Encarregado de dados (DPO): quando é obrigatório e o que ele faz

Toda empresa que trata dados pessoais no Brasil esbarra cedo ou tarde na mesma pergunta: precisamos indicar um encarregado de dados? A figura, que o mercado chama de DPO (Data Protection Officer, nome herdado dos arts. 37 a 39 do regulamento europeu, o GDPR), é o canal formal entre a empresa, os titulares dos dados e a Autoridade Nacional de Proteção de Dados (ANPD). Em operações de verificação de identidade a pergunta pesa dobrado, porque o fluxo trata CPF, documento e biometria facial, e dado biométrico é dado pessoal sensível na definição do art. 5º, II, da Lei 13.709/2018 (LGPD).

A resposta curta: se a sua empresa é controladora de dados pessoais, a regra geral é indicar. A dispensa para agentes de pequeno porte existe, mas tem uma exceção que alcança justamente quem verifica identidade em escala. E desde 2024 existe norma específica da ANPD dizendo como a indicação deve ser feita.

Este artigo responde as três perguntas práticas: quando a indicação é obrigatória, o que o encarregado faz de verdade no dia a dia e como avaliar o encarregado de um fornecedor antes de assinar contrato com ele.

A letra da lei: o art. 41 da LGPD

A LGPD trata do encarregado em dois pontos principais. O art. 5º, VIII, o define como a pessoa indicada para atuar como canal de comunicação entre o agente de tratamento, os titulares dos dados e a ANPD. O art. 41 cria a obrigação: o controlador deve indicar um encarregado e divulgar a identidade e as informações de contato dele de forma pública, clara e objetiva, preferencialmente no site da empresa.

O §2º do mesmo artigo lista as atividades mínimas da função:

• aceitar reclamações e comunicações dos titulares, prestar esclarecimentos e adotar providências;
• receber comunicações da ANPD e adotar providências;
• orientar funcionários e contratados da empresa sobre as práticas de proteção de dados pessoais;
• executar as demais atribuições determinadas pelo controlador ou estabelecidas em normas complementares.

Duas leituras erradas aparecem com frequência. A primeira é tratar o encarregado como um nome decorativo no rodapé do site: sem um canal que responde, os direitos do titular listados no art. 18 ficam sem porta de entrada, e canal que não responde é das primeiras coisas que uma fiscalização consegue comprovar. A segunda é esquecer que a obrigação do art. 41 recai sobre o controlador: para o operador, que trata dados em nome de outra empresa, a indicação é facultativa segundo a regulamentação da ANPD, tratada como boa prática. Na relação com um fornecedor de verificação, a sua empresa é a controladora e o fornecedor costuma atuar como operador, e é por isso que o encarregado do fornecedor entra na sua diligência mesmo sem ser, para ele, obrigação legal estrita.

Quem está dispensado, e quem só acha que está

A dispensa tem nome e norma: agente de tratamento de pequeno porte, regulado pela Resolução CD/ANPD 2/2022. Microempresas, empresas de pequeno porte e startups enquadradas ficam dispensadas de indicar encarregado, desde que mantenham um canal de comunicação com o titular para atender os pedidos do art. 18.

O detalhe que muda tudo para quem trabalha com identidade: o tratamento diferenciado não alcança quem realiza tratamento de alto risco, e a própria resolução traz os critérios para caracterizá-lo, combinando um critério geral, como o tratamento em larga escala, com um critério específico, como o uso de dados sensíveis. Verificação biométrica de milhares de pessoas por mês é exatamente essa combinação. Uma startup pequena no faturamento pode ser grande no tratamento: a leitura prudente, para quem roda onboarding com biometria em volume, é considerar que a dispensa não se aplica. A escolha do fundamento jurídico para esse tratamento é um capítulo próprio, tratado em detalhe no artigo sobre base legal para biometria na LGPD.

O que mudou com a Resolução CD/ANPD 18/2024

Até 2024 o art. 41 vivia sem regulamento, e cada empresa preenchia as lacunas com interpretação própria. A Resolução CD/ANPD 18/2024 fixou as regras operacionais da função:

• o encarregado pode ser pessoa natural ou pessoa jurídica, interna ou externa à organização;
• a indicação deve ser formal, por ato documentado que a empresa consegue apresentar se questionada;
• não se exige certificação, diploma ou registro profissional específico: nenhum selo de mercado é requisito legal para exercer a função;
• o acúmulo de funções é permitido, inclusive atender mais de um agente de tratamento, desde que não haja conflito de interesses e que o atendimento seja viável na prática;
• o agente de tratamento deve fornecer os meios necessários para o exercício da função.

O ponto do conflito de interesses merece tradução: quem define os objetivos comerciais do tratamento não é a melhor pessoa para fiscalizá-lo. Nomear como encarregado o mesmo diretor que decide quais dados o produto coleta cria um revisor que revisa a si próprio, e a resolução dá à ANPD base para questionar esse arranjo.

O encarregado no dia a dia de um fluxo de verificação

Fora do papel, o trabalho do encarregado numa operação de KYC (Know Your Customer, o processo de conhecer o cliente) tem forma bem concreta:

1. Mapear a base legal de cada fluxo: a identificação exigida pela Lei 9.613/1998 se apoia na hipótese de obrigação legal, enquanto um uso novo do mesmo dado pode exigir outro fundamento, e essa análise precisa estar escrita antes de o fluxo entrar no ar.
2. Revisar prazos de guarda e eliminação, tema detalhado no artigo sobre retenção de dados de verificação: guarda obrigatória não é licença para guardar tudo para sempre.
3. Atender o titular que pede eliminação quando parte dos dados está sob guarda legal obrigatória, explicando o que pode e o que não pode ser apagado, com prazo e fundamento.
4. Coordenar a resposta a incidentes: o art. 48 da LGPD exige comunicar a ANPD e o titular quando o incidente puder acarretar risco ou dano relevante, e incidente envolvendo dado biométrico dificilmente escapa dessa régua.

Como avaliar o encarregado do seu fornecedor

Se a sua empresa contrata um fornecedor de verificação, o tratamento que ele executa em seu nome continua sendo responsabilidade sua: é a lógica dos arts. 42 a 45 da LGPD, que tratam da responsabilização dos agentes. Quatro verificações baratas antes de assinar:

• identidade e contato do encarregado publicados no site, como manda o §1º do art. 41;
• contrato de tratamento de dados (DPA) disponível, dizendo quem é controlador, quem é operador e qual o destino dos dados no fim do contrato;
• canal do titular que responde de fato: envie um pedido de teste e cronometre a resposta;
• ausência de conflito evidente entre quem responde pela proteção de dados e quem vende o produto.

É o critério que aplicamos a nós mesmos: a UNIFOKAL mantém encarregado nomeado, canal público do titular em /direitos e DPA publicado, e a recomendação é não aceitar menos de nenhum fornecedor, na linha do roteiro completo de avaliação de fornecedor de KYC.

Fontes citadas

• Lei 13.709/2018 (LGPD), arts. 5º, 18, 41, 42 a 45 e 48, disponível no portal do Planalto: planalto.gov.br
• Resolução CD/ANPD 2/2022, regulamento de aplicação da LGPD para agentes de tratamento de pequeno porte, da Autoridade Nacional de Proteção de Dados
• Resolução CD/ANPD 18/2024, regulamento sobre a atuação do encarregado pelo tratamento de dados pessoais, da Autoridade Nacional de Proteção de Dados
• Lei 9.613/1998, sobre os crimes de lavagem de dinheiro e a obrigação de identificação de clientes: planalto.gov.br
• Regulamento (UE) 2016/679 (GDPR), arts. 37 a 39, origem da figura do DPO, disponível no EUR-Lex: eur-lex.europa.eu