Encarregado LGPD: qualquer um serve ou tem requisito real?

Toda semana a gente vê empresas que "nomearam o DPO" sem nenhum critério. Às vezes é o estagiário de TI. Às vezes é o sócio que "gosta de tecnologia". Às vezes é um advogado terceirizado que assinou o papel e nunca apareceu mais. Nenhum desses casos está necessariamente errado, mas todos podem estar errados. Depende de um detalhe que pouca gente lê com atenção: o que a LGPD realmente exige e o que ela não exige.

O art. 41 da Lei 13.709/2018 obriga todo controlador a indicar um Encarregado pelo tratamento de dados pessoais. Ponto. O artigo não menciona diploma específico, registro profissional ou certificação. Isso abre espaço pra boas soluções e, na mesma medida, pra escolhas que vão te criar problema num processo administrativo da ANPD.

O que a lei exige: menos do que você imagina

O texto do art. 41 não define qualificação mínima formal. Não fala em graduação, OAB, CISA, CIPM ou qualquer outro título. Nossa leitura: a lei quis flexibilidade pra não inviabilizar pequenas e médias empresas. A ANPD foi além e, na Resolução CD/ANPD 02/2022, criou um regime simplificado pra microempresas, EPPs e startups, que podem adotar medidas menos rigorosas na designação do Encarregado.

O que a lei exige na prática é que a pessoa, ou empresa contratada, consiga executar as atividades listadas no §2° do art. 41: receber reclamações e comunicações dos titulares, responder em até 15 dias corridos (art. 19), orientar os colaboradores sobre boas práticas, e servir como canal entre a empresa e a ANPD.

Falando sério: se o Encarregado não sabe o que é base legal de tratamento, não conhece os direitos do titular e nunca ouviu falar em relatório de impacto à proteção de dados, ele não consegue cumprir essas funções. A lei não exige o título, mas o trabalho exige conhecimento. São coisas diferentes.

Quem não pode ser: o conflito de interesse que ninguém menciona

A LGPD não lista vedações expressas. Mas existe um princípio básico de governança que a ANPD já sinalizou em orientações: o Encarregado não pode ser a mesma pessoa que toma decisões de negócio sobre o tratamento de dados que ele próprio deveria fiscalizar.

Exemplo concreto: o diretor de TI que decide quais dados coletar, por quanto tempo armazenar e com quem compartilhar não deveria ser o próprio Encarregado. É o equivalente a nomear o financeiro como auditor das próprias contas. A fiscalização vira teatro.

• Sócio com poderes de gestão direta sobre o tratamento de dados: conflito provável.
• Gerente de marketing que decide quais dados capturar em campanha: conflito provável.
• Colaborador de TI sem poder decisório sobre o tratamento: pode funcionar, com treinamento.
• Advogado interno sem envolvimento na operação de dados: pode funcionar.
• Empresa terceirizada especializada em LGPD: solução mais limpa pra maioria das PMEs.

Nossa leitura: o conflito de interesse não gera infração formal pela ANPD de forma automática, mas compromete a defesa da empresa num processo administrativo. Se você alegar que tem governança de dados e o Encarregado é o mesmo que tomou a decisão questionada, a credibilidade da sua estrutura vai por água abaixo na hora que importa.

Interno ou terceirizado: a conta real

A lei permite as duas opções. O Encarregado pode ser funcionário CLT, advogado interno ou fornecedor externo, inclusive pessoa jurídica. A escolha depende do tamanho da empresa, do volume de dados tratados e de quanto a sua operação depende de dados pessoais.

Uma clínica médica que trata dados sensíveis de saúde (art. 5°, II) tem um nível de risco muito diferente de uma construtora que coleta só nome e CPF de cliente. A clínica precisa de um Encarregado que entenda de dado sensível, consentimento específico e relatório de impacto. A construtora pode resolver com assessoria externa mensal a um custo muito menor.

Na prática: o modelo mais comum entre PMEs no Brasil é o DPO-as-a-service, uma consultoria contratada pra assumir a função. Funciona bem quando existe contrato com escopo claro, prazos de resposta definidos e acesso real ao dia a dia da empresa. Funciona mal quando é só um nome num documento sem nenhuma atividade real. E a ANPD, num processo, vai perguntar exatamente o que esse Encarregado fez.

O que você é obrigado a publicar no site

Esse ponto é onde a maioria das empresas ainda erra. O §1° do art. 41 é direto: a identidade e as informações de contato do Encarregado devem ser divulgadas publicamente, de forma clara e objetiva, preferencialmente no site do controlador. Não basta ter o nome num contrato interno guardado na gaveta.

O titular de dados que quiser exercer seus direitos, confirmação de tratamento, acesso, correção, exclusão, portabilidade (art. 18), precisa conseguir encontrar o canal de contato do Encarregado sem esforço. Se não está visível, a empresa já está em desacordo com a lei independentemente de qualquer outra medida que tenha tomado.

• Onde publicar: política de privacidade e rodapé do site são os locais mais comuns e aceitos.
• O que publicar: nome completo (ou razão social da empresa terceirizada) e e-mail ou formulário de contato dedicado.
• O que não basta: "Entre em contato pelo SAC" sem identificar quem é o Encarregado.
• Prazo de resposta ao titular: 15 dias corridos a partir do recebimento do pedido (art. 19).

Registro na ANPD: o que existe e o que não existe

Não existe hoje um cadastro obrigatório de Encarregados na ANPD no sentido de um registro formal onde a empresa protocola o nome de quem nomeou. O que existe é a obrigação de tornar a informação pública via site e a possibilidade de a ANPD exigir a identificação do Encarregado num processo administrativo.

A ANPD tem desenvolvido ferramentas de notificação, especialmente para comunicação de incidentes de segurança, mas o cadastramento do DPO como ato formal obrigatório não é hoje exigência geral para empresas privadas. Se a sua área for regulada por outro órgão, como Bacen, ANS ou ANVISA, verifique se existem obrigações adicionais do regulador setorial. A LGPD é a base, mas cada setor pode ter camadas extras.

Responsabilidade civil e criminal: o que pesa de verdade

A LGPD não cria tipos penais específicos para violações de proteção de dados. As sanções da ANPD são administrativas: advertência, multa de até 2% do faturamento bruto no Brasil no último exercício, limitada a R$ 50 milhões por infração, bloqueio ou eliminação dos dados, suspensão parcial ou total da atividade de tratamento.

A responsabilidade civil do Encarregado é um ponto que poucos discutem abertamente. A lei coloca o controlador como responsável principal pelas infrações. O Encarregado, por si só, não responde administrativamente perante a ANPD no lugar da empresa. Mas responde contratualmente e civilmente se agir com negligência: se recebeu reclamação de titular, ignorou, e isso agravou um incidente, o dano pode ser imputado a ele perante o contratante e, a depender do caso, perante terceiros.

Nossa leitura: o Encarregado precisa de um contrato ou termo de nomeação que defina com clareza suas obrigações, limites de atuação e o que está fora do escopo dele. Nomear verbalmente ou por e-mail informal é pedir problema. Isso protege a empresa e protege quem assumiu a função.

O que fazer nos próximos 15 dias

• Confirme se existe um Encarregado formalmente nomeado e se essa nomeação está documentada em contrato ou portaria interna assinada.
• Verifique se o nome e o canal de contato do Encarregado estão publicados na política de privacidade ou no rodapé do site.
• Avalie o conflito de interesse: a pessoa nomeada toma decisões operacionais sobre o tratamento de dados que ela própria deveria supervisionar?
• Se o Encarregado for terceirizado, cheque o contrato: existe cláusula com prazo de resposta ao titular (máximo 15 dias) e procedimento de comunicação de incidente à ANPD?
• Se a sua empresa é MEI, ME ou EPP, leia a Resolução CD/ANPD 02/2022 antes de contratar qualquer serviço de adequação. O regime simplificado existe e pode reduzir o custo de conformidade de forma significativa.