DPO interno ou terceirizado: a conta que sua empresa não fez ainda

A pergunta chega assim: "a gente contrata alguém pra ser o encarregado ou paga um escritório terceirizado?". E a resposta que a maioria dos consultores dá é genérica, tipo "depende do porte da empresa". Certo, mas depende como, exatamente?

Nossa leitura depois de estruturar isso pra empresas de portes bem diferentes em Blumenau e no Vale do Itajaí: a conta não é só de salário contra mensalidade. Tem conflito de interesse, tem qualificação técnica que a Lei 13.709/2018 exige menos do que todo mundo acha, e tem um detalhe que decide sozinho boa parte dos casos: quantas vezes por ano sua empresa realmente vai precisar acionar essa pessoa.

Quanto custa cada modelo, de verdade

DPO interno dedicado, com dedicação exclusiva, custa salário mais encargos. Pra alguém com perfil jurídico ou de compliance júnior/pleno, isso fica na faixa de R$ 4.000 a R$ 8.000 por mês só de folha, sem contar benefícios e treinamento. Pra empresa de porte médio isso é viável. Pra empresa de 15 funcionários, é gasto desproporcional.

DPO terceirizado, no modelo que o mercado pratica hoje, costuma ficar entre R$ 800 e R$ 3.000 por mês, dependendo do volume de dados tratados e da complexidade do negócio. Esse valor cobre atendimento de solicitações de titulares, canal de contato publicado, e suporte em caso de incidente. Não cobre, na maioria dos contratos, reestruturação completa de processos internos.

Na prática: se sua empresa recebe menos de 5 solicitações de titular por mês e não lida com dado sensível em volume (saúde, biometria, dado de criança), terceirizar quase sempre sai mais barato e mais rápido de colocar em pé.

O que o art. 41 exige tecnicamente (menos do que você imagina)

O art. 41 da LGPD não pede certificação, não pede formação específica, não pede registro em conselho profissional. Pede que a pessoa tenha autoridade real dentro da empresa pra dizer não, quando necessário, e conhecimento suficiente pra orientar o tratamento de dados.

Isso muda o cálculo. Você não precisa contratar um especialista sênior em proteção de dados pra cumprir a lei. Precisa de alguém, interno ou terceirizado, que:

• Entenda o fluxo de dados da sua operação específica (não teoria genérica de LGPD);
• Consiga responder titular dentro do prazo de 15 dias previsto no art. 19;
• Tenha canal aberto direto com a diretoria, sem intermediário que filtre o que chega;
• Saiba identificar quando um incidente precisa ser comunicado à ANPD.

Terceirizado especializado geralmente já chega com esse conhecimento pronto. Interno precisa de treinamento, e treinamento custa tempo que ninguém contabiliza na planilha de custo.

O terceirizado tem menos conflito de interesse (quase sempre)

Aqui está o ponto que a maioria ignora. Encarregado interno que também responde por marketing, comercial ou operações tem conflito estrutural. Ele vai ter que dizer não pra própria área, ou pro chefe direto dele. Na prática, isso quase nunca acontece de verdade.

Já vimos empresa nomear o diretor de TI como encarregado. Parece lógico, ele entende de sistema. Só que é ele quem decide o que a empresa coleta e como armazena. Pedir pra essa mesma pessoa fiscalizar as próprias decisões é pedir pouco.

Terceirizado não tem esse problema por construção. Ele não depende do salário da empresa, não é avaliado no ciclo de performance interno, não tem incentivo pra proteger decisão de outra área. Falando sério: isso sozinho já justifica terceirizar em empresas onde não existe alguém verdadeiramente neutro no quadro.

Empresa pequena: terceirizar quase sempre compensa

Pra microempresa, EPP, startup em estágio inicial ou profissional autônomo de porte pequeno, a Resolução CD/ANPD 02/2022 já prevê regime simplificado. Isso reduz obrigação documental, mas não elimina a exigência de ter encarregado.

Com equipe enxuta, dificilmente existe alguém dentro de casa com tempo sobrando e autoridade suficiente pra assumir isso bem. Contratar interno nesse estágio costuma virar cargo de fachada: nomeia no papel, ninguém executa de verdade. Terceirizar resolve o problema real, que é ter alguém acionável quando o titular manda um email de solicitação ou quando rola um vazamento pequeno.

Empresa média/grande: quando vale internalizar

A partir de um certo volume, a conta vira. Empresa que trata dado sensível em escala (clínica, plano de saúde, fintech, folha de pagamento terceirizada, e-commerce grande) e que recebe dezenas de solicitações de titular por mês precisa de alguém dentro de casa, com acesso direto aos sistemas, sem depender de reunião semanal com terceiro pra entender o que está acontecendo.

Nesse cenário, internalizar compensa porque o custo de coordenação com terceiro (explicar contexto, esperar retorno, alinhar prioridade) passa a ser maior que o custo de ter a pessoa full time resolvendo direto. Regra prática que usamos: se o volume de incidentes e solicitações já ocupa mais de 15 a 20 horas por mês, internalizar tende a ser mais eficiente.

O modelo híbrido que pouca gente considera

Existe uma terceira via que funciona bem pra empresa em transição de porte: encarregado interno de baixo custo (analista júnior, meio período) com suporte jurídico terceirizado pra casos complexos e auditoria periódica. Isso divide o custo fixo e mantém expertise técnica disponível quando o problema é grande de verdade, tipo notificação de incidente à ANPD ou resposta a fiscalização.

Esse modelo evita o erro mais comum: empresa que internaliza cedo demais, paga salário cheio, e a pessoa nunca teve treinamento suficiente pra lidar com um incidente sério quando ele aparece.

O que fazer nas próximas duas semanas

• Conte quantas solicitações de titular e quantos incidentes (mesmo pequenos) sua empresa teve nos últimos 12 meses;
• Se foram menos de 10 no ano, cotação de terceirizado é o próximo passo, não contratação;
• Se foram mais de 30, ou se você trata dado sensível em volume, comece a desenhar a vaga interna com autoridade real, não cargo de fachada;
• Em qualquer modelo, formalize por escrito quem é o encarregado e publique o canal de contato, conforme exige o art. 41, §1º;
• Verifique se sua empresa se enquadra no regime simplificado da Resolução CD/ANPD 02/2022 antes de gastar com documentação que não é obrigatória pro seu porte.

Lembrando que a responsabilidade administrativa por infração à LGPD, com multa que pode chegar a 2% do faturamento no Brasil (limitada a R$ 50 milhões por infração), recai sobre a empresa, não sobre a pessoa do encarregado. Isso não diminui a importância de escolher bem, só deixa claro que a decisão interno versus terceirizado é sobre eficiência operacional, não sobre transferir risco pessoal pra ninguém.