O que é DPO?
DPO é a sigla de Data Protection Officer, chamado no Brasil de encarregado de proteção de dados ou simplesmente encarregado. É a pessoa indicada pela empresa para ser o canal de comunicação entre os titulares de dados, a Autoridade Nacional de Proteção de Dados e a própria organização.
A LGPD define três atribuições. O encarregado aceita reclamações dos titulares, presta esclarecimentos e adota providências. Ele recebe comunicações da autoridade e responde a elas. E ele orienta funcionários e contratados sobre as práticas de proteção de dados. A lei brasileira é mais flexível que a europeia: a GDPR exige DPO em situações específicas e impõe requisitos de independência, enquanto a LGPD deixa espaço para a autoridade dispensar a exigência conforme o porte do negócio. Uma regra vale para todos: a identidade e o contato do encarregado precisam estar publicados.
Como funciona na prática?
O encarregado opera em três frentes. A primeira é o atendimento a titulares: quando alguém pede acesso, correção ou exclusão dos próprios dados, o pedido cai no canal do encarregado, que aciona as áreas e coordena a resposta dentro do prazo. A segunda é a relação com a autoridade, o que exige conhecer o inventário de tratamentos da empresa.
A terceira frente é interna: orientar marketing, produto, TI e vendas antes que decisões virem risco. Na prática, o encarregado revisa formulários, textos de consentimento, contratos com fornecedores e integrações que enviam dados para fora. Existem três arranjos comuns no Brasil: encarregado interno dedicado, encarregado interno acumulando outra função, e DPO as a service, quando um escritório assume o papel por contrato.
Exemplos de uso
- Um e-commerce recebe pelo canal do encarregado o pedido de exclusão de um cliente. O encarregado aciona TI, CRM e mídia, confirma a remoção nas bases e nas listas de público, e responde ao titular.
- Uma agência planejava importar uma lista comprada de 50 mil contatos. O encarregado aponta a ausência de base legal e o time redireciona a verba para captação própria.
- Uma fintech sofre um incidente de segurança. O encarregado coordena a comunicação à ANPD e aos titulares afetados, com apoio do jurídico.
Erros comuns
- Indicar um encarregado no papel e não publicar o contato no site.
- Nomear alguém sem acesso às decisões: quem descobre a integração depois do lançamento não previne risco.
- Confundir o encarregado com o responsável técnico por segurança da informação.
- Não registrar o atendimento aos titulares, deixando a empresa sem histórico.
Perguntas frequentes sobre DPO
Toda empresa precisa ter um DPO?
A LGPD determina que o controlador indique um encarregado e deixa à autoridade a possibilidade de estabelecer hipóteses de dispensa conforme porte e natureza da atividade. Regulamentação posterior flexibilizou a exigência para agentes de pequeno porte. Empresas que tratam dados em escala ou dados sensíveis seguem com a indicação recomendada.
O DPO precisa ser advogado?
A lei não exige formação específica nem certificação. O papel demanda entender o negócio, conhecer os fluxos de dados da empresa e ter acesso direto à alta direção. Muitos encarregados vêm do direito, e há profissionais de tecnologia, compliance e governança exercendo a função com apoio jurídico.
Qual a diferença entre DPO e encarregado de dados?
São o mesmo papel com nomes diferentes. DPO vem do termo europeu Data Protection Officer, adotado pela GDPR. A LGPD usa “encarregado pelo tratamento de dados pessoais”. No mercado brasileiro, as duas expressões circulam como sinônimos, e documentos oficiais tendem a usar encarregado.