Como este tema funciona no porte da sua empresa
A designação formal de encarregado não é obrigatória para todos os portes — a ANPD publica critérios orientativos que devem ser verificados. Mesmo sem DPO formal, a empresa precisa de alguém responsável por privacidade internamente. Em geral é o próprio gestor administrativo ou sócio, com apoio de assessoria jurídica externa para as decisões mais complexas.
Com volume maior de dados e mais operações de tratamento, a designação de encarregado passa a ser mais relevante — pode ser um funcionário interno com dedicação parcial ou um serviço de DPO as a Service. O gestor administrativo é o principal interlocutor do DPO nas rotinas do back-office.
O DPO tende a ser interno e dedicado, ou há equipe de privacidade. O gestor administrativo garante que novos processos, contratos e sistemas passem pela revisão do DPO antes de entrar em operação, e alimenta o inventário de dados conforme o programa de privacidade estabelecido.
O encarregado de dados — também chamado de DPO, sigla do inglês Data Protection Officer — é o responsável por ser o canal entre a empresa, os titulares e a ANPD. Ele orienta internamente sobre proteção de dados, recebe solicitações de titulares, acompanha o cumprimento das práticas de privacidade e comunica incidentes à ANPD quando necessário. O DPO não precisa ser advogado e pode ser um funcionário interno ou um profissional ou empresa externa (DPO as a Service). O gestor administrativo não é o DPO — mas trabalha diretamente com ele no dia a dia operacional.
O que o DPO faz na prática — e o que não é papel dele
O DPO orienta e monitora a conformidade com a LGPD, mas não executa a adequação. Ele não é quem faz o mapeamento de dados, revisa contratos ou ajusta formulários — esse trabalho é do gestor administrativo e das áreas responsáveis. O DPO é o árbitro interno das decisões de privacidade e o ponto de contato para o mundo externo.
As funções principais do DPO no back-office incluem:
- Ponto de contato para titulares: os pedidos de acesso, exclusão, correção e outros direitos chegam ao DPO — que os distribui internamente ou os responde diretamente.
- Ponto de contato para a ANPD: toda comunicação formal com o órgão regulador passa pelo DPO, incluindo a comunicação de incidentes de dados.
- Orientação interna sobre privacidade: quando o gestor tem dúvida sobre como tratar um dado novo ou sobre a base legal de uma situação, o DPO é quem orienta.
- Revisão de novos processos e contratos: antes de um novo sistema entrar em operação ou um novo fornecedor ser contratado para processar dados, o DPO revisa se há impacto sobre privacidade.
- Comunicação de incidentes: quando ocorre um incidente de dados, o DPO avalia se é necessário comunicar à ANPD e como fazê-lo.
Quando a designação do DPO é recomendada
A ANPD define os critérios e orienta sobre a obrigatoriedade da designação do encarregado — verificar sempre as orientações vigentes do órgão, pois podem ser atualizadas. Para o gestor administrativo, o que importa é entender os sinais que indicam que a empresa se beneficiaria de um DPO formal, independentemente de obrigação estrita.
Como referência prática, a designação de encarregado formal tende a ser mais relevante quando a empresa: trata dados em grande escala (muitos titulares ou grande volume de dados por titular), trata dados sensíveis de forma sistemática (dados de saúde, biometria, dados de crianças), compartilha dados com múltiplos parceiros e prestadores, ou transfere dados internacionalmente. Mas em qualquer caso, ter um responsável interno pela privacidade — mesmo que informal — é a conduta recomendada.
A ANPD publicou orientações específicas sobre quando a designação é obrigatória e quais portes ou situações têm tratamento diferenciado. Para a decisão definitiva sobre o porte da empresa, consultar as orientações atuais da ANPD e o assessor jurídico.
DPO interno versus DPO as a Service: como escolher
A escolha entre DPO interno e DPO externo (as a Service) depende do volume de trabalho, da complexidade dos dados e do custo-benefício para a empresa.
| Dimensão | DPO interno | DPO as a Service |
|---|---|---|
| Custo | Salário + encargos (dedicação parcial ou integral) | Contrato mensal, geralmente menor que CLT dedicado |
| Disponibilidade | Presencial, com conhecimento da cultura da empresa | Disponível por contrato (SLA definido), remoto na maioria dos casos |
| Expertise | Varia com o perfil do funcionário designado | Especializado, com experiência em múltiplos clientes e setores |
| Continuidade | Dependente da permanência do funcionário | Contínua enquanto o contrato vigora, sem dependência de pessoa |
| Quando faz sentido | Empresa com volume alto de demandas de privacidade, dados sensíveis em escala, que justifica dedicação significativa | Empresa de pequeno e médio porte, volume moderado de demandas, que quer expertise sem o custo de uma contratação CLT dedicada |
Como o gestor administrativo trabalha com o DPO no dia a dia
O gestor administrativo é o principal interlocutor do DPO dentro da empresa. A relação é de parceria operacional: o gestor fornece as informações e executa os ajustes; o DPO orienta e valida as decisões.
- Alimentar o inventário de dados: o gestor comunica ao DPO novos dados que a empresa passou a coletar, novos sistemas e novos fornecedores que acessam dados, para que o inventário seja atualizado.
- Acionar antes de contratar fornecedor que acessa dados: antes de fechar contrato com qualquer prestador que vai processar dados pessoais da empresa, o gestor aciona o DPO para verificar se o contrato tem cláusulas de operador adequadas e se o prestador tem as garantias necessárias.
- Encaminhar solicitações de titulares: pedidos de acesso, exclusão ou correção recebidos pelo gestor são encaminhados ao DPO ou respondidos conforme o fluxo definido pelo DPO.
- Notificar incidentes internamente: qualquer suspeita de incidente de dados — acesso indevido, compartilhamento por engano, dado exposto — é comunicada imediatamente ao DPO para avaliação e decisão sobre as próximas etapas.
- Garantir que os dados de contato do DPO estejam publicados: o contato do encarregado precisa estar na política de privacidade e acessível no site. O gestor verifica que essa informação está correta e atualizada.
DPO as a Service: o que esperar e como contratar
O DPO as a Service é um serviço contratado de encarregado externo — uma consultoria ou profissional especializado que assume as responsabilidades do DPO por contrato. É a modalidade mais adotada por empresas de pequeno e médio porte que precisam de expertise sem o custo de uma contratação dedicada.
No contrato de DPO as a Service, o gestor deve atentar para os seguintes pontos:
- Escopo do serviço: o que está incluído — atendimento a titulares, comunicação com a ANPD, revisão de contratos, treinamentos, orientação sobre incidentes. O que está fora do escopo precisa estar claro para evitar surpresas.
- SLA de atendimento: em quanto tempo o DPO externo responde a solicitações urgentes — incidentes, por exemplo. SLA não definido é risco operacional.
- Canal de acionamento: como o gestor contata o DPO quando precisa — e-mail, WhatsApp, sistema de chamados. Em situações de incidente, o canal precisa ser rápido.
- Publicação do contato: o nome e e-mail do encarregado externo precisam estar publicados na política de privacidade da empresa. Verificar se o prestador aceita essa exposição e qual e-mail usa para esse fim.
Sinais de que sua empresa precisa definir ou contratar um encarregado de dados
Se você se reconhece em três ou mais cenários abaixo, a empresa provavelmente não tem a estrutura mínima de responsabilidade por privacidade que a LGPD pressupõe.
- A empresa não tem ninguém designado como responsável por privacidade e proteção de dados.
- Os dados de contato do encarregado não estão publicados na política de privacidade nem no site.
- Solicitações de titulares chegam por canais variados e não têm responsável definido para atender.
- Novos fornecedores que acessam dados da empresa são contratados sem revisão prévia de privacidade.
- A empresa não sabe como comunicar a ANPD em caso de incidente de dados — não sabe para onde enviar nem o que informar.
Caminhos para designar ou contratar um encarregado de dados
A empresa pode designar um responsável interno ou contratar DPO as a Service — a escolha depende do volume de demandas, do perfil disponível internamente e do custo-benefício.
Designar um funcionário interno — de qualquer área — para assumir o papel de encarregado com dedicação parcial, com treinamento e apoio de assessoria jurídica para as questões mais complexas.
- Perfil necessário: funcionário com capacidade de aprendizado, organização e comunicação. Não precisa ser advogado — precisa de treinamento específico em privacidade de dados.
- Tempo estimado: de 4 a 8 semanas para capacitar e estruturar o processo interno.
- Faz sentido quando: volume moderado de demandas de privacidade, empresa que quer manter o controle internamente e tem funcionário com perfil adequado.
- Risco principal: saída do funcionário designado — o processo precisa estar documentado para não depender de uma única pessoa.
Contratar DPO as a Service — consultoria ou profissional especializado que assume as responsabilidades do encarregado por contrato.
- Tipo de fornecedor: DPO as a Service, Consultoria em LGPD/Compliance, Consultoria Jurídica.
- Vantagem: expertise especializada disponível imediatamente, sem custo de contratação CLT, continuidade independente de pessoas internas.
- Faz sentido quando: empresa sem perfil interno adequado, necessidade de expertise técnica e jurídica, ou quando o custo-benefício é melhor que contratar internamente.
- Resultado típico: encarregado designado e publicado na política de privacidade em 2 a 4 semanas, com processo de atendimento e comunicação com a ANPD estruturado.
Precisa de apoio para designar ou contratar um encarregado de dados para sua empresa?
Se definir o DPO virou prioridade, o oHub conecta sua empresa, de forma gratuita, a prestadores de DPO as a Service e consultoria em LGPD. Em menos de 3 minutos você descreve a necessidade e recebe propostas, sem compromisso.
Encontrar fornecedores de Gestão no oHub
Sem custo, sem compromisso. Você recebe propostas e decide se e com quem avançar.
Perguntas frequentes
O que é o encarregado de dados na LGPD?
O encarregado de dados (DPO) é o responsável por ser o canal entre a empresa, os titulares e a ANPD. Ele orienta internamente sobre proteção de dados, recebe solicitações de titulares, acompanha o cumprimento das práticas de privacidade e comunica incidentes à ANPD quando necessário. Pode ser um funcionário interno ou um profissional ou empresa externa (DPO as a Service).
Toda empresa é obrigada a ter um DPO?
A ANPD define os critérios de obrigatoriedade e publica orientações que podem ser atualizadas. A obrigatoriedade depende de características como o volume e a sensibilidade dos dados tratados. O recomendado é verificar as orientações vigentes da ANPD e, para a decisão definitiva sobre o porte da empresa, consultar o assessor jurídico. Mesmo sem obrigação formal, ter um responsável interno pela privacidade é uma prática recomendada para qualquer empresa que trate dados pessoais.
Qual a diferença entre DPO interno e DPO externo?
O DPO interno é um funcionário da empresa designado para o papel, com conhecimento da cultura e dos processos internos, mas com custo de contratação e dependência de uma pessoa específica. O DPO externo (DPO as a Service) é um profissional ou empresa especializada contratada, com expertise acumulada em múltiplos clientes, custo geralmente menor que CLT dedicado e continuidade independente de pessoas internas. A escolha depende do volume de demandas, da complexidade dos dados e do custo-benefício de cada opção.
O que faz o encarregado de dados na empresa?
O encarregado recebe solicitações de titulares (acesso, correção, exclusão), comunica incidentes à ANPD quando necessário, orienta internamente sobre como tratar situações de privacidade, revisa novos processos e contratos com impacto em dados pessoais, e mantém o canal de comunicação com o órgão regulador. Ele orienta — não executa a adequação, que é responsabilidade do gestor administrativo e das áreas.
Como o gestor administrativo trabalha com o DPO?
O gestor alimenta o inventário de dados com as mudanças de processo, aciona o DPO antes de contratar fornecedores que acessam dados, encaminha solicitações de titulares recebidas, notifica incidentes internamente e garante que os dados de contato do DPO estejam publicados e atualizados na política de privacidade. A relação é de parceria operacional: o gestor executa, o DPO orienta e valida.
Fontes e referências
- Autoridade Nacional de Proteção de Dados (ANPD). Guia Orientativo para Definições dos Agentes de Tratamento de Dados Pessoais e do Encarregado. Brasília: ANPD. Disponível em: gov.br/anpd.
- Brasil. Lei nº 13.709, de 14 de agosto de 2018 — Lei Geral de Proteção de Dados Pessoais. Brasília: Presidência da República. Disponível em: planalto.gov.br.