# Encarregado de dados (DPO): quando é obrigatório e o que ele faz Guia · UNIFOKAL · 25 de agosto de 2026 · 7 min de leitura · LGPD e compliance Quando a LGPD obriga a indicar um encarregado de dados, o que a Resolução CD/ANPD 18/2024 mudou na prática e como avaliar o DPO de um fornecedor de verificação de identidade antes de assinar. Toda empresa que trata dados pessoais no Brasil esbarra cedo ou tarde na mesma pergunta: precisamos indicar um encarregado de dados? A figura, que o mercado chama de DPO (Data Protection Officer, nome herdado dos arts. 37 a 39 do regulamento europeu, o GDPR), é o canal formal entre a empresa, os titulares dos dados e a Agência Nacional de Proteção de Dados (ANPD). Em operações de verificação de identidade a pergunta pesa dobrado, porque o fluxo trata CPF, documento e biometria facial, e dado biométrico é dado pessoal sensível na definição do art. 5º, II, da Lei 13.709/2018 (LGPD). A resposta curta: se a sua empresa é controladora de dados pessoais, a regra geral é indicar. A dispensa para agentes de pequeno porte existe, mas tem uma exceção que alcança justamente quem verifica identidade em escala. E desde 2024 existe norma específica da ANPD dizendo como a indicação deve ser feita. Este artigo responde as três perguntas práticas: quando a indicação é obrigatória, o que o encarregado faz de verdade no dia a dia e como avaliar o encarregado de um fornecedor antes de assinar contrato com ele. ## A letra da lei: o art. 41 da LGPD A LGPD trata do encarregado em dois pontos principais. O art. 5º, VIII, o define como a pessoa indicada para atuar como canal de comunicação entre o agente de tratamento, os titulares dos dados e a ANPD. O art. 41 cria a obrigação: o controlador deve indicar um encarregado e divulgar a identidade e as informações de contato dele de forma pública, clara e objetiva, preferencialmente no site da empresa. O §2º do mesmo artigo lista as atividades mínimas da função: - aceitar reclamações e comunicações dos titulares, prestar esclarecimentos e adotar providências; - receber comunicações da ANPD e adotar providências; - orientar funcionários e contratados da empresa sobre as práticas de proteção de dados pessoais; - executar as demais atribuições determinadas pelo controlador ou estabelecidas em normas complementares. Duas leituras erradas aparecem com frequência. A primeira é tratar o encarregado como um nome decorativo no rodapé do site: sem um canal que responde, os direitos do titular listados no art. 18 ficam sem porta de entrada, e canal que não responde é das primeiras coisas que uma fiscalização consegue comprovar. A segunda é esquecer que a obrigação do art. 41 recai sobre o controlador: para o operador, que trata dados em nome de outra empresa, a indicação é facultativa segundo a regulamentação da ANPD, tratada como boa prática. Na relação com um fornecedor de verificação, a sua empresa é a controladora e o fornecedor costuma atuar como operador, e é por isso que o encarregado do fornecedor entra na sua diligência mesmo sem ser, para ele, obrigação legal estrita. ## Quem está dispensado, e quem só acha que está A dispensa tem nome e norma: agente de tratamento de pequeno porte, regulado pela Resolução CD/ANPD 2/2022. Microempresas, empresas de pequeno porte e startups enquadradas ficam dispensadas de indicar encarregado, desde que mantenham um canal de comunicação com o titular para atender os pedidos do art. 18. O detalhe que muda tudo para quem trabalha com identidade: o tratamento diferenciado não alcança quem realiza tratamento de alto risco, e a própria resolução traz os critérios para caracterizá-lo, combinando um critério geral, como o tratamento em larga escala, com um critério específico, como o uso de dados sensíveis. Verificação biométrica de milhares de pessoas por mês é exatamente essa combinação. Uma startup pequena no faturamento pode ser grande no tratamento: a leitura prudente, para quem roda onboarding com biometria em volume, é considerar que a dispensa não se aplica. A escolha do fundamento jurídico para esse tratamento é um capítulo próprio, tratado em detalhe no artigo sobre [base legal para biometria na LGPD](https://unifokal.com/blog/lgpd-biometria-base-legal). ## O que mudou com a Resolução CD/ANPD 18/2024 Até 2024 o art. 41 vivia sem regulamento, e cada empresa preenchia as lacunas com interpretação própria. A Resolução CD/ANPD 18/2024 fixou as regras operacionais da função: - o encarregado pode ser pessoa natural ou pessoa jurídica, interna ou externa à organização; - a indicação deve ser formal, por ato documentado que a empresa consegue apresentar se questionada; - não se exige certificação, diploma ou registro profissional específico: nenhum selo de mercado é requisito legal para exercer a função; - o acúmulo de funções é permitido, inclusive atender mais de um agente de tratamento, desde que não haja conflito de interesses e que o atendimento seja viável na prática; - o agente de tratamento deve fornecer os meios necessários para o exercício da função. O ponto do conflito de interesses merece tradução: quem define os objetivos comerciais do tratamento não é a melhor pessoa para fiscalizá-lo. Nomear como encarregado o mesmo diretor que decide quais dados o produto coleta cria um revisor que revisa a si próprio, e a resolução dá à ANPD base para questionar esse arranjo. ## O encarregado no dia a dia de um fluxo de verificação Fora do papel, o trabalho do encarregado numa operação de KYC (Know Your Customer, o processo de conhecer o cliente) tem forma bem concreta: 1. Mapear a base legal de cada fluxo: a identificação exigida pela Lei 9.613/1998 se apoia na hipótese de obrigação legal, enquanto um uso novo do mesmo dado pode exigir outro fundamento, e essa análise precisa estar escrita antes de o fluxo entrar no ar. 2. Revisar prazos de guarda e eliminação, tema detalhado no artigo sobre [retenção de dados de verificação](https://unifokal.com/blog/retencao-de-dados-de-verificacao): guarda obrigatória não é licença para guardar tudo para sempre. 3. Atender o titular que pede eliminação quando parte dos dados está sob guarda legal obrigatória, explicando o que pode e o que não pode ser apagado, com prazo e fundamento. 4. Coordenar a resposta a incidentes: o art. 48 da LGPD exige comunicar a ANPD e o titular quando o incidente puder acarretar risco ou dano relevante, e incidente envolvendo dado biométrico dificilmente escapa dessa régua. ## Como avaliar o encarregado do seu fornecedor Se a sua empresa contrata um fornecedor de verificação, o tratamento que ele executa em seu nome continua sendo responsabilidade sua: é a lógica dos arts. 42 a 45 da LGPD, que tratam da responsabilização dos agentes. Quatro verificações baratas antes de assinar: - identidade e contato do encarregado publicados no site, como manda o §1º do art. 41; - contrato de tratamento de dados (DPA) disponível, dizendo quem é controlador, quem é operador e qual o destino dos dados no fim do contrato; - canal do titular que responde de fato: envie um pedido de teste e cronometre a resposta; - ausência de conflito evidente entre quem responde pela proteção de dados e quem vende o produto. É o critério que aplicamos a nós mesmos: a UNIFOKAL mantém encarregado nomeado, canal público do titular em [/direitos](https://unifokal.com/direitos) e DPA publicado, e a recomendação é não aceitar menos de nenhum fornecedor, na linha do roteiro completo de [avaliação de fornecedor de KYC](https://unifokal.com/blog/como-avaliar-fornecedor-de-kyc). ## Fontes citadas - Lei 13.709/2018 (LGPD), arts. 5º, 18, 41, 42 a 45 e 48, disponível no portal do Planalto: [planalto.gov.br](https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm) - Resolução CD/ANPD 2/2022, regulamento de aplicação da LGPD para agentes de tratamento de pequeno porte, da Autoridade Nacional de Proteção de Dados - Resolução CD/ANPD 18/2024, regulamento sobre a atuação do encarregado pelo tratamento de dados pessoais, da Autoridade Nacional de Proteção de Dados - Lei 9.613/1998, sobre os crimes de lavagem de dinheiro e a obrigação de identificação de clientes: [planalto.gov.br](https://www.planalto.gov.br/ccivil_03/leis/l9613.htm) - Regulamento (UE) 2016/679 (GDPR), arts. 37 a 39, origem da figura do DPO, disponível no EUR-Lex: [eur-lex.europa.eu](https://eur-lex.europa.eu/eli/reg/2016/679/oj)