Toda empresa que trata dados pessoais lida, em algum momento, com perguntas que precisam de um destinatário certo. Pode ser o cliente que quer saber quais informações suas estão armazenadas, o parceiro que pede evidências de conformidade antes de assinar um contrato ou a ANPD que envia uma comunicação oficial. A LGPD deu nome a quem recebe essas demandas e as conduz dentro da organização: o encarregado pelo tratamento de dados pessoais, também conhecido pela sigla DPO, de Data Protection Officer.

Neste artigo, explicamos o que a lei e a ANPD dizem sobre essa função, o que o encarregado faz na rotina e quais critérios ajudam a decidir entre um profissional interno e um serviço terceirizado.

O que a LGPD diz sobre o encarregado

A lei define o encarregado como a pessoa indicada para atuar como canal de comunicação entre o controlador, os titulares dos dados e a ANPD (art. 5º, VIII). O artigo 41 determina que o controlador indique esse profissional e divulgue publicamente a sua identidade e as suas informações de contato, de preferência no site da empresa.

Em julho de 2024, a ANPD detalhou o tema na Resolução CD/ANPD nº 18/2024, que aprovou o Regulamento sobre a atuação do encarregado. Alguns pontos merecem atenção de quem está organizando essa função:

• A indicação precisa ser feita por ato formal, ou seja, um documento escrito, datado e assinado, que descreva as formas de atuação e as atividades do encarregado
• O encarregado pode ser uma pessoa física ou uma pessoa jurídica, e pode fazer parte do quadro da empresa ou ser externo a ela
• A empresa deve designar um substituto para os períodos de ausência do encarregado
• O mesmo profissional pode atender mais de uma organização, desde que consiga cumprir plenamente as suas atribuições em cada uma e não exista conflito de interesse

O que o encarregado faz no dia a dia

As atribuições previstas na LGPD e no regulamento da ANPD mostram que o trabalho vai bem além de ter um nome publicado no site. O encarregado:

• Recebe reclamações e comunicações dos titulares, presta esclarecimentos e encaminha as providências necessárias
• Recebe as comunicações da ANPD e conduz as respostas dentro da empresa
• Orienta funcionários e contratados sobre as práticas de proteção de dados
• Apoia a empresa em temas como o registro das operações de tratamento, o relatório de impacto, a comunicação de incidentes de segurança e as medidas para reduzir riscos

Um ponto costuma gerar confusão e vale esclarecer: a responsabilidade pela conformidade continua sendo da empresa. O regulamento afirma que o encarregado não responde perante a ANPD pela conformidade do tratamento de dados, e atribui à organização o dever de oferecer os meios para que ele trabalhe, como autonomia técnica, acesso à direção e recursos adequados.

Quando a indicação é obrigatória

O critério passa pelo papel que a empresa exerce no tratamento dos dados e pelo seu porte.

• Controladores: a indicação do encarregado é a regra prevista no artigo 41 da LGPD
• Operadores: a indicação é facultativa e a ANPD a considera uma boa prática de governança
• Agentes de tratamento de pequeno porte: microempresas, empresas de pequeno porte e startups enquadradas na Resolução CD/ANPD nº 2/2022 estão dispensadas de indicar um encarregado, mas precisam manter um canal de comunicação com os titulares. A dispensa deixa de valer quando a empresa realiza tratamento de alto risco, conforme os critérios da própria resolução

Para as empresas dispensadas, a pergunta mais útil costuma ser outra: quem vai responder ao titular, ao cliente e à ANPD quando a demanda chegar? As solicitações aparecem independentemente do porte, e a própria ANPD reconhece a indicação voluntária como política de boas práticas e governança.

Por que essa função faz diferença para o negócio

A adequação à LGPD se sustenta como rotina, e toda rotina precisa de um responsável. Processos mudam, sistemas novos são contratados, pessoas entram e saem da equipe, e cada uma dessas mudanças altera a forma como os dados pessoais circulam na empresa. Quando existe alguém acompanhando esse movimento, o mapeamento permanece atualizado, os planos de ação avançam e as evidências ficam organizadas para o momento em que forem solicitadas.

Há também um efeito comercial. Empresas maiores pedem cada vez mais que seus fornecedores demonstrem como tratam dados pessoais, e ter um encarregado identificado, com processos e registros em ordem, encurta essa conversa e transmite confiança a clientes e parceiros.

Encarregado interno ou terceirizado: como decidir

A escolha depende de três critérios principais.

Dedicação. Em muitas empresas, a LGPD acaba somada às tarefas de alguém do jurídico, da TI ou do RH. Vale avaliar se essa pessoa terá tempo real para atender titulares, acompanhar planos de ação e manter os registros em dia.

Conhecimento. A função exige familiaridade com a legislação, com segurança da informação e com os processos do negócio. Formar esse perfil internamente leva tempo e investimento.

Conflito de interesse. O regulamento da ANPD pede atenção a situações em que o encarregado acumula funções que envolvem decisões estratégicas sobre o tratamento de dados. Quem decide como os dados são usados pode ter dificuldade em avaliar essas mesmas decisões com independência.

O serviço terceirizado costuma fazer sentido para empresas que não têm equipe dedicada ao tema e querem contar com um profissional especializado a um custo previsível. Para funcionar bem, esse profissional precisa de acesso organizado às informações da empresa, e é nesse ponto que a estrutura de trabalho pesa tanto quanto a pessoa.

Plataforma e encarregado de dados em um só lugar

Foi pensando nessa combinação que a DataMappingLGPD passou a oferecer o serviço de encarregado de dados integrado à Plataforma. O profissional atua dentro do mesmo ambiente em que ficam o diagnóstico, o mapeamento de dados, os planos de ação, as requisições de titulares e as evidências da adequação, o que dá a ele visão completa do projeto e mantém todo o histórico registrado para a empresa.

A empresa escolhe o formato mais adequado ao seu momento:

• Plataforma: para quem já tem um responsável interno e precisa de estrutura para conduzir a adequação
• Plataforma com encarregado de dados: para quem quer um profissional especializado conduzindo o projeto junto com a equipe

Quer entender qual formato faz sentido para a sua empresa? Agende uma demonstração gratuita e converse com o nosso time. Se preferir começar por conta própria, faça o diagnóstico gratuito na Plataforma e descubra em que etapa da adequação a sua empresa está.

CLIQUE AQUI E AGENDE UMA DEMONSTRAÇÃO GRATUITA