Critério Encarregado interno DPO as a Service Conhecimento da operação Alto desde o início Construído com o tempo Independência Risco de conflito com outras funções Maior, por estar fora da estrutura Custo Salário e encargos Contrato com escopo definido Especialização Depende do perfil Equipe com experiência em vários setores Muitas empresas adotam um modelo híbrido: um ponto focal interno, que conhece a operação, e o encarregado externo, que conduz a função formalmente.

DPO as a Service: como funciona o encarregado terceirizado

No DPO as a Service, a empresa contrata um profissional ou uma pessoa jurídica externa para exercer a função de encarregado de dados exigida pela LGPD. O modelo é expressamente admitido pela Resolução CD/ANPD 18/2024, que permite que o encarregado seja pessoa física ou jurídica, interno ou externo. O fornecedor recebe pedidos de titulares e comunicações da ANPD, orienta a equipe e apoia a empresa em incidentes, mas a responsabilidade pela conformidade continua sendo do controlador.

Resumo

A terceirização do encarregado é permitida pela ANPD.
O contrato deve definir escopo, prazos de resposta, confidencialidade e substituto.
A independência do encarregado externo reduz o risco de conflito de interesse.
A empresa precisa garantir fluxo de informações e acesso à alta administração.
A responsabilidade perante a ANPD não é transferida ao fornecedor.

O que o DPO terceirizado faz?

atua como ponto de contato com os titulares e com a ANPD, em português;
recebe, organiza e responde pedidos de acesso, correção, eliminação e portabilidade, com a equipe interna;
orienta empregados e prestadores sobre boas práticas;
apoia a avaliação e a comunicação de incidentes de segurança;
participa da elaboração de registros de tratamento, relatórios de impacto e políticas;
revisa contratos com fornecedores que tratam dados e cláusulas de transferência internacional.

Quando a terceirização faz sentido?

O modelo costuma ser adequado quando a empresa não tem volume para um encarregado em tempo integral, quando quer evitar conflito de interesse com cargos de gestão ou quando precisa de experiência que a equipe interna ainda não tem. Também é útil para grupos com várias empresas, que podem centralizar a função, e para empresas estrangeiras que precisam de alguém que se comunique em português com titulares e autoridade.

O que o contrato deve prever?

Escopo: atividades incluídas e excluídas, como treinamentos, auditorias e resposta a incidentes.
Prazos internos: compatíveis com os prazos legais, como 15 dias para a resposta completa ao titular e três dias úteis para a comunicação de incidentes relevantes.
Substituto: a Resolução 18/2024 exige substituto para ausências e impedimentos.
Divulgação: nome empresarial do fornecedor e da pessoa responsável, publicados no site.
Confidencialidade e segurança no acesso a dados e documentos.
Independência: o encarregado não deve ser instruído a omitir riscos ou recomendações.
Relatórios periódicos à administração.
Transição ao final do contrato, com entrega de registros e histórico.

Interno ou externo?

Critério	Encarregado interno	DPO as a Service
Conhecimento da operação	Alto desde o início	Construído com o tempo
Independência	Risco de conflito com outras funções	Maior, por estar fora da estrutura
Custo	Salário e encargos	Contrato com escopo definido
Especialização	Depende do perfil	Equipe com experiência em vários setores

Muitas empresas adotam um modelo híbrido: um ponto focal interno, que conhece a operação, e o encarregado externo, que conduz a função formalmente.

Cuidados ao escolher o fornecedor

verificar experiência com o setor e com o tipo de dado tratado;
confirmar a capacidade de responder dentro dos prazos legais;
evitar fornecedores que também prestem à empresa serviços conflitantes, como o desenvolvimento dos sistemas que serão avaliados;
exigir clareza sobre quem, de fato, atenderá a empresa.

Perguntas frequentes

O DPO terceirizado responde por multas da ANPD?

Não perante a ANPD. A responsabilidade é do controlador. Entre as partes, o contrato pode prever responsabilidade do fornecedor por falhas na própria prestação.

Pequenas empresas precisam contratar DPO?

Agentes de pequeno porte podem ser dispensados, se mantiverem canal com os titulares e não fizerem tratamento de alto risco.

Um escritório de advocacia pode ser o encarregado?

Sim. A pessoa jurídica pode exercer a função, com indicação de um responsável.

Como o Chambarelli Advogados pode ajudar

A área de Regulação de Novas Tecnologias oferece DPO as a Service, com escopo e prazos definidos, para empresas de todos os portes e especialmente para startups e negócios digitais. Agende uma conversa para conhecer o modelo.

Conteúdo informativo, atualizado em outubro de 2026. Não substitui a análise do caso concreto.

DPO as a Service: como funciona a terceirização do encarregado