|
Getting your Trinity Audio player ready...
|
O DPO na LGPD, chamado pela lei de encarregado pelo tratamento de dados pessoais, atua como canal entre a organização, os titulares e a Autoridade Nacional de Proteção de Dados. Em regra, o controlador deve indicá-lo por ato formal, divulgar sua identidade e manter um contato público. Agentes de pequeno porte podem receber dispensa, mas precisam cumprir condições específicas.
Desde julho de 2024, a Resolução CD/ANPD nº 18 detalha a indicação, as atividades e os deveres relacionados à função. Portanto, não basta publicar um e-mail genérico ou atribuir o cargo informalmente. A empresa precisa definir responsabilidades, dar recursos ao encarregado e impedir interferências indevidas em sua atuação.
O que é DPO na LGPD?
DPO é a sigla em inglês para Data Protection Officer. A legislação brasileira usa a expressão “encarregado pelo tratamento de dados pessoais”. O artigo 5º, inciso VIII, da Lei nº 13.709/2018 define essa pessoa como o canal de comunicação entre controlador, operadores, titulares e ANPD.
A função não transforma o profissional no único responsável pela conformidade. O controlador continua responsável pelas decisões sobre o tratamento, enquanto o operador deve seguir as instruções lícitas recebidas. O encarregado orienta, comunica e ajuda a integrar as áreas envolvidas.
Além disso, o DPO pode ser pessoa natural ou pessoa jurídica. A organização pode escolher um profissional interno, contratar um prestador externo ou adotar uma estrutura de equipe, desde que identifique formalmente quem exerce a função e assegure atendimento efetivo.
Quais empresas precisam indicar o encarregado?
A regra geral alcança os controladores sujeitos à LGPD. A Resolução CD/ANPD nº 18/2024 determina que o controlador indique o encarregado por meio de ato formal. Esse documento deve registrar as atribuições e as atividades que o profissional desenvolverá.
Operadores podem indicar encarregado de forma facultativa. Em operações complexas, essa escolha facilita a comunicação com clientes controladores e demonstra organização. Contudo, a indicação voluntária não altera, por si só, a posição jurídica de cada agente.
O porte da empresa, isoladamente, não encerra a análise. A dispensa decorre do regime específico aplicável aos agentes de tratamento de pequeno porte. Empresas que ultrapassam os limites de receita, integram grupo econômico maior ou realizam tratamento de alto risco podem perder o tratamento diferenciado.
DPO na LGPD para pequenas empresas: quando há dispensa?
O artigo 11 da Resolução CD/ANPD nº 2/2022 dispensa agentes de tratamento de pequeno porte da indicação do encarregado. A categoria pode abranger microempresas, empresas de pequeno porte, startups, entidades privadas sem fins lucrativos, pessoas naturais e entes privados despersonalizados.
No entanto, a empresa não pode aplicar a dispensa de forma automática. O regulamento exclui do benefício, entre outros, agentes que realizam tratamento de alto risco, ultrapassam os limites econômicos aplicáveis ou pertencem a grupo cuja receita global excede esses parâmetros.
O tratamento de alto risco exige a combinação de ao menos um critério geral e um específico previstos na resolução. Larga escala ou impacto significativo sobre direitos, por exemplo, precisam ser analisados ao lado de fatores como tecnologia emergente, vigilância, decisões automatizadas ou uso de dados sensíveis.
Mesmo dispensado de nomear um DPO na LGPD, o agente de pequeno porte deve oferecer canal de comunicação aos titulares e à ANPD. A dispensa também não elimina bases legais, transparência, segurança, atendimento de direitos ou outras obrigações da lei.
Como formalizar a indicação do DPO na LGPD
A indicação deve constar de ato formal da organização. O documento pode assumir a forma de contrato, ato administrativo ou instrumento de designação, conforme a natureza do agente. Ele deve demonstrar que a função existe e definir as atividades atribuídas.
Em seguida, o controlador precisa divulgar publicamente a identidade e os dados de contato do encarregado. Para pessoa natural, a regra exige o nome completo. Para pessoa jurídica, deve aparecer o nome empresarial ou o título do estabelecimento, acompanhado de canal capaz de receber comunicações.
A divulgação deve ser clara, objetiva, visível e atualizada. Em sites, a informação pode integrar a política de privacidade ou uma página própria, desde que o titular consiga encontrá-la sem esforço. Um formulário que não gera protocolo ou um endereço sem monitoramento não atende adequadamente à finalidade.
Também é recomendável nomear substituto para ausências e impedimentos. A continuidade do canal reduz atrasos e evita que férias, desligamentos ou mudanças contratuais interrompam o atendimento.
DPO na LGPD: quais são as atividades do encarregado?
O artigo 41 da LGPD e a regulamentação da ANPD atribuem ao encarregado atividades de comunicação e orientação. Entre elas estão:
- aceitar reclamações e comunicações dos titulares, prestar esclarecimentos e adotar providências;
- receber comunicações da ANPD e tomar as medidas necessárias;
- orientar funcionários e contratados sobre práticas de proteção de dados;
- executar outras atribuições definidas pelo agente ou por normas complementares.
A Resolução nº 18 também indica atividades como registrar incidentes e riscos relevantes, recomendar medidas preventivas, apoiar o registro das operações e orientar a elaboração de relatórios de impacto. Contudo, o encarregado atua dentro dos recursos e informações que a organização disponibiliza.
Por isso, a empresa precisa estabelecer fluxo interno. Áreas como tecnologia, segurança, jurídico, recursos humanos, marketing e atendimento devem saber quando envolver o DPO. Sem essa articulação, o canal existe apenas formalmente e não produz resposta útil.
Autonomia do DPO na LGPD e conflito de interesses
O agente de tratamento deve fornecer os meios humanos, técnicos e administrativos necessários ao desempenho da função. Também precisa garantir acesso às pessoas de maior nível hierárquico responsáveis pelas decisões estratégicas sobre dados pessoais.
Além disso, o encarregado deve atuar com ética, integridade e autonomia técnica. A organização não pode penalizá-lo por executar regularmente suas atividades. Ainda assim, autonomia não significa poder decisório absoluto: o controlador continua responsável pelas escolhas sobre finalidades e meios do tratamento.
Conflitos de interesses merecem atenção. Um diretor que decide como a empresa usa dados pode não ser a escolha mais adequada para fiscalizar e orientar a mesma decisão. A análise deve considerar a estrutura real, as atribuições acumuladas e a possibilidade de atuação independente.
DPO interno ou externo?
A regulamentação não obriga vínculo empregatício nem formação profissional específica. Também não existe certificação emitida pela ANPD ou registro obrigatório em associação privada. A escolha deve considerar competência, disponibilidade, independência e conhecimento das operações.
Um profissional interno conhece processos e pessoas, mas pode enfrentar acúmulo de funções. O prestador externo oferece experiência especializada e escalabilidade, porém depende de um fluxo eficiente de informações. A comparação detalhada entre DPO interno ou externo exige avaliar riscos e recursos da empresa.
Em ambos os modelos, o contrato ou ato de designação precisa definir escopo, disponibilidade, substituição, confidencialidade e forma de reporte. A função não deve ser reduzida a um pacote genérico de documentos.
O DPO substitui o programa de adequação?
Não. A conformidade depende de governança, inventário de dados, bases legais, segurança, contratos, procedimentos de atendimento e gestão de incidentes. O encarregado participa desse sistema, mas não executa sozinho todas as tarefas.
Por isso, a função deve se integrar a um programa de conformidade com a LGPD. O DPO ajuda a identificar lacunas e orientar prioridades, enquanto cada área assume as responsabilidades ligadas aos tratamentos que conduz.
Perguntas frequentes sobre DPO na LGPD
Toda empresa precisa de DPO?
Não. Agentes de tratamento de pequeno porte que atendam aos requisitos da Resolução nº 2/2022 podem ficar dispensados. Os demais controladores devem avaliar a obrigação segundo a LGPD e a Resolução nº 18/2024.
A ANPD exige certificação para atuar como DPO?
Não. A ANPD esclarece que não emite certificado profissional nem exige registro perante associações privadas. A organização deve avaliar qualificação, experiência e capacidade real de atuação.
O contato do encarregado precisa ficar no site?
Quando o controlador possui site, a divulgação pública nesse ambiente é a solução preferencial. A informação precisa ser clara, atualizada e fácil de localizar.
Uma pessoa jurídica pode exercer a função?
Sim. A Resolução nº 18 admite pessoa natural ou pessoa jurídica. Nesse caso, a divulgação deve identificar o nome empresarial ou o título do estabelecimento e informar o canal de contato.
Quem responde por uma infração à LGPD?
A responsabilidade depende da conduta e da posição de cada agente. A simples designação não transfere ao DPO toda a responsabilidade do controlador ou do operador. O caso concreto exige análise de decisões, orientações, recursos e medidas adotadas.
Conclusão: como estruturar a função corretamente
Antes de indicar ou dispensar o encarregado, a empresa deve classificar seu porte, mapear tratamentos de alto risco e documentar a decisão. Depois, precisa criar um canal efetivo, formalizar atribuições e garantir recursos para a atuação.
A Rocco & Canonica pode avaliar a obrigatoriedade, revisar o ato de designação e integrar a função ao programa de conformidade. Para estruturar o DPO na LGPD de modo proporcional e seguro, conheça a atuação do escritório em proteção de dados e LGPD.
