O encarregado de dados na LGPD: o que a ANPD exige de quem o indica

Toda empresa que trata dados pessoais na condição de controladora deve indicar um encarregado, figura que o mercado costuma chamar de DPO (Data Protection Officer). A exigência está na Lei Geral de Proteção de Dados (Lei nº 13.709/2018) desde a sua origem, mas foi a Resolução CD/ANPD nº 18/2024 que detalhou como a indicação deve ser feita e como o encarregado deve atuar. O tema interessa diretamente à governança das empresas, porque o encarregado é o ponto de contato com os titulares e com a autoridade fiscalizadora.

O que diz a LGPD

O controlador deve indicar encarregado e divulgar publicamente, de forma clara e objetiva, a sua identidade e as suas informações de contato, preferencialmente no sítio eletrônico (art. 41, caput e § 1º). Cabe ao encarregado receber reclamações e comunicações dos titulares, receber comunicações da ANPD, orientar funcionários e contratados sobre as práticas de proteção de dados e executar as demais atribuições definidas pelo controlador ou por normas complementares (art. 41, § 2º).¹

Como deve ser a indicação

A Resolução CD/ANPD nº 18/2024 exige que a indicação seja feita por ato formal, isto é, documento escrito, datado e assinado, que descreva as formas de atuação e as atividades do encarregado e seja apresentado à ANPD quando solicitado (art. 3º). Deve haver também um substituto formalmente designado para as ausências, impedimentos e vacâncias (art. 4º).

O encarregado pode ser pessoa natural, do quadro da empresa ou externa a ela, ou pessoa jurídica (art. 12). A função não exige inscrição em entidade nem certificação, cabendo ao agente de tratamento definir as qualificações necessárias (arts. 7º e 14). A comunicação com os titulares e com a ANPD deve ser clara, precisa e em língua portuguesa (art. 13).

O que divulgar

A identidade e o contato do encarregado devem ser divulgados em destaque e de fácil acesso no sítio eletrônico da empresa e mantidos atualizados (arts. 8º e 9º). Se o encarregado for pessoa natural, divulga-se o nome completo. Se for pessoa jurídica, o nome empresarial e o nome da pessoa responsável. O contato informado deve permitir que os titulares exerçam seus direitos e que a ANPD envie comunicações (art. 9º).²

Autonomia e conflito de interesse

O encarregado deve atuar com ética, integridade e autonomia técnica (art. 18). Ele pode acumular funções e atender mais de um agente de tratamento, desde que consiga cumprir suas atribuições e não haja conflito de interesse (art. 19). Deve declarar ao agente qualquer situação de conflito (art. 20), e, se o risco for constatado, a empresa pode deixar de indicá-lo, adotar medidas para afastar o conflito ou substituí-lo (art. 21). A verificação é feita caso a caso, e o conflito pode levar a sanções nos termos da LGPD (art. 19, § 2º). Na prática, acumular a função com cargos que decidem sobre o próprio tratamento de dados exige cautela redobrada.

Quem responde pela conformidade

Um ponto merece atenção: o encarregado não é o responsável pela conformidade da empresa perante a ANPD. Essa responsabilidade é do agente de tratamento (arts. 11 e 17). O encarregado orienta, comunica e acompanha, mas as decisões sobre o tratamento e o dever de cumprir a lei continuam com a empresa e seus administradores.

Operadores e agentes de pequeno porte

O operador, que trata dados em nome do controlador, não é obrigado a indicar encarregado, mas a indicação é considerada boa prática de governança (art. 6º). Os agentes de tratamento de pequeno porte dispensados da indicação devem manter um canal de comunicação com os titulares (art. 3º, § 3º, com remissão ao art. 11 da Resolução CD/ANPD nº 2/2022).

Por onde começar

• formalizar a indicação por documento escrito, datado e assinado, com as atividades do encarregado;
• designar um substituto;
• publicar no site o nome e um canal de contato efetivo, e mantê-los atualizados;
• avaliar e registrar a inexistência de conflito de interesse;
• assegurar ao encarregado acesso à alta administração e aos recursos necessários para atuar.

Bem estruturada, a função deixa de ser exigência burocrática e se torna peça do programa de integridade da empresa.

← Voltar a Notícias e Artigos