Preciso ter um Encarregado (DPO)? A dispensa não é automática

18 de julho de 2026LGPD de Todos13 min de leitura

A regra é indicar, a dispensa existe, e ela cai em três situações. A LGPD manda o controlador indicar Encarregado no Art. 41, e a Resolução 2/2022 dispensa os agentes de pequeno porte. Só que o Art. 3º dessa mesma Resolução tira do regime diferenciado quem trata dados de alto risco, e esse critério alcança bem mais gente do que parece. Mesmo dispensado, você continua precisando de um canal com o titular.

A pergunta costuma vir com uma dose de pânico, porque o mercado vende a função como se ela exigisse contratar um especialista caro com certificação internacional. Vale começar desmontando isso: a ANPD diz, com todas as letras, que não é preciso certificação, formação específica nem registro em lugar nenhum. O que o mercado cobra por encarregado como serviço aparece em quanto custa a adequação à LGPD.

1. A regra, e a dispensa

O Art. 41 da LGPD diz que o controlador deverá indicar encarregado pelo tratamento de dados pessoais. É uma frase curta e sem exceção no corpo da lei. A exceção veio depois, por regulamento.

O § 3º do mesmo artigo autorizou a ANPD a estabelecer normas complementares, "inclusive hipóteses de dispensa da necessidade de sua indicação, conforme a natureza e o porte da entidade ou o volume de operações de tratamento". Foi com base nisso que a Resolução CD/ANPD nº 2, de 27 de janeiro de 2022, criou a dispensa, no Art. 11: os agentes de tratamento de pequeno porte não são obrigados a indicar o encarregado exigido no Art. 41 da LGPD.

Vale saber quem entra nessa categoria, porque ela é mais larga do que o nome sugere. Pelo Art. 2º, I da Resolução, agentes de tratamento de pequeno porte são microempresas, empresas de pequeno porte, startups, pessoas jurídicas de direito privado inclusive sem fins lucrativos, além de pessoas naturais e entes privados despersonalizados que tratam dados. O inciso II inclui expressamente o microempreendedor individual, e a figura do ente privado despersonalizado é o que põe o condomínio dentro da categoria, como mostra LGPD em condomínios.

Repare que o operador tem regra própria. Segundo o Guia da ANPD sobre a atuação do encarregado, ao explicar a Resolução 18/2024, para o operador a indicação é facultativa e conta como boa prática. Se você ainda não sabe de que lado da mesa está, a distinção está em fornecedor que acessa os dados dos seus clientes.

2. As três situações que derrubam a dispensa

Ser de pequeno porte não basta. O Art. 3º da Resolução 2/2022 lista quem não pode se beneficiar do tratamento jurídico diferenciado, e são três hipóteses.

Sobre os valores, uma ressalva de método: a Resolução não escreve número nenhum, ela aponta para leis complementares. Nas figuras do Guia, a própria ANPD indica R$ 4,8 milhões para empresa de pequeno porte e R$ 16 milhões para startup. Como esses tetos são fixados por lei complementar e podem mudar, o certo é conferir o valor vigente em vez de decorar o número.

O critério que decide a maioria dos casos, porém, é o primeiro. O Art. 4º considera de alto risco o tratamento que atende cumulativamente a pelo menos um critério geral e um específico. Os gerais são tratamento em larga escala ou tratamento que possa afetar significativamente interesses e direitos fundamentais. Os específicos são tecnologias emergentes, vigilância de zonas acessíveis ao público, decisões automatizadas, ou uso de dados sensíveis ou de dados de crianças, adolescentes e idosos.

Esse exemplo vale por um manual inteiro. Clínica, cuidador, escola, creche, casa de repouso e qualquer negócio que trate saúde ou atenda crianças, adolescentes ou idosos deve olhar essa conta com atenção antes de assumir que está fora.

3. Dispensado não quer dizer livre

Quem é dispensado de indicar continua obrigado a manter um canal de comunicação com o titular. Está no § 1º do mesmo Art. 11 da Resolução 2/2022.

O texto é direto: o agente de pequeno porte que não indicar um encarregado deve disponibilizar um canal de comunicação com o titular de dados para atender o disposto no Art. 41, § 2º, I da LGPD, que é a atividade de aceitar reclamações e comunicações dos titulares, prestar esclarecimentos e adotar providências. O Guia repete isso e acrescenta que, para esses agentes, indicar encarregado é considerado política de boas práticas e governança.

Na prática, a dispensa troca uma pessoa nomeada por uma porta que funciona. E a porta tem que funcionar de verdade: alguém precisa ler o que chega, responder dentro de um prazo razoável e registrar o que foi decidido. O que fazer quando um pedido chega por ali está em um cliente pediu para apagar os dados.

4. Quem pode ser, e o que não é exigido

Esta é a parte que costuma aliviar. O Guia da ANPD afirma que "o exercício da função de encarregado não depende de registro junto à anpd ou a associações privadas" e que "também não é necessária uma formação profissional específica, ou a obtenção de certificações específicas".

O encarregado pode ser pessoa natural, como um funcionário da organização, ou pessoa jurídica contratada para isso. Quem define as qualificações necessárias é o próprio agente de tratamento, considerando o conhecimento sobre a legislação e o contexto, o volume e o risco das operações. O Guia sugere que conhecimentos de gestão de riscos, governança, segurança da informação e do próprio negócio ajudam, mas nenhum deles é requisito.

Duas regras práticas que o Guia registra e que economizam discussão. A indicação não pode recair sobre um setor ou departamento: precisa ser uma pessoa, natural ou jurídica. E o encarregado precisa conseguir se comunicar em português, porque ele é o canal com o titular, com a empresa e com a ANPD.

Há ainda uma recomendação que quase ninguém segue e que custa uma linha: designar um substituto no mesmo momento em que se designa o titular. O Guia lembra que ausências, impedimentos e vacância não podem virar obstáculo para o titular exercer direitos, e que o substituto segue os mesmos requisitos, inclusive o de ter identidade e contato divulgados.

5. O conflito de interesses, que é onde a maioria tropeça

A pergunta natural é "posso ser eu mesmo?", e a resposta é "talvez, e escreva por quê". O Guia dedica um capítulo ao conflito de interesses, e ele mira exatamente os cargos que uma equipe enxuta tem à mão.

A definição vem do regulamento do encarregado, na leitura do Guia: conflito de interesse é a situação que possa comprometer, influenciar ou afetar de maneira imprópria a objetividade e o julgamento técnico no desempenho das atribuições. E o Guia é claro sobre onde isso costuma aparecer: "posições conflitantes são observadas quando o encarregado acumula cargos de chefia, gerência ou direção, responsáveis pela determinação de meios e objetivos do tratamento de dados pessoais, a exemplo de setores responsáveis pela gestão de recursos humanos, tecnologia da informação, finanças ou saúde".

Nada disso é proibição automática. O Guia diz que o conflito "deve ser verificado no caso concreto" e que, comprovado, "poderá ensejar a aplicação de sanção ao agente de tratamento". Ou seja: quem responde não é a pessoa indicada, é a empresa que indicou.

O que o Guia manda fazer, quando o risco existe, é escolher entre três caminhos: não indicar aquela pessoa, implementar medidas que afastem o risco, ou substituí-la. E há um dever de mão dupla: o encarregado deve declarar qualquer situação de conflito, respondendo pela veracidade do que declara, e o agente de tratamento deve analisar a possibilidade de conflito no momento da indicação.

6. O ato formal, escrito, datado e assinado

A indicação não vale de boca. Segundo o Guia, ela deve ser feita por ato formal do agente de tratamento, do qual constem as formas de atuação e as atividades a serem desempenhadas.

E o Guia define o que é ato formal, citando o regulamento: "um documento escrito, datado e assinado, que, de maneira clara e inequívoca, demonstre a intenção do agente de tratamento em designar como encarregado uma pessoa natural ou uma pessoa jurídica". Pode ser um contrato, um instrumento particular específico ou, no caso de quem já é empregado, um termo aditivo ao contrato de trabalho.

Dois esclarecimentos que economizam tempo. Primeiro: não é preciso comunicar a indicação à ANPD, e o ato não precisa estar publicado no site. Segundo: ele precisa ser guardado, porque a Autoridade pode pedir a qualquer momento, por exemplo em uma fiscalização, como prova de cumprimento do Art. 41.

O que se publica é outra coisa, e é o assunto da próxima seção.

7. Por que só o e-mail não basta

O Art. 41, § 1º manda divulgar publicamente a identidade e as informações de contato do encarregado. São duas coisas, e a maioria dos sites publica só a segunda.

O Guia analisa exatamente esse caso: uma empresa que indicou a encarregada e publicou apenas o endereço encarregada@empresa.com.br na página de proteção de dados. A conclusão é de desconformidade, porque "o e-mail é uma informação de contato, não configura elemento que identifique o encarregado".

E aqui dá para ir direto ao texto da norma, que a ANPD reproduz na íntegra no seu relatório de monitoramento. O Art. 9º do Regulamento sobre a atuação do encarregado diz que identidade e contato "deverão ser divulgadas publicamente, de forma clara e objetiva, em local de destaque e de fácil acesso, no sítio eletrônico do agente de tratamento". E o § 1º define o que é identidade: "o nome completo, se for pessoa natural" ou "o nome empresarial ou o título do estabelecimento, bem como o nome completo da pessoa natural responsável, se pessoa jurídica".

Repare em "local de destaque e de fácil acesso". Isso está no corpo do artigo, não é recomendação de guia, e na prática quer dizer não esconder a informação no fim de uma política de vinte páginas.

E há uma facilidade explícita para quem não tem site, também no texto: o § 3º diz que o agente "que não possuir sítio eletrônico poderá realizar a divulgação da identidade e das informações de contato do encarregado por quaisquer outros meios de comunicação disponíveis, especialmente aqueles usualmente utilizados para contato com os titulares". O Guia detalha o que isso permite na prática, incluindo avisos físicos no estabelecimento, placas ou folhetos.

8. Perguntas frequentes

Sou dispensado de indicar Encarregado?

Talvez, e a resposta exige uma conferida. O Art. 11 da Resolução CD/ANPD nº 2/2022 dispensa os agentes de tratamento de pequeno porte, mas o Art. 3º da mesma Resolução tira do regime diferenciado quem realiza tratamento de alto risco, quem tem receita acima dos limites legais e quem pertence a grupo econômico acima desses limites. Alto risco é o critério que mais pega gente de surpresa, porque basta um critério geral somado a um específico, como usar dado sensível ou tratar dados de crianças, adolescentes ou idosos.

Preciso contratar alguém certificado para ser Encarregado?

Não. O Guia da ANPD sobre a atuação do encarregado é direto: o exercício da função não depende de registro junto à ANPD ou a associações privadas, e também não é necessária uma formação profissional específica ou a obtenção de certificações específicas. Quem define as qualificações é o próprio agente de tratamento, considerando o contexto, o volume e o risco das operações. Encarregado pode ser pessoa natural, como um funcionário, ou pessoa jurídica contratada para isso.

O dono da empresa pode ser o Encarregado?

Pode, mas é a escolha que mais exige cuidado, por causa do conflito de interesses. O Guia da ANPD diz que posições conflitantes aparecem quando o encarregado acumula cargos de chefia, gerência ou direção responsáveis por determinar meios e objetivos do tratamento, e cita como exemplos as áreas de recursos humanos, tecnologia da informação, finanças e saúde. Não é proibição automática: é uma análise do caso concreto, que precisa estar registrada, e o conflito comprovado pode gerar sanção ao agente de tratamento.

Basta publicar um e-mail no site?

Não basta. O Guia da ANPD analisa exatamente esse caso e conclui que há desconformidade: o e-mail é informação de contato, e não identidade. O Art. 9º, § 1º do Regulamento sobre a atuação do encarregado é expresso: a divulgação da identidade abrange, no mínimo, "o nome completo, se for pessoa natural" ou "o nome empresarial ou o título do estabelecimento, bem como o nome completo da pessoa natural responsável, se pessoa jurídica". Quem não tem site pode divulgar por outros meios usuais de contato, pelo § 3º do mesmo artigo, inclusive avisos físicos no estabelecimento.

Preciso avisar a ANPD quem é o meu Encarregado?

Não. O Guia é explícito ao dizer que não é necessária a comunicação da indicação à ANPD e que o ato formal de indicação não precisa estar disponível no site. Mas ele precisa existir e ser guardado: o documento deve ser mantido pelo agente de tratamento e apresentado à Autoridade quando solicitado, por exemplo no curso de uma fiscalização.

Quem pode ser o Encarregado, ou DPO, pela LGPD?

Pessoa natural ou jurídica, de dentro ou de fora da empresa. O Art. 41 não exige certificação, formação jurídica nem dedicação exclusiva; o próprio dono, um funcionário ou uma empresa contratada podem exercer a função. O que a Resolução CD/ANPD nº 18/2024 pede é que a pessoa tenha condições de fazer o trabalho, que a identidade e o contato sejam publicados, e que a atuação não entre em conflito de interesses com outras funções, o que afasta, por exemplo, quem decide sozinho sobre os tratamentos que teria que fiscalizar. Para o operador a indicação é facultativa e conta como boa prática.

Fontes: Lei nº 13.709/2018 (LGPD), Art. 41 · Resolução CD/ANPD nº 2, de 27 de janeiro de 2022, Arts. 2º, 3º, 4º e 11 · ANPD, Guia Orientativo Atuação do encarregado pelo tratamento de dados pessoais, versão 1.0, dezembro de 2024 · ANPD, 3º Relatório de Ciclo de Monitoramento, que reproduz o Art. 9º da Resolução CD/ANPD nº 18/2024

Publicado por LGPD de Todos, projeto da EFAR Consultoria em TI. Veja como produzimos os nossos textos.