Encarregado de dados (DPO): função, responsabilidades e obrigatoriedade
O encarregado é a ponte entre a empresa, os titulares e a ANPD. Entenda o que a lei espera dessa figura e quando ela é obrigatória.
O encarregado pela proteção de dados, conhecido pela sigla DPO, do inglês data protection officer, está previsto no artigo 41 da LGPD. É a pessoa indicada pela empresa para ser o canal de comunicação entre a organização, os titulares dos dados e a ANPD. Numa adequação, é uma das figuras centrais, porque concentra a interlocução sobre privacidade.
Muita empresa trata a indicação do encarregado como uma formalidade e coloca qualquer nome no rodapé do site. A lei pede mais do que isso. Este guia explica o que o encarregado faz, quais são as suas responsabilidades e como a obrigatoriedade muda conforme o porte da empresa.
O que faz o encarregado
O artigo 41 define as atividades do encarregado. Ele recebe as reclamações e comunicações dos titulares, presta esclarecimentos e adota providências. Recebe as comunicações da ANPD e toma as medidas cabíveis. Orienta os funcionários e os contratados da empresa sobre as práticas de proteção de dados. E executa as demais atribuições definidas pelo controlador ou em normas complementares.
Na prática, o encarregado é quem responde quando um cliente quer saber quais dados a empresa tem sobre ele, quem organiza a resposta a um pedido de exclusão e quem interage com a autoridade se houver uma fiscalização ou um incidente. Para isso, precisa ter acesso à informação e algum trânsito interno, senão vira um nome sem função real.
A identidade do encarregado deve ser pública
A lei determina que a identidade e as informações de contato do encarregado sejam divulgadas publicamente, de forma clara e objetiva, de preferência no site da empresa. Isso existe para que qualquer titular saiba a quem recorrer. Um canal de contato escondido, ou que ninguém monitora, não cumpre o propósito.
Publicar o contato implica manter o canal funcionando. Se um titular escreve para o e-mail do encarregado e não recebe resposta, a empresa falha numa obrigação visível, que costuma ser justamente o ponto por onde chegam reclamações à ANPD. O canal precisa ter dono e prazo de resposta.
Encarregado interno, externo ou terceirizado
A LGPD não exige que o encarregado seja funcionário nem que tenha uma formação específica. Ele pode ser uma pessoa da própria empresa, um profissional externo contratado ou um serviço terceirizado. O que a lei quer é que a função seja exercida com independência suficiente para não haver conflito de interesse, e com competência para orientar e responder.
Cada arranjo tem prós. Um encarregado interno conhece a operação por dentro. Um externo traz distância e especialização. O risco a evitar é o conflito de interesse, como colocar como encarregado alguém que decide sozinho sobre os tratamentos que deveria fiscalizar. Independência é o critério que importa mais do que o vínculo.
Obrigatoriedade e o caso do pequeno porte
A regra geral do artigo 41 é que o controlador indique um encarregado. O parágrafo terceiro, porém, permite que a ANPD estabeleça em quais casos a indicação pode ser dispensada, conforme a natureza e o porte da entidade ou o volume de tratamento. Foi o que a autoridade fez para os menores.
A Resolução CD/ANPD nº 2/2022 dispensa os agentes de tratamento de pequeno porte da indicação obrigatória do encarregado. Em contrapartida, esses agentes precisam manter um canal de comunicação com os titulares. Vale notar que indicar um encarregado mesmo estando dispensado conta como boa prática de governança, e a lei lista a adoção de medidas assim entre os fatores que a ANPD considera ao aplicar sanções.
Como estruturar o canal de atendimento do encarregado
Publicar o contato do encarregado é o começo; o que sustenta a função é um canal que funciona como processo. Isso significa um endereço dedicado, alguém responsável por acompanhá-lo todos os dias, um prazo interno para dar a primeira resposta e um registro de cada contato recebido. Um canal sem dono acumula mensagens sem resposta, e é por aí que costuma chegar uma reclamação à ANPD.
Registrar cada atendimento
Vale registrar o que entra e o que sai do canal: quem procurou, quando, qual pedido fez, como a identidade foi confirmada, o que foi respondido e em que data. Esse histórico serve de evidência de que a empresa atendeu, ajuda a reconhecer pedidos repetidos e mostra à autoridade, se ela perguntar, que o canal opera de verdade.
protocolo: identificador interno do atendimento
data_do_contato: quando o titular procurou o canal
solicitacao: o que o titular pediu
identidade: como a identidade foi confirmada
tratativa: o que foi feito internamente
resposta_enviada: conteúdo e data da resposta
status: aberto, em andamento ou concluídoO registro não precisa de ferramenta cara. Uma planilha organizada ou um sistema de chamados já cumprem o papel, desde que sejam mantidos e protegidos, porque eles próprios contêm dados pessoais de quem procurou a empresa.
Documentar a função e preparar a substituição
A LGPD pede que o contato do encarregado seja público, e a governança pede que a função esteja documentada por dentro. Formalizar por escrito quem é o encarregado, qual o escopo das suas atribuições e a quem ele se reporta evita que a figura fique no papel sem conteúdo real. Esse documento também deixa claro que o encarregado tem acesso à informação e trânsito para orientar e questionar tratamentos.
- Quem exerce a função e desde quando
- O escopo das atribuições e os limites da atuação
- A quem o encarregado se reporta dentro da empresa
- Como o encarregado é acionado em um incidente
- Quem responde pelo canal quando o titular procura
Falta comum é a função parar quando a pessoa sai de férias ou deixa a empresa. Prever um substituto e manter o registro dos atendimentos em um lugar acessível evita que o canal fique mudo justamente no período de ausência. Continuidade é parte de manter o canal funcionando, não um detalhe.
Checklist prático
- Indicar um encarregado ou, se for pequeno porte, manter o canal de contato
- Divulgar a identidade e o contato do encarregado no site
- Garantir que o canal do encarregado tenha dono e prazo de resposta
- Dar ao encarregado acesso à informação e trânsito interno
- Evitar conflito de interesse na escolha do encarregado
- Definir por escrito as atribuições do encarregado
- Registrar cada atendimento a titular com protocolo, data e status
- Formalizar a designação do encarregado por escrito, com escopo e reporte
- Prever um substituto para os períodos de ausência do encarregado
Boas práticas
- Escolha o encarregado pela independência, não só pelo cargo
- Mantenha o canal de contato monitorado de verdade
- Dê ao encarregado autonomia para orientar e questionar tratamentos
- Considere indicar um encarregado mesmo quando dispensado
- Documente as atribuições para que a função não fique vaga
- Trate o canal do encarregado como processo, com dono, prazo e registro
- Formalize a designação e revise as atribuições quando a operação mudar
Erros comuns
Indicar um nome sem dar acesso nem autonomia
O encarregado não consegue responder aos titulares nem à ANPD.
Publicar um canal que ninguém monitora
Titulares sem resposta recorrem à ANPD, gerando reclamações.
Colocar como encarregado quem decide sobre os tratamentos
O conflito de interesse enfraquece a fiscalização interna.
Achar que pequeno porte não precisa de canal de contato
Mesmo dispensado do encarregado, o agente precisa manter o canal.
Não registrar os atendimentos feitos pelo encarregado
A empresa perde a evidência de que respondeu e não demonstra diligência.
Deixar a função sem substituto durante férias ou após uma saída
O canal fica sem resposta no período de ausência e acumula pendências.
Quando procurar apoio especializado
O encarregado precisa de fatos técnicos para responder bem: onde os dados estão, quem acessou, o que um incidente atingiu. A GUARDIASEC dá esse suporte técnico ao encarregado, com mapeamento, análise de exposição e evidência de acessos, para que a interlocução com titulares e com a ANPD se apoie em dados concretos.
Para aprofundar: cursos recomendados
Estes cursos gratuitos do Valor Final ajudam a levar o assunto deste guia da teoria para a prática, no seu ritmo.
Curso de LGPD Essencial
GratuitoCurso gratuito de LGPD para quem trabalha em empresa. Mostra na prática o que pode e o que não pode ser feito com dados de clientes, colegas e fornecedores, em linguagem simples e com fontes oficiais.
Valor FinalCursos do Valor Final
CertificadoPortal de cursos online gratuitos, com certificado ao concluir. A trilha de privacidade e proteção de dados começa pelo curso de LGPD e ganha novos cursos com o tempo.
Valor FinalPerguntas frequentes
Toda empresa precisa ter um encarregado?
A regra geral é indicar um encarregado, mas há flexibilidade. A Resolução CD/ANPD nº 2/2022 dispensa os agentes de tratamento de pequeno porte dessa obrigação, desde que mantenham um canal de comunicação com os titulares. Empresas fora desse regime devem indicar o encarregado e divulgar seu contato publicamente. Mesmo dispensado, indicar conta como boa prática.
O encarregado precisa ser advogado?
Não. A LGPD não exige formação específica nem vínculo empregatício. O encarregado pode ser interno, externo ou terceirizado, e o que a lei valoriza é a capacidade de exercer a função com independência e competência para orientar e responder. Conhecimento jurídico ajuda, mas a função é de interlocução e governança, não só de direito.
Posso terceirizar o encarregado?
Sim. É comum contratar um encarregado externo ou um serviço especializado, sobretudo em empresas menores que não têm alguém internamente com o perfil. O cuidado é garantir que o terceirizado tenha acesso à informação e trânsito interno suficientes para responder aos titulares e à ANPD, e que não haja conflito de interesse.
O que o encarregado faz num incidente de dados?
Ele costuma coordenar a comunicação exigida pela lei. É o encarregado quem, em geral, protocola o comunicado à ANPD e organiza o aviso aos titulares afetados dentro do prazo de três dias úteis definido pela Resolução ANPD nº 15/2024. Para isso, precisa receber rapidamente os fatos técnicos sobre o que aconteceu e quais dados foram atingidos.
O encarregado precisa se dedicar em tempo integral?
Não necessariamente. A LGPD não fixa carga horária, e em muitas empresas o encarregado acumula a função com outras atividades. O que importa é ter tempo real para acompanhar o canal, orientar o time e responder à ANPD, e não haver conflito de interesse com o que ele deveria fiscalizar. Em operações com muito volume de pedidos, a função tende a exigir mais dedicação.
Preciso formalizar a indicação do encarregado por escrito?
A lei exige divulgar o contato do encarregado publicamente. Formalizar a indicação por dentro, com o escopo das atribuições e a quem ele se reporta, não é uma exigência de forma, mas conta como boa prática de governança e serve de evidência de que a função existe de verdade. Esse registro também deixa claro o acesso e a autonomia que o encarregado tem.
O que devo registrar sobre cada atendimento a um titular?
Vale guardar um protocolo, a data do contato, o pedido feito, como a identidade foi confirmada, o que foi respondido e quando. Esse histórico é a evidência de que a empresa atendeu dentro do que a lei espera, ajuda a reconhecer pedidos repetidos e sustenta a resposta caso a ANPD questione. O próprio registro contém dados pessoais e precisa ser protegido.
Guias relacionados
Próximo passo
Vamos avaliar os riscos do seu ambiente?
Conte seu cenário e definimos juntos o escopo certo. O objetivo é reduzir caminhos prováveis de ataque e elevar a maturidade de segurança, sem promessas absolutas.