O encarregado de dados (o DPO da LGPD) precisa ser indicado por um ato formal escrito, datado e assinado, que diga como ele vai atuar e quais atividades vai desempenhar. Precisa ter um substituto formalmente designado, e o nome e o contato dele têm de estar publicados em local de destaque no site da empresa. As regras vêm da Resolução CD/ANPD nº 18, de 16 de julho de 2024, que regulamentou o art. 41 da LGPD.
O encarregado pode ser empregado, profissional externo ou empresa, não precisa de certificação (art. 14) e não responde perante a ANPD pela conformidade do tratamento (art. 17). Quem responde é o agente de tratamento. Se a sua empresa já tem um, estas são as cinco perguntas que faríamos antes de qualquer outra coisa.
1. O ato de indicação aguenta um pedido da ANPD?
O art. 3º pede um documento que demonstre de forma clara a intenção de designar a pessoa, natural ou jurídica, com as formas de atuação e as atividades. Ele não é enviado à ANPD de rotina, mas tem de ser apresentado quando a Agência pedir. Se o encarregado atende várias empresas do grupo, o ato de cada uma deve dizer isso. Um ato de 2021 que ninguém revisou dificilmente descreve o trabalho real de hoje.
Agentes de pequeno porte seguem dispensados pela Resolução CD/ANPD nº 2/2022, mas precisam manter um canal com o titular. Para operadores a indicação é facultativa e, feita conforme a Resolução 18, conta como boa prática de governança (art. 6º), um dos atenuantes do regulamento de dosimetria.
2. Há um substituto?
Nas ausências, impedimentos e vacâncias, a função é exercida por substituto formalmente designado (art. 4º). É o ponto que mais fica de fora. Férias do encarregado não podem travar a resposta a um titular ou à ANPD.
3. O nome está no site, onde se encontra?
Os arts. 8º e 9º pedem identidade e contato divulgados de forma clara, em local de destaque e de fácil acesso, e mantidos atualizados. Para pessoa natural, nome completo; para pessoa jurídica, o nome empresarial e o da pessoa natural responsável. Na nossa leitura, um «privacidade@» atende ao contato mas não dispensa o nome, e um PDF de política de privacidade de vinte páginas não é «local de destaque». O mais seguro é um link no rodapé de todas as páginas.
4. Alguém analisou o conflito de interesse?
O art. 19, § 1º, aponta conflito quando o encarregado acumula atividades que envolvem tomar decisões estratégicas sobre o tratamento. Ele deve declarar qualquer situação de risco (art. 20), e a empresa deve não indicá-lo, afastar o risco ou substituí-lo (art. 21). A sanção, se houver, recai sobre o agente de tratamento.
A norma não lista cargos incompatíveis. Na nossa leitura, os acúmulos que mais pedem cuidado são os de quem define finalidades e meios: diretoria de TI, marketing, comercial ou RH. Jurídico ou compliance costuma ser mais defensável, desde que a pessoa não decida os tratamentos que vai avaliar. Deixe a análise escrita junto com o ato.
5. O encarregado é ouvido, ou só chamado em crise?
O art. 10 obriga a empresa a dar ao encarregado recursos, autonomia técnica, acesso direto à alta administração e a consultá-lo nas decisões estratégicas sobre tratamento. Um DPO externo acionado só quando chega reclamação não cumpre isso. E o verbo do art. 16 é «assistir e orientar»: o RIPD, a comunicação de incidentes e as transferências internacionais continuam sendo da empresa.
Um teste simples: mande uma solicitação de titular pelo canal publicado e meça quanto tempo leva a resposta. No GlobalSuite®, o módulo de Proteção de dados reúne o registro das operações de tratamento e a gestão do exercício de direitos, com a LGPD já carregada.
Fontes oficiais: Resolução CD/ANPD nº 18, de 16 de julho de 2024 (DOU de 17/07/2024), Resolução CD/ANPD nº 2/2022 e Lei nº 13.709/2018 (LGPD), art. 41. Conteúdo revisado em outubro de 2026.
