Encarregado (DPO): atribuições e quando é obrigatório
Encarregado é a pessoa indicada para ser o canal de comunicação entre a empresa, os titulares dos dados e a ANPD. É o nome que a LGPD dá ao papel que o mercado chama de DPO, sigla de data protection officer. É quem responde quando um cliente pergunta o que você faz com os dados dele e quando a autoridade envia um ofício.
O art. 5º, VIII, e o art. 41
O art. 5º, VIII, define o encarregado como a pessoa indicada pelo controlador e pelo operador para atuar como canal de comunicação entre controlador, titulares e ANPD. O art. 41 completa: o controlador deve indicar o encarregado, e a identidade e o contato dele precisam ser divulgados publicamente, de forma clara e objetiva, preferencialmente no site.
As atribuições do § 2º
O art. 41, § 2º, lista:
- aceitar reclamações e comunicações dos titulares, prestar esclarecimentos e adotar providências;
- receber comunicações da ANPD e adotar providências;
- orientar funcionários e contratados sobre as práticas de proteção de dados;
- executar as demais atribuições definidas pelo controlador ou por normas complementares.
Traduzido para a rotina de uma PME: manter o inventário de tratamentos, revisar contratos com fornecedores que recebem dados, responder pedidos de titular dentro do prazo e ser avisado antes de a agência instalar um pixel novo.
Quem é obrigado a indicar
A regra geral do art. 41 vale para todo controlador. A exceção relevante para empresa pequena está na Resolução CD/ANPD nº 2/2022: agentes de tratamento de pequeno porte ficam dispensados de indicar encarregado, desde que disponibilizem um canal de comunicação com o titular. A dispensa alcança a figura, e o atendimento continua obrigatório.
Pequeno porte, na resolução, é microempresa, empresa de pequeno porte, startup ou entidade sem fins lucrativos, desde que não faça tratamento de alto risco nem em larga escala. Loja que rastreia visitante para publicidade comportamental costuma cair fora da dispensa.
Interno ou terceirizado
A lei não exige diploma de direito, dedicação exclusiva nem vínculo empregatício. Muitas empresas menores contratam encarregado externo, o que funciona quando a pessoa tem acesso real à operação e autonomia para ser ouvida. Um nome indicado sem acesso aos sistemas e sem tempo para o papel deixa a obrigação formalmente cumprida e materialmente vazia.
Vale escrever no contrato o tempo de resposta esperado e quem dentro da empresa fornece a informação, porque a responsabilidade pelo atendimento continua sendo do controlador, e não do prestador que ele contratou.
A montagem numa loja de dez funcionários
Um sócio ou o responsável de TI assume o papel, um endereço como
privacidade@sualoja.com.br vai para o rodapé e para a política de privacidade, e existe um
documento de uma página com o mapa dos tratamentos: plataforma de e-commerce, gateway de
pagamento, ferramenta de e-mail, ferramentas de mensuração. Quando chega um pedido de
titular, esse mapa é a diferença entre responder em dois dias e improvisar em quinze.
Nomear sem divulgar
O art. 41, § 1º, cobra divulgação pública, e encarregado que só existe no organograma interno não cumpre a função de canal. Variante frequente do mesmo problema é publicar o contato numa página que não aparece no rodapé e que a busca do site não encontra.
Vale um cuidado adicional: o encarregado atende titulares, não substitui o jurídico e não carrega sozinho a responsabilidade do controlador, que continua sendo da empresa.
Termos relacionados
Continue lendo
Legítimo interesse: limites e teste de balanceamento
A base legal do art. 7º, IX, os limites do art. 10, o teste de balanceamento e por que ela não sustenta cookie de marketing segundo a ANPD.
LGPD: o que é a Lei Geral de Proteção de Dados Pessoais
O que a Lei 13.709/2018 exige, a quem ela se aplica, as diferenças reais para a GDPR e o que isso muda no site de quem vende online.
Opt-in e opt-out: por que o Brasil só admite opt-in
O que muda entre pedir permissão antes e presumir o aceite até a pessoa sair, e por que cookie não essencial no Brasil só admite opt-in.
Titular de dados: quem é e os nove direitos do art. 18
Quem a LGPD chama de titular, os nove direitos do art. 18, os prazos de resposta do art. 19 e por que o visitante anônimo também é titular.