Toda empresa que trata dados pessoais ouve falar do encarregado, o DPO, e logo vem a dúvida: preciso contratar alguém só para isso? Quase nunca. Mas ignorar o papel é que costuma custar caro.
Desde que a LGPD pegou para valer, recebo uma pergunta recorrente de empresários: tenho que ter um DPO? A sigla vem do inglês, data protection officer, e na nossa lei o nome é encarregado pelo tratamento de dados pessoais. O que percebo é que a maioria trata o assunto em dois extremos errados. Uns acham que precisam contratar um profissional caríssimo e dedicado. Outros acham que, por serem pequenos, nada disso vale para eles. Os dois estão enganados, e entender o meio-termo é o que protege o negócio de verdade.
O encarregado é a ponte. Ele liga a empresa aos titulares dos dados, aquelas pessoas cujos dados você coleta, e à Autoridade Nacional de Proteção de Dados, a ANPD. Não é um cargo decorativo nem um nome no organograma. É uma função com atribuições concretas, definidas no artigo 41 da LGPD.
Aqui é onde mora a maior confusão. A LGPD, na sua redação original, deu a entender que toda organização que trata dados precisaria indicar um encarregado. Mas a própria ANPD, ao regulamentar o tema para agentes de pequeno porte, trouxe alívio: a microempresa, a empresa de pequeno porte, a startup e entidades semelhantes podem ficar dispensadas de indicar formalmente o encarregado, desde que ofereçam um canal de comunicação com os titulares.
Dispensa de indicar o encarregado não é dispensa de cuidar dos dados. Mesmo a empresa pequena que não nomeia um DPO precisa ter um canal claro para o titular pedir acesso, correção ou exclusão dos dados, e precisa responder. Ou seja, o nome do cargo pode cair, mas a obrigação de fundo continua de pé. É isso que muita gente não enxerga.
| Perfil | Indicar encarregado? | O que não pode faltar |
|---|---|---|
| Grande empresa ou alto risco | Sim, fortemente recomendado e esperado | Encarregado formal, contato público, governança de dados |
| Tratamento sensível ou em larga escala | Sim, prática consolidada | Encarregado com autonomia e estrutura de apoio |
| Micro e pequeno porte, startup | Pode ser dispensado pela regra da ANPD | Canal de atendimento ao titular sempre ativo |
Decidido que vale ter o encarregado, vem a próxima pergunta prática. A boa notícia é que a lei dá liberdade. O encarregado pode ser uma pessoa física ou jurídica, funcionário do quadro ou prestador externo. Cada caminho tem o seu encaixe.
Na minha leitura, para a maioria das empresas médias o modelo terceirizado ou híbrido é o mais inteligente. Você ganha o conhecimento de quem vive o tema, evita o conflito de interesses de pôr o gestor de marketing como DPO e não precisa criar um salário fixo só para uma função que, bem estruturada, não consome o dia inteiro.
Empresa que nomeia o encarregado, coloca o e-mail dele no site e acha que cumpriu a LGPD. O encarregado é a vitrine, não a casa toda. Sem mapeamento de dados, base legal para cada tratamento, contratos ajustados e plano de resposta a incidente, o DPO vira para-raios sem aterramento. Quando a ANPD ou um titular bate, ele aparece sozinho na chuva.
Resumindo o que oriento: o encarregado não é burocracia, é a peça que organiza o relacionamento da empresa com quem confia os dados a ela. Saber se você precisa nomear, se vale terceirizar e o que não pode faltar em volta dessa função é uma decisão de risco, não de papelada. E é justamente nesse desenho, antes de qualquer incidente, que ter um bom jurídico ao lado evita um problema bem mais caro lá na frente.