DPO Terceirizado: o que Faz o Encarregado de Dados na PME

Um cliente pede a exclusão dos seus dados. Um e-mail da ANPD chega solicitando informações. Um notebook com a planilha de clientes é furtado. Em cada uma dessas situações, alguém dentro da empresa precisa saber o que fazer e em quanto tempo. Essa pessoa é o encarregado pelo tratamento de dados pessoais, conhecido pela sigla em inglês DPO (Data Protection Officer). Para entender como essa função se encaixa num programa de compliance, conheça a área de Compliance Empresarial para PMEs.

Toda empresa precisa indicar um encarregado de dados?

Não. A regra geral do art. 41 da LGPD obriga o controlador a indicar encarregado, mas a ANPD dispensou dessa obrigação os agentes de tratamento de pequeno porte, como microempresas, empresas de pequeno porte e startups, desde que não realizem tratamento de alto risco e se enquadrem nos critérios da Resolução CD/ANPD nº 2/2022.

A dispensa não é uma isenção completa. A empresa dispensada deve disponibilizar um canal de comunicação com o titular de dados (Resolução CD/ANPD nº 18/2024, art. 3º, § 3º) e continua sujeita às demais obrigações da LGPD, como atender pedidos de titulares e comunicar incidentes de segurança. E a indicação voluntária de encarregado é vista pela própria lei como boa prática de governança, o que pode ser considerado na dosimetria de eventual sanção (art. 52, § 1º, IX, da LGPD).

O que o encarregado faz na prática?

A LGPD define quatro atribuições básicas no art. 41, § 2º, e a Resolução CD/ANPD nº 18/2024 detalhou como elas devem ser exercidas. No dia a dia de uma pequena ou média empresa, isso se traduz assim:

Na gestão de incidentes, o prazo é curto. A comunicação de incidente que possa acarretar risco ou dano relevante aos titulares deve ser feita à ANPD e aos titulares em três dias úteis, conforme o Regulamento de Comunicação de Incidente de Segurança (Resolução CD/ANPD nº 15/2024). Sem alguém preparado para conduzir esse processo, o prazo costuma se esgotar antes de a empresa entender o que aconteceu.

O encarregado pode ser terceirizado?

Pode. A Resolução CD/ANPD nº 18/2024 admite que o encarregado seja pessoa natural ou jurídica, integrante do quadro da empresa ou externo. A lei não exige formação específica: cabe à empresa definir as qualificações necessárias considerando o volume e a sensibilidade dos dados que trata.

Três cuidados formais são indispensáveis. A indicação deve ser feita por ato formal, escrito, datado e assinado, com a descrição das atividades do encarregado, que deve ser apresentado à ANPD quando solicitado. A identidade e o contato do encarregado devem ser divulgados publicamente, de forma clara, preferencialmente no site da empresa (art. 41, § 1º, da LGPD). E o encarregado não deve acumular funções que gerem conflito de interesse, como decidir sobre os mesmos tratamentos de dados que ele deveria orientar e avaliar.

Por que a terceirização costuma fazer sentido para PMEs?

Porque poucas pequenas e médias empresas têm volume de trabalho que justifique um profissional dedicado exclusivamente à proteção de dados. O encarregado externo oferece conhecimento técnico e regulatório atualizado, sem a necessidade de criar um cargo, e atua com mais independência em relação às áreas que tratam os dados.

Um ponto precisa ficar claro: a responsabilidade pela conformidade continua sendo da empresa, e não do encarregado. As sanções do art. 52 da LGPD, que vão de advertência a multa de até 2% do faturamento, limitada a R$ 50 milhões por infração, recaem sobre o agente de tratamento.

Como o escritório pode ajudar

A atuação envolve verificar se a empresa se enquadra na dispensa como agente de pequeno porte, formalizar a indicação do encarregado ou do canal de comunicação e exercer a função de encarregado externo, com mapeamento de dados, atendimento a titulares e gestão de incidentes. Conheça a área de Compliance Empresarial para PMEs e agende uma avaliação da situação da sua empresa perante a LGPD.