DPO terceirizado ou interno? O critério real não é o tamanho da empresa

Empresa pequena em Blumenau contrata "DPO terceirizado" por R$ 300 por mês, recebe um certificado bonito por e-mail e considera o assunto resolvido. Seis meses depois chega uma reclamação de cliente pedindo exclusão de dado. Ninguém responde em 15 dias, o prazo que o art. 19 da LGPD exige. O tal encarregado nunca tinha acesso ao sistema, nunca falou com o setor de TI, só assinou contrato.

Do outro lado tem empresa média que contrata analista interno de R$ 8.000 por mês achando que resolveu tudo, só que essa pessoa responde direto pro diretor comercial, o mesmo que decide vender lista de cliente pra parceiro. Os dois erraram. E erraram pela mesma razão: escolheram o modelo olhando o preço, não a autoridade e o conhecimento que a função exige.

Quanto custa cada modelo, sem enfeite

Terceirizado (DPO as a Service) custa hoje, no mercado brasileiro, entre R$ 600 e R$ 2.500 por mês pra empresa pequena com baixo volume de dado sensível. Empresa média, com mais de um sistema e mais solicitação de titular pra tratar, paga entre R$ 3.000 e R$ 7.000 por mês.

Interno dedicado é outra conta. Salário de mercado pra quem entende de verdade de proteção de dado fica entre R$ 7.000 e R$ 18.000, dependendo de senioridade. Em cima disso soma encargo trabalhista, que no Brasil gira em torno de 70% a 80% do salário nominal. Na prática, um DPO interno dedicado custa entre R$ 12.000 e R$ 30.000 por mês pra empresa, contando:

• Salário + 13º + férias + FGTS + INSS patronal
• Treinamento e atualização (a interpretação da ANPD muda com frequência)
• Ferramenta de gestão de solicitação e mapeamento de dado
• Tempo de quem supervisiona essa pessoa dentro da empresa

Nossa leitura: comparar só a mensalidade do terceirizado com o salário do interno é conta errada. A pergunta certa é quanto custa cada solicitação de titular resolvida direito, e quanto custa não resolver: multa de até 2% do faturamento no Brasil, limitada a R$ 50 milhões por infração.

O diploma que a lei não exige (mas o mercado vende)

O art. 41 da LGPD não pede certificado, não pede registro em conselho, não pede curso de 40 horas. Pede indicação formal de alguém com autoridade e conhecimento suficiente pra fazer o trabalho. O §2º do mesmo artigo diz o que essa pessoa precisa fazer: receber reclamação de titular, orientar funcionário, receber comunicação da ANPD e adotar providência.

Falando sério: existe um mercado inteiro vendendo certificação de "DPO" por R$ 2.000 a R$ 5.000, como se fosse pré-requisito legal. Não é. O que separa um encarregado que funciona de um que só assina papel é conhecer o fluxo de dado daquela empresa específica: que sistema guarda o quê, quem acessa, pra que serve. Isso não vem de certificado, vem de tempo dentro da operação ou de terceirizado que se dá ao trabalho de mapear antes de cobrar.

O conflito de interesse que ninguém avisa antes de fechar contrato

Encarregado que responde direto pro diretor de marketing ou de comercial tem problema estrutural: precisa fiscalizar justamente a área que mais quer usar dado de cliente pra vender mais. A gente já viu caso de empresa do Vale do Itajaí que colocou o próprio gerente de TI como encarregado. Ele mesmo decidia quais integração e API contratar. Quem fiscaliza o próprio trabalho não fiscaliza nada.

O mesmo risco existe no terceirizado, só que disfarçado: se a consultoria que presta seu DPO as a Service é a mesma que vende o CRM ou a ferramenta de automação da sua empresa, ela não vai apontar problema no próprio produto. Antes de contratar, pergunte direto: essa pessoa ou empresa tem algum interesse comercial na forma como eu uso dado?

Terceirizado serve pra quem, interno serve pra quem

Não é sobre faturamento, é sobre volume e sensibilidade do dado que passa pela empresa.

• Terceirizar se: menos de 5 solicitações de titular por mês, sem tratamento de dado sensível em escala (saúde, biometria, dado de criança) e sem incidente relevante no último ano. Empresa nesse perfil normalmente se enquadra no regime simplificado da Resolução CD/ANPD 02/2022.
• Internalizar se: opera em setor de risco (saúde, fintech, folha de pagamento, e-commerce de grande volume), recebe mais de 30 solicitações ou incidentes por ano, ou já foi notificada pela ANPD alguma vez.
• Modelo misto: alguém interno de meio período cuidando do dia a dia, com apoio jurídico terceirizado pra caso complexo e auditoria periódica. Funciona bem pra empresa em transição de porte.

O erro mais caro não é o modelo, é a autoridade que falta

Empresa terceiriza o DPO, publica o nome no rodapé do site, cumprindo o art. 41, §1º, e para por aí. Ninguém dentro da empresa atende o telefone do encarregado quando ele liga. Ninguém libera acesso ao sistema quando ele pede. Isso vale tanto pro terceirizado quanto pro interno: sem autoridade formal pra pedir informação e cobrar prazo, o encarregado vira enfeite caro.

Na prática, o que faz o modelo funcionar não é onde a pessoa trabalha, é se ela tem canal direto com quem decide dentro da empresa.

Nas próximas duas semanas, dá pra resolver isso sem contratar ninguém novo primeiro:

• Conte quantas solicitações de titular e quantos incidentes a empresa teve nos últimos 12 meses
• Verifique se hoje existe alguém formalmente indicado e publicado como encarregado, conforme art. 41, §1º
• Confira se sua empresa se enquadra no regime simplificado da Resolução CD/ANPD 02/2022
• Escreva por escrito que autoridade essa pessoa tem: acesso a que sistema, prazo de resposta interno, a quem ela responde
• Só depois disso decida entre terceirizar, internalizar ou modelo misto