade também exigem coordenação. O problema operacional surge quando ninguém sabe quem recebe a demanda, qual área deve agir, onde a decisão será registrada ou quem pode falar em nome da organização.
Na empresa fictícia, adota-se uma meta interna de triagem em 24 horas para evitar que mensagens permaneçam esquecidas. Trata-se apenas de um parâmetro editorial exemplificativo, não de prazo geral imposto pela LGPD. Cada empresa deve estabelecer metas compatíveis com seus riscos, horários de atendimento, capacidade de resposta e eventuais prazos legais específicos.
Em vez de repetir atribuições genéricas, o gestor pode procurar sinais mensuráveis de falta de coordenação. Um único episódio não prova, isoladamente, inadequação jurídica, mas a recorrência ou a ausência total de evidências indica risco operacional que precisa ser tratado.
- Demandas sem proprietário: há solicitações recebidas sem área responsável, substituto ou data prevista para retorno.
- Perda de rastreabilidade: a empresa não consegue informar quantas demandas estão abertas, encerradas ou atrasadas.
- Canal inativo: testes periódicos não geram protocolo, encaminhamento ou confirmação de recebimento.
- Projetos sem revisão: novos sistemas ou campanhas entram em produção sem registro de finalidade, dados, fornecedores e retenção.
- Incidentes sem escalonamento: alertas de segurança não possuem critérios para envolver liderança, jurídico, encarregado e equipes técnicas.
- Contratos desconectados da operação: fornecedores relevantes são contratados sem identificar papéis, instruções, segurança, subcontratações e apoio a direitos.
- Treinamentos sem cobertura: áreas que tratam dados não possuem registro de orientação inicial ou reciclagem compatível com suas atividades.
- Pendências repetidas: o mesmo risco reaparece em reuniões sucessivas sem responsável, prioridade ou critério de conclusão.
| Indicador | Evidência mínima | Sinal de atenção |
|---|---|---|
| Demandas de titulares | Registro de entrada, responsável, status e resposta | Pedidos fora do controle ou sem histórico |
| Projetos novos | Lista de iniciativas revisadas antes do lançamento | Encarregado acionado somente após reclamações |
| Incidentes | Registro de detecção, avaliação, decisão e contenção | Equipes desconhecem quem deve ser avisado |
| Fornecedores | Inventário, responsável contratual e avaliação proporcional | Serviços críticos sem proprietário interno |
| Treinamentos | Público, conteúdo, presença e pendências | Pessoas com acesso relevante nunca orientadas |
Toda empresa precisa nomear um DPO?
A LGPD prevê que o controlador indique encarregado. Entretanto, a Resolução CD/ANPD nº 2/2022 dispensa determinados agentes de tratamento de pequeno porte dessa indicação, desde que eles possam usufruir do tratamento jurídico diferenciado previsto na norma. Portanto, ser informalmente chamado de pequeno negócio não basta.
A categoria de agente de tratamento de pequeno porte abrange microempresas, empresas de pequeno porte, startups, pessoas jurídicas de direito privado — inclusive sem fins lucrativos —, pessoas naturais e entes privados despersonalizados que realizem tratamento de dados pessoais assumindo obrigações típicas de controlador ou operador, conforme as definições e condições da resolução. O enquadramento empresarial, por si só, ainda precisa ser confrontado com as exclusões.
Não podem aproveitar o tratamento diferenciado os agentes que realizem tratamento de alto risco, aufiram receita bruta superior aos limites regulatórios ou pertençam a grupo econômico cuja receita global ultrapasse esses limites. Para microempresas e empresas de pequeno porte, a resolução remete ao limite do artigo 3º, inciso II, da Lei Complementar nº 123/2006, de até R$ 4,8 milhões de receita bruta anual para empresa de pequeno porte. Para startups, remete ao artigo 4º, parágrafo 1º, inciso I, da Lei Complementar nº 182/2021: até R$ 16 milhões no ano-calendário anterior ou R$ 1.333.334 multiplicado pelos meses de atividade quando houver menos de 12 meses. Esses valores e referências devem ser reconferidos caso a legislação seja alterada.
Para a Resolução nº 2/2022, o tratamento é de alto risco quando combina, cumulativamente, pelo menos um critério geral e um critério específico. Os critérios gerais são tratamento em larga escala ou tratamento capaz de afetar significativamente interesses e direitos fundamentais dos titulares. Os específicos são uso de tecnologias emergentes ou inovadoras; vigilância ou controle de zonas acessíveis ao público; decisões tomadas unicamente com base em tratamento automatizado, inclusive para definir perfis; ou utilização de dados pessoais sensíveis ou de dados de crianças, adolescentes e idosos.
A análise de larga escala considera, entre outros elementos previstos na resolução, o número de titulares, o volume de dados, a duração, a frequência e a extensão geográfica. A possibilidade de afetar significativamente direitos e interesses pode existir quando o tratamento impede o exercício de direitos ou o acesso a serviços, causa danos materiais ou morais, discriminação, violação da integridade física, do direito à imagem e à reputação, fraude financeira ou roubo de identidade.
Por isso, monitoramento comportamental em larga escala não configura automaticamente alto risco apenas com essa descrição. A larga escala pode preencher um critério geral, mas ainda será necessário identificar um critério específico, como decisão exclusivamente automatizada, tecnologia emergente ou vigilância de área pública. De modo semelhante, usar dados sensíveis preenche um critério específico, mas precisa ser combinado com larga escala ou potencial de impacto significativo. Dependendo do contexto, uma mesma operação pode satisfazer ambos.
O agente de pequeno porte dispensado de indicar encarregado deve disponibilizar canal de comunicação com o titular. A indicação voluntária é considerada prática de boa governança pela resolução, mas não elimina a necessidade de uma estrutura real. Se a organização não preencher os critérios de pequeno porte ou estiver em uma hipótese de exclusão, não deve usar essa dispensa.
A reavaliação a cada seis meses pode ser adotada como parâmetro editorial exemplificativo de governança, mas não é prazo legal geral. A empresa deve revisar antes disso quando mudar o faturamento relevante, ingressar em grupo econômico, iniciar tratamento com novos riscos, ampliar sua escala ou alterar substancialmente tecnologias e públicos.
- Identifique em quais operações a organização é controladora e em quais atua apenas como operadora.
- Confirme se ela pertence a uma das categorias de agente de tratamento de pequeno porte.
- Compare a receita própria e a receita global do grupo com os limites legais aplicáveis.
- Teste separadamente os critérios gerais e específicos de alto risco e documente a combinação encontrada.
- Se houver dispensa, mantenha canal adequado, responsáveis, substituição e registro da análise.
- Se não houver dispensa, formalize a indicação e divulgue identidade e contatos conforme a Resolução nº 18/2024.
Quais atividades devem ficar sob a coordenação do encarregado
A coordenação começa no recebimento de demandas, mas alcança encaminhamento, controle, orientação e retorno. Em uma solicitação de confirmação ou acesso, o canal registra o pedido, verifica elementos necessários para evitar entrega indevida e aciona as áreas que possuem os dados. O encarregado acompanha pendências e assegura que a comunicação seja inteligível.
O prazo de até 15 dias do artigo 19 da LGPD não se aplica indistintamente a todos os direitos do titular. Esse dispositivo trata da confirmação de existência ou do acesso: a informação pode ser fornecida imediatamente, em formato simplificado, ou por declaração clara e completa, entregue em até 15 dias e contendo os elementos previstos na lei. Correção, portabilidade, eliminação, oposição e outros direitos devem ser tratados conforme suas regras, regulamentações e circunstâncias, sem presumir automaticamente o mesmo prazo.
Em incidentes, o encarregado deve integrar um fluxo que separe detecção técnica, contenção, preservação de evidências, avaliação de riscos, decisão sobre comunicações e acompanhamento de medidas. A obrigação de comunicar incidente à ANPD e aos titulares depende dos critérios e das regras aplicáveis; não se deve prometer comunicação automática de todo evento nem ocultar um caso relevante.
Nos contratos, o encarregado pode orientar a identificação de controlador e operador, o escopo das instruções, as medidas de segurança, o uso de suboperadores, a cooperação com direitos, a devolução ou eliminação de dados e a notificação de incidentes. A aprovação comercial, jurídica e técnica continua com as áreas competentes.
Em projetos, a participação deve ocorrer antes do lançamento. Marketing descreve finalidade e público; tecnologia apresenta arquitetura e acessos; compras identifica fornecedores; jurídico examina obrigações; e a liderança aceita, reduz ou evita riscos. Em treinamentos, o encarregado ajuda a definir conteúdos por função, registrar presença e acompanhar dúvidas, evitando apresentações genéricas sem relação com as atividades.
Nas comunicações com a ANPD, o fluxo precisa preservar prazos específicos, responsáveis e consistência. O encarregado recebe ou encaminha a comunicação, reúne informações com as áreas, revisa a coerência da resposta e mantém o histórico. A manifestação institucional deve seguir as alçadas definidas pela organização.
| Frente | Fluxo mínimo | Áreas participantes | Registro de conclusão |
|---|---|---|---|
| Titulares | Receber, autenticar proporcionalmente, classificar, localizar dados, responder e arquivar | Atendimento, RH, marketing, tecnologia e jurídico | Pedido, verificações, resposta e data de encerramento |
| Incidentes | Detectar, conter, avaliar impacto, decidir comunicações e acompanhar correções | Segurança, tecnologia, jurídico, direção e áreas afetadas | Linha do tempo, decisão fundamentada e plano corretivo |
| Contratos | Classificar papéis, revisar cláusulas, validar controles e monitorar pendências | Compras, jurídico, tecnologia e gestor do fornecedor | Pareceres, cláusulas aprovadas e responsável interno |
| Treinamentos | Definir público, adaptar conteúdo, aplicar, registrar e tratar lacunas | RH, liderança e áreas operacionais | Presença, avaliação e plano para ausentes |
| Projetos | Descrever tratamento, analisar necessidade e risco, aprovar condições e reavaliar | Área proponente, tecnologia, segurança, jurídico e direção | Checklist, riscos aceitos e medidas antes do lançamento |
| ANPD | Receber, preservar a comunicação, distribuir tarefas, consolidar e protocolar | Direção, jurídico, segurança e áreas responsáveis | Comunicação original, versão aprovada e comprovante |
DPO interno ou terceirizado: como escolher o modelo adequado
O modelo interno favorece o conhecimento dos sistemas, das pessoas e dos processos informais. Seu principal risco é a falta de disponibilidade ou a acumulação com cargo que decida finalidades e meios do tratamento. O custo não se limita ao salário: inclui dedicação, capacitação, substituição, ferramentas e eventual apoio especializado.
O DPO terceirizado pode reunir conhecimentos jurídicos, técnicos e de governança e oferecer cobertura contratada. Ainda assim, precisa de acesso às áreas e de um ponto focal interno. O contrato deve estabelecer canais, confidencialidade, tempos de resposta, participação em incidentes, substituição, limites de escopo e regras de encerramento. Contratar apenas um nome para divulgação não cria atuação efetiva.
O modelo híbrido combina um responsável ou ponto focal interno com apoio externo. Na loja fictícia, o gestor interno conhece os processos e encaminha demandas, enquanto especialistas externos apoiam incidentes, avaliações complexas e atualização regulatória. O arranjo só funciona quando o ato formal, os contratos e os fluxos deixam claro quem exerce a função e quem presta suporte.
A matriz abaixo não determina uma resposta automática. Ela transforma aspectos qualitativos em perguntas comparáveis e deve ser preenchida com dados reais, como quantidade mensal de demandas, número de sistemas, unidades, países, fornecedores críticos e períodos sem cobertura.
| Critério | Favorece interno | Favorece terceirizado | Favorece híbrido |
|---|---|---|---|
| Volume de demandas | Volume contínuo que justifica dedicação interna | Volume baixo ou variável atendido por pacote dimensionado | Rotina interna com picos absorvidos por apoio externo |
| Complexidade | Operação concentrada e conhecida pela equipe | Casos especializados ou necessidade multidisciplinar | Operação ampla com conhecimento interno e temas complexos |
| Disponibilidade | Profissional com agenda reservada e substituto | SLA contratual e equipe de cobertura | Ponto focal diário com escalonamento externo |
| Conflitos de interesse | Cargo sem poder decisório incompatível | Maior distanciamento das decisões internas | Separação entre coordenação e decisões operacionais |
| SLA | Metas internas monitoradas pela liderança | Tempos e canais formalizados em contrato | SLA externo combinado com triagem interna |
| Custo total | Dedicação, treinamento, benefícios, ferramentas e suporte | Mensalidade, excedentes, urgências e integração | Tempo interno mais contrato de apoio |
| Cobertura | Substituto treinado para férias e impedimentos | Equipe contratada com continuidade documentada | Cobertura cruzada entre equipe interna e prestador |
Como implementar a função de DPO em etapas
A implantação começa pela realidade operacional, não por um pacote de políticas genéricas. Na loja fictícia, o levantamento cobre cadastro, pagamentos, publicidade, logística, atendimento, trabalhadores, sistemas e fornecedores. Tratamentos sensíveis, incidentes conhecidos, grandes concentrações de dados e dependências críticas recebem prioridade proporcional.
Um ciclo inicial de 90 dias pode ser usado como parâmetro editorial exemplificativo de planejamento. Não é prazo legal geral, certificação nem garantia de conformidade. Empresas mais simples podem concluir entregas antes; operações complexas podem precisar de fases adicionais. Cada etapa deve possuir responsável, entregável, prioridade e critério verificável de conclusão.
Ferramentas de automação podem apoiar inventários, triagem e elaboração inicial de documentos. Decisões sobre riscos, incidentes, direitos, contratos ou bases legais exigem validação humana, pois dependem do contexto e podem afetar pessoas.
| Período | Responsável principal | Prioridade e atividades | Entregável | Critério de conclusão |
|---|---|---|---|---|
| Dias 1 a 15 | Direção e jurídico ou governança | Confirmar obrigação, modelo, conflitos, reporte e recursos | Decisão documentada e minuta do ato formal | Enquadramento aprovado e responsável executivo definido |
| Dias 16 a 30 | Encarregado e líderes de área | Mapear canais, sistemas, tratamentos, fornecedores e riscos urgentes | Inventário inicial e lista priorizada de lacunas | Áreas críticas entrevistadas e itens com proprietário |
| Dias 31 a 45 | Encarregado, atendimento e tecnologia | Ativar canal, substituição e fluxo de titulares | Procedimento, modelos de registro e teste do canal | Teste completo realizado e evidências armazenadas |
| Dias 46 a 60 | Segurança, tecnologia, jurídico e encarregado | Estruturar incidentes e comunicações com a ANPD | Matriz de escalonamento e roteiro de decisão | Simulação executada com responsáveis presentes |
| Dias 61 a 75 | Compras, jurídico e gestores de fornecedores | Priorizar contratos e novos projetos | Checklist contratual e etapa de revisão em projetos | Fornecedores críticos classificados e fluxo incorporado |
| Dias 76 a 90 | RH, encarregado e direção | Treinar públicos prioritários e aprovar acompanhamento | Registros de treinamento e painel de ações | Pendências possuem prazo, responsável e evidência esperada |
Autonomia, recursos e conflitos de interesse: o que observar
Autonomia significa acesso a informações, pessoas e liderança para formular recomendações sem interferência indevida. Não significa poder absoluto nem ausência de prestação de contas. Quando a gestão escolhe caminho diferente da recomendação, a orientação, os riscos apresentados, a decisão e o responsável devem ser registrados para preservar a rastreabilidade.
A dedicação não deve partir de um número arbitrário de horas. A referência anterior de duas horas semanais não representa exigência legal geral e pode ser insuficiente até para uma operação pequena em período de incidente. A estimativa deve considerar a carga recorrente, a carga de projetos, os picos previsíveis, a reserva para urgências, o tempo de reuniões e treinamento e a necessidade de atualização.
Uma fórmula administrativa simples é somar o tempo médio das demandas recorrentes, projetos em curso, monitoramento de planos, treinamentos e reuniões, acrescentando uma reserva compatível com incidentes e variações. Depois de algumas semanas, compare horas previstas e efetivamente consumidas, atrasos e tarefas acumuladas. Se o encarregado não consegue cumprir o escopo, a solução pode exigir redução de acúmulos, apoio adicional, automação responsável ou mudança de modelo.
A Resolução CD/ANPD nº 18/2024 admite o acúmulo de funções, desde que não exista conflito de interesse. O encarregado deve atuar com ética, integridade e autonomia técnica. Cabe ao próprio encarregado verificar eventual conflito e declará-lo ao agente de tratamento; ao tomar conhecimento, o agente deve adotar medidas para afastar o risco. A ANPD também pode determinar providências, inclusive a substituição, conforme o caso.
O conflito pode surgir quando a pessoa define finalidades e meios relevantes e depois precisa avaliar as próprias decisões. Um diretor de marketing que decide sozinho sobre perfis e campanhas, um líder de RH que determina usos de dados de trabalhadores ou um responsável de tecnologia que aprova sem revisão os controles que fiscalizará merecem análise específica. No encarregado pessoa jurídica, conflitos também podem decorrer da relação entre clientes ou das atividades desempenhadas pela equipe responsável.
- A função acumulada decide finalidades ou meios relevantes do tratamento que o encarregado deverá avaliar?
- A remuneração, meta comercial ou avaliação de desempenho incentiva a aprovação de tratamentos questionados?
- O profissional consegue recomendar suspensão, alteração ou escalonamento sem julgar exclusivamente sua própria decisão?
- Existe revisão independente para assuntos ligados ao cargo acumulado ou a outro cliente do mesmo prestador?
- O conflito pode ser afastado por redistribuição de decisões, barreiras internas, revisão externa ou mudança de escopo?
- Se não puder ser afastado, é necessária a substituição do encarregado?
| Componente | Como estimar | Evidência |
|---|---|---|
| Demandas recorrentes | Quantidade média multiplicada pelo tempo de triagem e acompanhamento | Histórico do canal e horas registradas |
| Projetos e contratos | Iniciativas previstas por mês e complexidade de cada revisão | Portfólio de projetos e fila de compras |
| Treinamentos | Públicos, frequência, preparação e tratamento de ausências | Plano anual e registros de participação |
| Incidentes e urgências | Reserva baseada no perfil de risco e na experiência operacional | Histórico de eventos e simulações |
| Cobertura | Férias, impedimentos, fusos e períodos fora do expediente | Ato de substituição e escala de contato |
Erros que transformam o DPO em uma formalidade sem efeito
Um endereço publicado não comprova atuação. Se a caixa de entrada da loja fictícia permanece vários dias sem monitoramento, pedidos podem ficar parados mesmo que o aviso de privacidade pareça completo. O que demonstra funcionamento é a combinação de testes do canal, responsáveis, substitutos, encaminhamentos e histórico de respostas.
Outro desvio é entregar toda a LGPD ao encarregado. Marketing responde por suas campanhas, RH pelos processos de trabalhadores, tecnologia pelos controles técnicos, compras pela integração de fornecedores e a liderança pelos recursos e riscos aceitos. O DPO promove coordenação verificável, mas não absorve as responsabilidades das áreas.
Políticas copiadas criam aparência frágil quando citam sistemas, retenções ou procedimentos inexistentes. Também há problema quando o encarregado só participa depois do lançamento de projetos ou quando a dispensa é presumida sem análise dos critérios de pequeno porte e alto risco.
A correção precisa ser verificável. Para cada falha, defina uma evidência esperada, um indicador administrativo e uma ação com proprietário. Os indicadores abaixo não são métricas legais universais; são exemplos para gestão interna.
| Falha | Evidência do problema | Indicador de acompanhamento | Ação corretiva e critério de encerramento |
|---|---|---|---|
| Canal sem monitoramento | Testes ou mensagens sem encaminhamento | Demandas sem responsável e tempo até a triagem | Definir titular e substituto; encerrar após teste completo bem-sucedido |
| LGPD concentrada no DPO | Todas as tarefas aparecem em nome do encarregado | Percentual de ações sem proprietário operacional | Redistribuir responsabilidades; encerrar quando cada ação tiver área responsável |
| Conflito ignorado | Encarregado revisa decisões tomadas exclusivamente por seu outro cargo | Casos sem revisão independente | Aplicar teste de conflito e controles; substituir se o risco permanecer |
| Documentos genéricos | Política não corresponde a sistemas ou práticas | Itens documentados sem evidência operacional | Validar com as áreas e corrigir; encerrar após amostragem coerente |
| Participação tardia | Projetos chegam ao DPO após produção | Projetos relevantes revisados antes do lançamento | Criar etapa obrigatória no fluxo; encerrar após ciclos consecutivos com aplicação |
| Dispensa presumida | Não existe memória do enquadramento | Análises sem data, critérios ou aprovador | Documentar porte, receita, grupo e alto risco; revisar após mudanças relevantes |
| Pendências recorrentes | Mesma recomendação reaparece sem decisão | Ações vencidas e idade média das pendências | Escalar à liderança e definir aceite, mitigação ou encerramento documentado |
Perguntas frequentes
DPO e encarregado de dados são a mesma coisa?
No uso empresarial brasileiro, os termos normalmente designam a mesma função. DPO é a expressão inglesa; encarregado pelo tratamento de dados pessoais é a terminologia adotada pela LGPD.
Uma pequena empresa é obrigada a ter um DPO?
Depende. A Resolução CD/ANPD nº 2/2022 dispensa determinados agentes de tratamento de pequeno porte, mas a empresa precisa pertencer a uma categoria abrangida, observar os limites de receita e de grupo econômico e não realizar tratamento de alto risco conforme a combinação de critérios regulatórios.
O uso de dados sensíveis torna o tratamento automaticamente de alto risco?
Não para o enquadramento da Resolução nº 2/2022. Dados sensíveis constituem um critério específico, que deve ser combinado com pelo menos um critério geral: larga escala ou possibilidade de afetar significativamente interesses e direitos fundamentais.
Monitoramento comportamental em larga escala é sempre tratamento de alto risco?
Não necessariamente. A larga escala pode atender a um critério geral, mas é preciso verificar também um critério específico, como decisão exclusivamente automatizada, tecnologia emergente ou vigilância de zona acessível ao público.
O dono da empresa pode ser o encarregado pela LGPD?
A regulamentação não proíbe automaticamente essa escolha, mas o acúmulo não pode gerar conflito de interesse. Se o dono define sozinho finalidades e meios relevantes e depois avalia as próprias decisões, podem ser necessários revisão independente, redistribuição de competências ou outro encarregado.
O DPO precisa ser advogado ou ter certificação específica?
A legislação não restringe a função a advogados nem estabelece uma certificação profissional única. Os conhecimentos jurídicos, técnicos, de governança e comunicação devem ser proporcionais às características da operação.
É possível contratar um DPO terceirizado?
Sim. A Resolução CD/ANPD nº 18/2024 admite encarregado pessoa natural ou jurídica. O contrato deve definir escopo, equipe responsável, canais, confidencialidade, disponibilidade, substituição, apoio em urgências e integração com as áreas internas.
Quais informações sobre o encarregado devem ser publicadas?
A divulgação deve ser clara, objetiva, destacada, atualizada e facilmente acessível. Para pessoa natural, deve incluir o nome completo e contatos; para pessoa jurídica, o nome empresarial ou título do estabelecimento, os contatos e o nome completo da pessoa natural responsável.
O prazo de 15 dias vale para todos os direitos do titular?
Não. O artigo 19 da LGPD relaciona o prazo de até 15 dias à declaração clara e completa sobre confirmação de existência ou acesso. A lei também admite resposta imediata em formato simplificado. Outros direitos devem seguir as regras e circunstâncias aplicáveis.
Quem responde por uma infração à LGPD: a empresa ou o DPO?
A organização não transfere suas responsabilidades ao encarregado. A responsabilização depende dos fatos e das normas aplicáveis; o DPO não é automaticamente responsável por toda falha de tratamento.
O que fazer quando a empresa está dispensada de indicar encarregado?
Ela deve manter canal de comunicação com o titular, definir responsáveis pela triagem e pelo encaminhamento e documentar a análise que sustentou a dispensa. Mudanças de receita, grupo econômico, escala, tecnologia, públicos ou riscos exigem nova avaliação.
Com que frequência a estrutura do DPO deve ser revisada?
Não existe intervalo universal. Uma revisão semestral pode ser adotada como parâmetro interno exemplificativo, mas a análise deve ocorrer também diante de novos sistemas, tratamentos sensíveis, incidentes, fornecedores críticos, expansão ou mudança regulatória.
Conclusão
Uma estrutura útil de Data Protection Officer (DPO) começa pela verificação documentada da obrigação, e não pela escolha apressada de um nome. O gestor deve distinguir controlador, operador e encarregado, conferir os critérios da Resolução CD/ANPD nº 2/2022 e evitar conclusões baseadas apenas no porte comercial da empresa. Tratamento em larga escala, monitoramento comportamental ou uso de dados sensíveis precisam ser examinados segundo a combinação regulatória de critérios gerais e específicos.
Quando houver indicação, o ato deve ser escrito, datado e assinado, os dados exigidos precisam ser divulgados e deve existir substituição formal para ausências, impedimentos ou vacância. Interno, terceirizado ou híbrido, o encarregado necessita de acesso, recursos, tempo dimensionado e mecanismos para prevenir conflitos de interesse.
Na empresa fictícia, a melhoria não veio de transferir a LGPD a uma pessoa. Ela surgiu quando pedidos de titulares, incidentes, contratos, treinamentos, projetos e comunicações com a ANPD passaram a ter fluxo, responsável, evidência e critério de conclusão. Metas internas, como triagem em 24 horas, revisão semestral ou ciclo inicial de 90 dias, podem apoiar esse trabalho, desde que sejam tratadas como referências exemplificativas e não como prazos legais universais.
