Papel do DPO (Encarregado): atribuições e perfil

O papel do DPO na organização

O DPO funciona como um hub de comunicação entre múltiplas áreas. Fala com jurídico sobre a base legal de coleta de dados, com TI sobre os controles técnicos necessários, com negócio sobre as finalidades de processamento, e com auditoria sobre o monitoramento de conformidade. Para isso, o DPO precisa ser diplomaticamente hábil e entender contextos diferentes sem ser dogmático. Um DPO que apenas diz "não faça nada para evitar risco" bloqueia o negócio; um DPO competente diz "como fazer isso de forma segura e conforme"^[1].

Na prática de mercado, o DPO é frequentemente chamado em três momentos: (1) quando há planos de coletar novos dados ou usar dados de forma diferente (avalia risco, propõe controles), (2) quando há incidente envolvendo dados pessoais (coordena resposta, comunica com ANPD), e (3) quando há auditoria ou conformidade (documenta decisões, evidencia controles).

Atribuições legais e operacionais

A LGPD exige que o DPO exercça funções consultivas: orientar a organização sobre obrigações de conformidade, monitorar o cumprimento, servir como ponto de contato com a Autoridade Nacional de Proteção de Dados (ANPD)^[2]. Além disso, o DPO deve manter registro de atividades de processamento (RIPD), coordenar comunicação de incidentes, e auxiliar em avaliações de impacto à proteção de dados.

Operacionalmente, o DPO também coordena treinamento de consciência de dados, valida políticas de privacidade, revisa contratos com fornecedores, e contribui no design de novos sistemas (privacy by design). Em empresas grandes, o DPO pode ter uma equipe de apoio; em empresas pequenas, pode ser uma responsabilidade acumulada com outra função.

Independência e conflito de interesse

Um ponto crítico é a independência do DPO. O Encarregado não deve ter funções que criem conflito de interesse — por exemplo, não deve estar subordinado ao responsável pelas decisões de processamento de dados. Na prática, isso significa que o DPO deve reportar a um nível estratégico e ter liberdade para questionar decisões operacionais. Uma boa estrutura garante que o DPO não seja "silenciado" por pressão política ou de negócio.

Internamente, a empresa deve estabelecer claramente que o DPO é conselheiro, não decisor. Decisões sobre coleta e processamento são responsabilidade de negócio; implementação de controles é responsabilidade de TI. O DPO facilita a conversa entre ambas as partes para que decisão seja informada.

Perfil ideal de um DPO

Um DPO competente não precisa ser advogado (embora conhecimento jurídico ajude). O perfil ideal combina: (1) conhecimento de LGPD e privacidade de dados, (2) compreensão de tecnologia (arquitetura de sistemas, criptografia, backup, auditoria), (3) entendimento de processos de negócio, e (4) habilidades de comunicação e negociação. Um DPO puro que entende lei mas não tecnologia costuma recomendar "não façam nada" por precaução; um DPO que entende tecnologia mas não lei cria risco de conformidade. A combinação equilibrada é efetiva.

Certificações (como LGPD Specialist, GDPR fundamentals) são valorizadas de forma crescente no mercado, mas não são obrigatórias. Experiência prática em conformidade (seja em compliance, segurança ou jurídico) é frequentemente mais relevante que apenas certificação. Alguns países exigem certificação formal de DPO; no Brasil, a LGPD não exige, mas há recomendação de qualificação apropriada^[3].

Estrutura de custo e modalidades

As opções de estrutura de DPO variam conforme o porte e complexidade. Empresas pequenas costumam terceirizar via consultoria mensal (custo: R$ 2–5 mil/mês). Empresas médias investem em DPO part-time interno (R$ 8–15 mil/mês) ou full-time com experiência menor (R$ 6–10 mil/mês). Empresas grandes com infraestrutura complexa têm DPO full-time sênior (R$ 12–20 mil/mês) ou até team dedicada.

A escolha entre interno e externo tem trade-offs: interno oferece continuidade e entendimento profundo da empresa, mas custa mais e exigir continuidade de conhecimento; externo é flexível no custo e traz perspectiva fresca, mas pode falta entendimento contextual. Muitas empresas combinam: DPO interno para operação diária, consultoria externa para auditoria ou temas especializados.

DPO não substitui segurança de TI

Um erro comum é confundir DPO (privacidade de dados) com segurança de TI. São funções distintas: DPO cuida que dados pessoais sejam processados conforme lei (consentimento apropriado, retenção correta, direitos honrados); TI segurança cuida que dados estejam protegidos contra acesso não autorizado (criptografia, firewall, intrusion detection). Ambos são necessários. A sobreposição existe (ambas lidam com dados), mas a perspectiva é diferente. Um DPO não deveria ser responsável por escolher ferramentas de criptografia (isso é TI); um especialista de TI não deveria decidir se consentimento foi apropriado (isso é DPO).