O encarregado de dados (DPO): o “tradutor” da LGPD na empresa
O encarregado pelo tratamento de dados pessoais — conhecido como DPO (Data Protection Officer) — é o canal de comunicação entre a empresa, os titulares dos dados e a ANPD. Não é necessariamente advogado nem técnico de TI: é quem organiza conformidade, orienta áreas e recebe demandas sobre privacidade.
A LGPD não exige DPO em todos os casos, mas a nomeação é fortemente recomendada para empresas que tratam dados em escala, dados sensíveis ou que querem demonstrar accountability perante clientes e parceiros.
Outros papéis: Controlador na LGPD: o que é, obrigações e importância para empresas · Operador de dados na LGPD: papel, contratos e importância na cadeia de fornecedores · LGPD: guia completo para empresas — lei, princípios, direitos e ANPD.
O que o encarregado faz na prática
- Canal com titulares — recebe pedidos de acesso, correção, eliminação (art. 18) e orienta prazos de resposta.
- Interface com ANPD — comunicações oficiais, esclarecimentos e procedimentos de fiscalização.
- Mapeamento e ROPA — inventário de tratamentos, bases legais, fluxos entre áreas.
- Políticas e treinamentos — privacidade, cookies, uso aceitável, conscientização anti-vazamento.
- Contratos — apoia revisão de DPAs com operadores e suboperadores.
- Incidentes — coordena avaliação de risco e comunicação quando há vazamento.
- Ponto focal interno — RH, marketing, TI e diretoria sabem a quem perguntar antes de comprar ferramenta nova.
Quando a nomeação é obrigatória
A lei e regulamentações da ANPD indicam obrigatoriedade em situações como tratamento em larga escala de dados sensíveis ou quando a atividade principal da organização consiste em tratamento de dados pessoais. Exemplos frequentemente citados:
- Operadores de saúde, financeiras e seguradoras em certos portes.
- Empresas cujo core business é tratamento de dados (bureaus, algumas plataformas digitais).
Para PMEs industriais, comércio ou serviços gerais, a obrigatoriedade formal pode não se aplicar — mas ter um responsável interno por privacidade (mesmo sem título “DPO”) reduz caos e acelera resposta a clientes corporativos.
DPO x TI x Jurídico: divisão saudável
| Função | Foco |
|---|---|
| Encarregado / DPO | Processos, titulares, ANPD, políticas, treinamento, coordenação |
| Jurídico | Bases legais, contratos, litígios, interpretação normativa |
| TI / Segurança | Controles técnicos, logs, backup, MFA, descarte, evidências |
| Controlador (diretoria) | Decisões de negócio, orçamento, cultura de conformidade |
O DPO não substitui firewall nem redige sozinho todo contrato — articula. Reunião trimestral DPO + TI + jurídico evita que novo SaaS entre sem avaliação LGPD.
Importância do DPO para empresas (mesmo PMEs)
Resposta rápida a titulares e clientes B2B
“Quem é seu contato LGPD?” em formulário de fornecedor não pode ficar em branco. DPO publicado no site (exemplo ITC) transmite maturidade.
Menos compras às cegas
Antes de contratar IA generativa, CRM ou WhatsApp API, o encarregado pergunta: onde ficam os dados, há suboperador, qual base legal?
Redução de multa e dano em incidente
Empresa com processo documentado e encarregado ativo demonstra boa-fé e accountability — fator relevante em sanções e negociação com ANPD.
Alinhamento com setores regulados
Advocacia, clínicas e contabilidade têm camadas extras de sigilo. Veja Advocacia no RS: proteção de dados, LGPD e TI para escritórios de advocacia.
Como nomear encarregado na prática
- Designar pessoa com autonomia e acesso à diretoria.
- Publicar canal de contato no aviso de privacidade (e-mail dedicado, ex.: privacidade@empresa.com.br).
- Registrar internamente atribuições e tempo dedicado.
- Capacitar com guias ANPD e Bases legais LGPD: quando cada hipótese se aplica (com exemplos para empresas).
- Envolver TI no LGPD na prática para PMEs: checklist de 12 pontos que TI precisa implementar.
Pode ser funcionário interno, consultor externo ou serviço compartilhado — desde que independência e canal estejam claros.
Erros ao tratar o papel de DPO
- Nomear “de fachada” sem tempo ou poder de influência.
- Acumular DPO + CISO + RH sem suporte — burnout e lacunas.
- Não publicar contato; titular não sabe como exercer direitos.
- Confundir DPO com operador de TI que só instala antivírus.
Perguntas frequentes
Preciso registrar DPO na ANPD?
Acompanhe orientações vigentes da ANPD sobre cadastro e comunicação de encarregados.
O TI pode ser DPO?
Pode, se houver independência e capacitação em privacidade — evite conflito quando TI é também quem implementa sem supervisão.
Empresa sem DPO está ilegal?
Depende do caso. Está mais exposta a desorganização e a questionamentos de clientes e autoridade.
Próximo passo?
Mapeie agentes: Agentes de tratamento na LGPD: como mapear controlador, operador e DPO na sua empresa. Suporte técnico ITC: contato.