DPO interno ou terceirizado: a conta que ninguém te mostra

A maioria das empresas resolve assim: pega o nome do gerente de TI, coloca no site como encarregado, anota no canal da ANPD e acha que cumpriu a LGPD. Não cumpriu. Nomeou uma pessoa que provavelmente não sabe o que o cargo exige, não tem autonomia pra exercer as funções e que vai ser o primeiro a aparecer num processo administrativo sem ter ferramenta nenhuma pra se defender.

A escolha entre DPO interno e terceirizado é uma decisão de custo-benefício real. Depende do tamanho da empresa, do tipo de dado que ela processa e do que o encarregado vai precisar fazer de fato. A gente vai direto ao ponto.

A lei não exige diploma de DPO. E isso não é o que parece

O art. 41 da Lei 13.709/2018 diz que o controlador deve indicar um encarregado pelo tratamento de dados pessoais. Não exige formação específica, não exige certificação, não exige nenhum registro profissional. Qualquer pessoa pode ser DPO no papel.

Na prática, isso cria um problema sério. Muita empresa interpreta "qualquer pessoa pode" como "qualquer pessoa serve". Não serve. A ANPD, em seus guias e orientações, deixa claro que o encarregado precisa ter conhecimento adequado sobre proteção de dados: entender o ciclo de vida do dado, as bases legais do art. 7º, como responder requisição de titular em 15 dias (art. 19), o que é incidente de segurança e quando notificar.

Nossa leitura: a ausência de requisito formal não é permissão pra nomear qualquer um. É uma responsabilidade que recai sobre o controlador escolher alguém que, de fato, exerça o cargo. Se der errado, é o controlador que responde.

O conflito de interesse que destrói o modelo interno em empresas pequenas

Esse é o ponto que mais gera problema na prática. O DPO, pra funcionar, precisa de independência. Ele precisa poder apontar que a empresa está processando dado sem base legal, que a cláusula de consentimento no app é inválida, que o fornecedor de CRM não tem contrato de processamento adequado. Pra fazer isso, ele não pode depender hierarquicamente de quem toma essas decisões.

Coloca o CTO como DPO: ele vai auditar as decisões de arquitetura de TI que ele mesmo tomou. Coloca o RH: o departamento que processa dado de colaborador vai auditar o próprio processo. Coloca o financeiro: a pessoa que decide quais sistemas a empresa contrata vai avaliar se esses sistemas têm compliance adequado. Em todos esses casos, o conflito é estrutural.

Falando sério: em empresa de até 200 funcionários, é quase impossível nomear alguém interno que não tenha conflito de interesse relevante. Porque todo mundo que tem conhecimento técnico suficiente também tem responsabilidade operacional sobre decisões que o DPO vai precisar revisar. O DPO terceirizado, nesse cenário, oferece mais independência real do que qualquer colaborador interno.

Terceirizado não é só um nome no formulário: o que o contrato precisa ter

Existe uma categoria de "DPO terceirizado" que é, na prática, um nome num contrato de valor simbólico, com um formulário de política de privacidade genérica e zero presença ativa na empresa. Isso é pior que não ter DPO nenhum: cria falsa sensação de conformidade e ainda coloca uma pessoa física sem suporte real respondendo pelo cargo.

O serviço de DPO terceirizado que funciona tem características específicas. Verifique se o contrato prevê:

• Horas mensais contratadas com escopo definido (mínimo 4 a 8 horas/mês para PME; mais para quem processa dado sensível)
• Prazo de resposta a incidente: no máximo 24 a 48 horas após comunicação interna
• Capacitação periódica da equipe, pelo menos uma vez ao ano
• Revisão do mapeamento de dados com frequência mínima anual
• Ponto de contato publicado no site, conforme exigência da ANPD
• Gestão de requisições de titular dentro do prazo legal de 15 dias (art. 19)
• Suporte na comunicação de incidente à ANPD, quando aplicável, no prazo de até 72 horas

Se o contrato não prevê nada disso, não é serviço de DPO. É venda de papel. E papel não te defende num processo administrativo.

A conta real por tamanho de empresa

A Resolução CD/ANPD nº 02/2022 criou um regime simplificado para microempresas, EPPs, startups e profissionais autônomos. Esse regime reduz obrigações documentais, mas não elimina a exigência de encarregado. Reduz a carga, não zera.

A lógica que a gente aplica na análise dos clientes é esta:

• MEI e microempresa (faturamento até R$ 360 mil/ano): DPO terceirizado em modelo básico, ou o próprio sócio com capacitação mínima. Risco administrativo existe, mas é menor.
• EPP (até R$ 4,8 milhões/ano): DPO terceirizado com contrato de horas. Não justifica CLT dedicado em nenhum cenário.
• Médio porte (até R$ 150 milhões/ano): DPO terceirizado sênior ou profissional contratado como PJ com dedicação parcial. A partir daqui, começa a compensar avaliar internalização.
• Empresas que processam dado sensível em volume, como saúde, educação, RH tech e fintechs: DPO interno dedicado, independentemente do faturamento. O risco regulatório justifica o custo.
• Grande porte (acima de R$ 300 milhões de faturamento ou acima de 500 funcionários): DPO interno com time de privacidade. Terceirizar inteiramente aqui é insuficiente.

Na prática: para a maioria das empresas do Vale do Itajaí e da região de Blumenau, que faturam entre R$ 5 milhões e R$ 80 milhões, o DPO terceirizado com contrato bem estruturado entrega mais do que um DPO interno sobrecarregado acumulando cinco funções.

Quando o modelo interno faz sentido de verdade

Tem três cenários onde o DPO interno se justifica claramente. Primeiro: a empresa processa dados sensíveis em volume, como plano de saúde, hospital, escola, app de saúde mental, ou empresa de RH tech. Nesses casos, a complexidade operacional e o risco regulatório pedem alguém dedicado, que conheça os processos por dentro, com acesso direto à liderança.

Segundo: a empresa já tem um profissional interno com formação jurídica ou de compliance e tempo real disponível. Não é nomear o gerente de TI porque ele "entende de sistema". É ter alguém que entende de proteção de dados, tem autonomia real e reporta ao nível de diretoria sem intermediários.

Terceiro: a empresa está em crescimento acelerado e vai precisar do processo de privacidade bem documentado para M&A, captação de investimento ou expansão internacional. Nesses casos, ter o processo gerenciado internamente facilita muito o due diligence.

O que não justifica DPO interno: "minha empresa é grande o suficiente pra não terceirizar". Tamanho sozinho não é critério. Risco de processamento, volume de dados sensíveis e capacidade de manter independência real do cargo são os critérios que importam.

O que fazer nas próximas duas semanas

Antes de qualquer decisão sobre modelo, cheque o básico: quem está nomeado como encarregado na sua empresa? O nome está publicado no site? Essa pessoa sabe que está no cargo? Essa pessoa entende o que o cargo exige na prática?

Se a resposta a qualquer dessas perguntas for não, você tem um DPO de papel. Isso precisa ser resolvido antes de qualquer outra coisa na sua agenda de compliance.

• Mapeie o tipo de dado que sua empresa processa com mais frequência: dado de cliente, de colaborador, dado sensível ou financeiro
• Calcule o custo real de um DPO interno dedicado em CLT: salário, encargos, benefícios e treinamento contínuo somam, na média de mercado, algo entre R$ 8 mil e R$ 15 mil por mês tudo incluído
• Compare com o custo de um serviço de DPO terceirizado com escopo documentado
• Avalie quem na sua estrutura atual teria autonomia real pra exercer o cargo sem conflito de interesse
• Se for terceirizar: exija contrato com escopo, prazo de resposta a incidente e horas mínimas documentadas. Se não tiver isso, não contrate

A decisão entre interno e terceirizado é reversível. Dá pra começar terceirizado e internalizar conforme a empresa cresce. O que não é reversível é um processo administrativo da ANPD com multa de até 2% do faturamento, limitada a R$ 50 milhões por infração, lastreado num encarregado que nunca exerceu a função de fato.