Encarregado de dados (DPO): quando a empresa precisa ter

Pela LGPD, toda empresa que atua como controladora de dados pessoais precisa indicar um encarregado de dados (DPO). A exceção são os agentes de tratamento de pequeno porte, como microempresas e startups, que podem ser dispensados, desde que mantenham um canal de comunicação com os titulares e não realizem tratamento de alto risco. A Resolução CD/ANPD 18/2024 detalha como deve ser a indicação, quem pode exercer a função e quais são as suas atribuições.

Quem é obrigado a ter encarregado?

O controlador, isto é, a empresa que decide sobre o tratamento de dados pessoais. Isso inclui praticamente qualquer negócio que trate dados de clientes, empregados ou parceiros. Para o operador, que trata dados em nome de outra empresa, a indicação não é obrigatória, mas é considerada boa prática, especialmente para quem presta serviços de tecnologia.

Quando há dispensa?

A Resolução CD/ANPD 2/2022 permite que agentes de tratamento de pequeno porte deixem de indicar encarregado. Entram nessa categoria, entre outros, microempresas, empresas de pequeno porte, startups e MEIs. A dispensa tem duas condições:

• disponibilizar um canal de comunicação para os titulares;
• não realizar tratamento de alto risco, como uso de dados sensíveis em larga escala, monitoramento sistemático ou uso de tecnologias inovadoras com efeitos relevantes sobre os titulares.

Uma startup de saúde ou uma fintech que trate grande volume de dados financeiros, por exemplo, pode não se beneficiar da dispensa, mesmo sendo pequena.

O que exige a Resolução CD/ANPD 18/2024?

1. Ato formal de indicação: documento escrito, datado e assinado, com a forma de atuação e as atividades do encarregado.
2. Divulgação: identidade e contato publicados em local de destaque no site. Se o encarregado for pessoa jurídica, divulga-se o nome empresarial e o da pessoa responsável.
3. Comunicação em português com titulares e com a ANPD.
4. Substituto para ausências, impedimentos e vacância.
5. Ausência de conflito de interesse: o encarregado não deve acumular funções em que ele próprio decide sobre o tratamento que deveria fiscalizar.
6. Recursos e autonomia: meios adequados para exercer a função e acesso à alta administração.

A norma não exige certificação específica. Cabe à empresa definir as qualificações necessárias conforme o volume e o risco dos tratamentos.

O que o encarregado faz?

• recebe reclamações e pedidos dos titulares e responde ou encaminha;
• recebe comunicações da ANPD e adota providências;
• orienta empregados e contratados sobre as práticas de proteção de dados;
• apoia a empresa em incidentes de segurança, relatórios de impacto, contratos e transferências internacionais.

A responsabilidade pela conformidade continua sendo do controlador. O encarregado assessora e coordena, mas não responde, em regra, pelas falhas da empresa.

Encarregado interno ou externo?

Perguntas frequentes

O encarregado precisa ser advogado?

Não. A função exige conhecimento de proteção de dados e da operação da empresa, que pode vir de formação jurídica, de tecnologia ou de compliance.

Um grupo de empresas pode ter um único encarregado?

Sim, desde que ele consiga atender todas as empresas, se comunique com os titulares de cada uma e não haja conflito de interesse.

Quais são as consequências de não indicar?

A falta de encarregado é infração à LGPD e já motivou sanções da ANPD, inclusive a uma microempresa, em 2023, que também tratava dados sem base legal.

Como o Chambarelli Advogados pode ajudar

A área de Regulação de Novas Tecnologias avalia se a empresa precisa de encarregado, formaliza a indicação e oferece DPO as a Service, com atenção especial a startups e negócios digitais. Agende uma conversa para avaliar a sua situação.

Conteúdo informativo, atualizado em outubro de 2026. Não substitui a análise do caso concreto.