DPO na LGPD: o que faz o Encarregado de Dados e quem precisa ter

O DPO (Encarregado de Dados) é a pessoa que a empresa indica para conversar, em nome dela, com quem tem os dados tratados e com a Agência Nacional de Proteção de Dados (ANPD). A LGPD usa o termo "encarregado", e desde julho de 2024 a função tem um regulamento próprio da ANPD.

O que é o DPO (Encarregado de Dados)?

A LGPD define o encarregado como a pessoa indicada pelo controlador e pelo operador para ser o canal de comunicação entre o controlador, os titulares dos dados e a ANPD (Lei 13.709/2018, art. 5º, VIII).

Na prática, é para o encarregado que vai o pedido do cliente que quer saber quais dados a empresa guarda sobre ele, a reclamação do ex-funcionário que quer os dados apagados e o ofício da ANPD que pede explicações sobre um incidente. Ele recebe, encaminha para a área certa e garante que a resposta saia.

O que faz o encarregado de dados?

A LGPD lista quatro atividades no art. 41, § 2º, e a Resolução CD/ANPD nº 18/2024 repete essa lista no art. 15 e acrescenta, no art. 16, os temas em que o encarregado deve orientar e dar assistência à empresa:

Para que isso funcione, a empresa tem deveres com o encarregado: dar os recursos humanos, técnicos e administrativos de que ele precisa, consultá-lo antes de decisões estratégicas sobre dados, garantir autonomia técnica e acesso direto à alta direção (Res. 18/2024, art. 10).

Quem precisa indicar um DPO?

A regra geral está no art. 41 da LGPD: "O controlador deverá indicar encarregado pelo tratamento de dados pessoais." Controlador é quem toma as decisões sobre o tratamento, o que inclui praticamente toda empresa que tem funcionários, clientes ou uma lista de contatos.

Para o operador, que trata dados em nome de outra empresa, a indicação é opcional, e a ANPD a considera uma boa prática de governança (Res. 18/2024, art. 6º). Órgãos públicos também precisam indicar encarregado e publicar a indicação em diário oficial (Res. 18/2024, art. 5º).

A indicação precisa ser feita por ato formal: um documento escrito, datado e assinado, que diga quem é o encarregado, como ele vai atuar e quais atividades vai desempenhar. A ANPD pode pedir esse documento a qualquer momento (Res. 18/2024, art. 3º). A empresa também deve ter um substituto formalmente designado para férias, afastamentos e vacância (Res. 18/2024, art. 4º).

Empresa pequena precisa ter encarregado de dados?

Em regra, não. A Resolução CD/ANPD nº 2/2022, que regulamenta a LGPD para agentes de tratamento de pequeno porte, diz no art. 11 que eles "não são obrigados a indicar o encarregado". Em troca, precisam manter um canal de comunicação para atender os pedidos dos titulares.

Entram nessa categoria microempresas, empresas de pequeno porte, startups, pessoas jurídicas de direito privado (inclusive sem fins lucrativos) e pessoas naturais que tratam dados como controlador ou operador (art. 2º, I). A dispensa deixa de valer, porém, para quem (art. 3º):

• Faz tratamento de alto risco. A resolução considera de alto risco o tratamento que combina um critério geral, como larga escala, com um específico, como dados sensíveis, dados de crianças, adolescentes e idosos ou decisões automatizadas (art. 4º).
• Fatura acima do limite. A receita bruta não pode passar do limite de empresa de pequeno porte da Lei Complementar 123/2006 ou, para startups, do limite da Lei Complementar 182/2021.
• Faz parte de grupo econômico maior. Vale a receita global do grupo.

Quem é pequeno e indica um encarregado mesmo assim ganha um ponto a favor: a indicação conta como boa prática de governança, um dos critérios que a ANPD considera na hora de aplicar sanções (Res. 2/2022, art. 11, § 2º).

O DPO pode ser externo ou alguém de dentro da empresa?

Pode ser qualquer um dos dois. O encarregado pode ser uma pessoa do quadro da empresa, uma pessoa de fora ou uma pessoa jurídica, como um escritório ou uma consultoria (Res. 18/2024, art. 12). Se for pessoa jurídica, a empresa precisa divulgar também o nome da pessoa natural responsável (art. 9º, § 1º, II).

A ANPD não exige certificação, formação específica nem inscrição em entidade (art. 14). Cabe à empresa definir as qualificações, levando em conta o conhecimento de proteção de dados e o volume e o risco dos tratamentos (art. 7º). O encarregado também precisa se comunicar com clareza em português (art. 13).

E o conflito de interesse?

O regulamento define conflito de interesse como a situação que pode comprometer a objetividade e o julgamento técnico do encarregado (Res. 18/2024, art. 2º, II). O encarregado pode acumular funções e atender mais de uma empresa, desde que dê conta de todas e não haja conflito (art. 19). O conflito aparece, por exemplo, quando o encarregado também é quem toma as decisões estratégicas sobre o tratamento de dados (art. 19, § 1º, II).

O encarregado deve declarar à empresa qualquer situação que possa gerar conflito. Quando houver possibilidade de conflito, a empresa deve deixar de indicar a pessoa, tomar medidas para afastar o risco ou substituí-la, e o conflito confirmado pode resultar em sanção para a empresa (arts. 19, § 2º, 20 e 21).

Onde divulgar o contato do encarregado?

A identidade e o contato do encarregado precisam estar no site da empresa, "de forma clara e objetiva, em local de destaque e de fácil acesso" (Res. 18/2024, art. 9º). A divulgação inclui, no mínimo:

• Nome. O nome completo, se for pessoa natural, ou o nome empresarial e o nome da pessoa responsável, se for pessoa jurídica.
• Meio de contato. Um canal que permita ao titular exercer os seus direitos e à ANPD enviar comunicações, como um e-mail ou um formulário.

Quem não tem site pode divulgar por outros meios, de preferência os que já usa para falar com clientes e funcionários (art. 9º, § 3º). Essas informações precisam estar sempre atualizadas (art. 8º).

Como a Sincera ajuda

Parte do trabalho do encarregado é orientar o time, e é aí que a Sincera entra hoje. Na plataforma, você publica a política de privacidade e colhe a ciência de cada funcionário com assinatura eletrônica, distribui treinamentos sobre proteção de dados e envia comunicados quando uma regra muda. A inteligência artificial da Sincera responde as dúvidas do time com base nas políticas da empresa, o que poupa o encarregado das perguntas repetidas. Dá para começar grátis, sem cartão de crédito.