DPO na LGPD: quando é obrigatório.
O encarregado de proteção de dados (DPO, Data Protection Officer) é a figura central de accountability da Lei 13.709/18. Foi regulamentado pelo Art. 41 LGPD e detalhado pela Res. CD/ANPD 2/2022, que também estabeleceu dispensa pra agentes de pequeno porte.
Quando o DPO é obrigatório.
O Art. 41 LGPD exige que todo controlador designe um encarregado pra ser o canal entre titulares + ANPD + controlador. Operadores também devem designar em contratos de operação em escala. A Res. CD/ANPD 2/2022 dispensou agentes de pequeno porte (faturamento anual ≤ R$ 4,8 mi + tratamento em baixa frequência + sem dados sensíveis em larga escala) da designação formal — mas manteve obrigatória a abertura de canal de comunicação com titulares e ANPD.
Fiscalização não olha só faturamento: operação real pesa. Empresa de R$ 2 mi em receita que trata 500k titulares mensais provavelmente será enquadrada como não-pequeno-porte se houver incidente.
Atribuições do encarregado.
- Aceitar reclamações de titulares e prestar esclarecimentos (Art. 41 § 2º I)
- Receber comunicações da ANPD e adotar providências (Art. 41 § 2º II)
- Orientar funcionários do controlador sobre práticas LGPD (Art. 41 § 2º III)
- Outras atribuições regulamentadas pela ANPD ou em contrato com o controlador (Art. 41 § 2º IV)
A Res. CD/ANPD 2/2022 Art. 6º detalhou atribuições operacionais: manter ROPA (Art. 37), supervisionar DPIA quando Art. 38 indicar alto risco, coordenar resposta a incidentes (Res. CD/ANPD 15/2024), elaborar política de privacidade pública e treinar colaboradores.
DPO interno, externo ou as-a-service?
Funcionário dedicado · vínculo CLT · mínimo 20h/sem pra função · adequado pra operação acima de 50 colaboradores com tratamento em larga escala.
Advogado especializado · terceirizado por escritório LGPD · adequado pra médio porte · risco: sobrecarga de clientes diluindo atenção.
Plataforma + operador humano remoto · previsível mensal · adequado pra startup/scaleup sem budget pra CLT. Res. 2/2022 validou explicitamente.