Encarregado de dados: quem pode assumir o cargo (e quem não deveria)

Toda semana aparece um cliente aqui em Blumenau com a mesma dúvida: "quem eu coloco como encarregado de dados?" A resposta pronta de internet costuma ser sempre a mesma: chama o pessoal de TI, ou chama o advogado. Está errado, e o erro custa caro depois.

Nossa leitura, depois de acompanhar várias adequações no Vale do Itajaí: o cargo de encarregado não exige diploma, não exige curso, não exige registro em conselho profissional. Exige outra coisa que ninguém fala em consultoria de vitrine: autoridade dentro da empresa pra dizer não pro dono quando precisar. Sem isso, o cargo é só um nome bonito no rodapé do site.

O que a lei exige pra ser encarregado (é bem menos do que dizem)

O art. 41 da LGPD não fixa formação técnica, não fixa certificação, não fixa cargo mínimo na hierarquia. Diferente do GDPR europeu, que exige "conhecimento especializado" do encarregado, a lei brasileira só fala em pessoa indicada pelo controlador.

Detalhe que quase ninguém percebe: desde a Lei 13.853/2019, a redação do art. 5º, VIII tirou a palavra "natural" da definição de encarregado. Isso abriu espaço pra uma pessoa jurídica, um escritório terceirizado, assumir o papel. Na prática: o dono pode ser encarregado, o gerente financeiro pode, um escritório de fora pode. A lei não impede nenhum dos três.

Sócio, colaborador interno ou terceirizado: o que funciona pra cada porte

Não existe fórmula única. O que muda é o tamanho da empresa e o volume de dados tratado.

• Sócio ou dono: barato e conhece o negócio, mas acumula função. Em empresa com mais de 20 funcionários, geralmente vira gargalo em poucos meses.
• Colaborador interno (RH, jurídico, TI): funciona bem até uns 100 colaboradores, desde que a pessoa dedique horas fixas por semana à função, não seja "mais uma tarefa perdida na agenda".
• Encarregado terceirizado: ideal pra quem não tem estrutura própria. Custo mensal fixo, mas exige contrato com SLA claro, por exemplo, prazo de até 48 horas pra reagir a um incidente reportado.

O conflito de interesse que a maioria das empresas ignora

Colocar o diretor de marketing, que decide campanha e usa a lista de clientes pra tudo, como encarregado é erro clássico. Ele estaria fiscalizando a própria decisão todos os dias.

A LGPD não proíbe expressamente essa situação, diferente do GDPR, que trata a incompatibilidade de forma explícita. Na prática, falando sério: encarregado sem independência não detecta problema antes de acontecer, só assina papel depois que o vazamento já saiu.

"Registro na ANPD" não existe do jeito que todo mundo imagina

Boa parte das empresas pergunta "como eu registro meu encarregado na ANPD". Resposta seca: não existe cadastro público, formulário ou protocolo de registro pra isso. O que a lei exige, no art. 41, §1º, é divulgar a identidade e o contato do encarregado de forma clara, preferencialmente no site da empresa.

A ANPD só vai perguntar quem é o encarregado se abrir fiscalização ou processo administrativo. Nesse momento, você aponta o nome, o e-mail, o canal. Fora isso, não há burocracia formal de cadastro.

Divulgar o encarregado no site sem transformar em drama jurídico

Não precisa de página cheia de juridiquês. Precisa de três coisas:

• Nome ou cargo visível: "Encarregado de Dados: [nome]" ou canal genérico do tipo dpo@empresa.com.br.
• Canal de contato ativo, respondido em até 15 dias corridos quando o titular exercer direito previsto no art. 18 da LGPD.
• Local de fácil acesso: rodapé do site, política de privacidade ou página própria.

A Resolução CD/ANPD 02/2022 simplifica isso pra agentes de pequeno porte, ME, EPP, startup, profissional autônomo: o canal pode ser o e-mail comercial que a empresa já usa, sem precisar de estrutura dedicada.

Se der vazamento, quem responde: a empresa ou o encarregado pessoalmente?

Esse é o ponto que tira o sono de quem aceita o cargo. Resposta direta: a responsabilidade administrativa e civil por descumprimento da LGPD, multa de até 2% do faturamento no Brasil, limitada a R$ 50 milhões por infração conforme art. 52, recai sobre o controlador. Ou seja, sobre a empresa, não sobre o encarregado como pessoa física.

Falando sério, existe exceção. Se o encarregado, agindo por conta própria, vender uma base de clientes ou cometer fraude deliberada, ele responde pessoalmente, por crime comum, já que não existe tipo penal específico de "crime de LGPD", e por responsabilidade civil direta pelo ato próprio. O cargo não funciona como escudo pra dolo.

O que fazer nas próximas duas semanas

Antes de carimbar qualquer nome como encarregado, passe por esse filtro:

• Confirme se a pessoa tem autoridade real pra dizer não pro diretor comercial, não só assinar decisão já tomada.
• Descarte quem hoje decide finalidade de uso dos dados: marketing, comercial ou TI que administra o banco de clientes.
• Publique nome ou cargo e canal de contato na política de privacidade dentro dos próximos 15 dias.
• Se a empresa é ME, EPP ou startup, use o regime simplificado da Resolução CD/ANPD 02/2022 antes de montar estrutura cara demais pro porte do negócio.
• Formalize por escrito, ata de reunião ou portaria interna, quem é o encarregado e quais poderes tem. Isso protege a empresa e a pessoa se algo acontecer.

Nomear alguém errado custa mais do que não nomear ninguém, porque parece adequação sem ser. Prefira duas semanas de atraso fazendo certo a dois anos explicando pra ANPD por que o "encarregado" nunca respondeu um único e-mail de titular.