Encarregado de dados (DPO): o que exige

O encarregado, chamado no mercado de DPO (data protection officer), é a pessoa que faz a ponte entre a empresa, os titulares dos dados e a ANPD. A LGPD exige que o controlador o indique, e a ANPD detalhou em 2024 como isso deve ser feito: ato formal, divulgação no site, autonomia técnica, regras de conflito de interesse. A função também tem um efeito prático na dosimetria de sanções: governança bem estruturada reduz a multa.

resposta curta

O controlador deve indicar encarregado e divulgar seu nome e contato no site (LGPD, art. 41; Resolução CD/ANPD nº 18/2024, arts. 3º e 9º). Pode ser pessoa natural, interna ou externa, ou pessoa jurídica, sem certificação obrigatória (arts. 12 e 14). Agentes de pequeno porte sem tratamento de alto risco são dispensados, mas precisam de canal com os titulares (Resolução CD/ANPD nº 2/2022, art. 11). Perante a ANPD, quem responde pela conformidade é a empresa, não o encarregado (art. 17).

Quem precisa indicar

Agente	Indicação do encarregado	Base
Controlador em geral	Obrigatória	LGPD, art. 41
Agente de pequeno porte sem tratamento de alto risco	Dispensada; deve haver canal de comunicação com o titular	Res. CD/ANPD nº 2/2022, arts. 3º e 11; Res. nº 18/2024, art. 3º, § 3º
Operador	Facultativa; conta como boa prática de governança	Res. CD/ANPD nº 18/2024, art. 6º
Órgãos e entidades públicos	Obrigatória, com publicação em diário oficial	Res. CD/ANPD nº 18/2024, art. 5º

Agentes de pequeno porte são microempresas, empresas de pequeno porte, startups, pessoas jurídicas de direito privado, inclusive sem fins lucrativos, pessoas naturais e entes despersonalizados que tratam dados como controladores ou operadores, desde que não realizem tratamento de alto risco nem ultrapassem os limites de receita do regulamento (Resolução CD/ANPD nº 2/2022, arts. 2º e 3º). Indicar encarregado mesmo quando dispensado conta como boa prática (art. 11, § 2º).

Como formalizar e divulgar

Ato formal: documento escrito, datado e assinado, com as formas de atuação e as atividades do encarregado, a ser apresentado à ANPD quando solicitado (Resolução CD/ANPD nº 18/2024, art. 3º).
Substituto: designado formalmente para ausências, impedimentos e vacâncias (art. 4º).
Divulgação: nome completo (ou nome empresarial e responsável, se pessoa jurídica) e meios de contato, em local de destaque e de fácil acesso no site; sem site, pelos meios usados para falar com os titulares (art. 9º).
Qualificação: definida pela própria empresa, conforme o contexto, o volume e o risco das operações (art. 7º).

O que o encarregado faz

As atividades básicas estão na LGPD e no regulamento: aceitar reclamações e comunicações dos titulares, receber comunicações da ANPD e adotar providências, e orientar funcionários e contratados (LGPD, art. 41, § 2º; Resolução CD/ANPD nº 18/2024, art. 15). O regulamento acrescenta a assistência na elaboração e implementação de (art. 16):

registro e comunicação de incidentes de segurança (veja vazamento de dados);
registro das operações de tratamento e relatório de impacto;
medidas de segurança e mecanismos internos de mitigação de riscos;
contratos que tratam de dados pessoais e transferências internacionais;
regras de boas práticas, governança e privacidade desde a concepção de produtos e serviços.

Deveres da empresa

A empresa deve dar ao encarregado recursos humanos, técnicos e administrativos, consultá-lo nas decisões estratégicas sobre dados, garantir autonomia técnica sem interferências indevidas, oferecer aos titulares meios rápidos de contato e assegurar acesso direto à alta direção (Resolução CD/ANPD nº 18/2024, art. 10). A responsabilidade pela conformidade continua sendo do agente de tratamento (art. 11), e o encarregado não responde por ela perante a ANPD (art. 17).

Conflito de interesse

O encarregado deve atuar com ética, integridade e autonomia técnica (art. 18). Pode acumular funções e atender mais de uma empresa, desde que consiga cumprir as atribuições e não haja conflito de interesse (art. 19). O conflito pode surgir entre atribuições internas, entre empresas atendidas ou quando o encarregado também toma decisões estratégicas sobre o tratamento de dados (art. 19, § 1º). Constatado o risco, a empresa deve não indicar a pessoa, adotar medidas para afastar o conflito ou substituí-la (art. 21), e o conflito pode levar a sanção da ANPD ao agente de tratamento (art. 19, § 2º).

Encarregado e dosimetria das sanções

A LGPD considera, na aplicação de sanções, a adoção de política de boas práticas e governança (art. 52, § 1º, IX), e o regulamento de dosimetria prevê redução de 20% da multa por boas práticas e governança implementadas até a decisão de primeira instância (Resolução CD/ANPD nº 4/2023, art. 13, II). A indicação de encarregado por operadores e por agentes de pequeno porte é expressamente considerada boa prática (Resolução CD/ANPD nº 18/2024, art. 6º; Resolução CD/ANPD nº 2/2022, art. 11, § 2º). Veja como a ANPD calcula a multa.

Checklist

Verifique se a empresa é obrigada ou se se enquadra como agente de pequeno porte sem tratamento de alto risco.
Escolha o encarregado considerando qualificação e conflito de interesse.
Formalize a indicação e o substituto por ato escrito, datado e assinado.
Divulgue nome e contato no site, em local de destaque.
Dê estrutura e acesso à alta direção, e registre as consultas ao encarregado nas decisões sobre dados.

Perguntas frequentes

Toda empresa precisa ter encarregado de dados?

O controlador deve indicar encarregado (LGPD, art. 41). Os agentes de tratamento de pequeno porte, como microempresas, empresas de pequeno porte, startups e entes despersonalizados, são dispensados, desde que não realizem tratamento de alto risco, mas devem manter um canal de comunicação com os titulares (Resolução CD/ANPD nº 2/2022, arts. 3º e 11). Para operadores, a indicação é facultativa e conta como boa prática (Resolução CD/ANPD nº 18/2024, art. 6º).

O encarregado pode ser uma empresa ou alguém de fora?

Sim. O encarregado pode ser pessoa natural, do quadro da empresa ou externa, ou pessoa jurídica (Resolução CD/ANPD nº 18/2024, art. 12). Não se exige inscrição em entidade nem certificação ou formação específica (art. 14).

Como formalizar a indicação do encarregado?

Por ato formal escrito, datado e assinado, com as formas de atuação e as atividades, que deve ser apresentado à ANPD quando solicitado (Resolução CD/ANPD nº 18/2024, art. 3º). Também deve haver substituto formalmente designado para ausências e vacâncias (art. 4º).

O encarregado responde pelas infrações da empresa?

Não perante a ANPD. O desempenho das atribuições não confere ao encarregado a responsabilidade pela conformidade do tratamento, que é do agente de tratamento (Resolução CD/ANPD nº 18/2024, arts. 11 e 17).

O encarregado pode acumular outras funções?

Pode, inclusive atender mais de uma empresa, desde que consiga cumprir as atribuições e não haja conflito de interesse. O conflito pode surgir, por exemplo, quando o encarregado também toma decisões estratégicas sobre o tratamento de dados, e pode levar a sanção ao agente de tratamento (Resolução CD/ANPD nº 18/2024, art. 19).