DPO as a Service: o que faz o encarregado de dados e o que diz a Resolução CD/ANPD nº 18/2024

A Lei Geral de Proteção de Dados (LGPD) exige que a empresa indique um encarregado pelo tratamento de dados pessoais, o DPO. Em julho de 2024, a Autoridade Nacional de Proteção de Dados (ANPD) publicou a Resolução CD/ANPD nº 18/2024, que detalha como esse encarregado deve atuar. O DPO as a Service é o modelo em que essa função é exercida de forma contínua por um prestador externo.

Quem precisa indicar encarregado

A regra geral está no art. 41 da LGPD: o controlador, isto é, a empresa que decide sobre o tratamento dos dados, deve indicar o encarregado. A identidade e o contato do encarregado devem ser divulgados publicamente, de forma clara e objetiva, de preferência no site da empresa (art. 41, § 1º).

Os agentes de tratamento de pequeno porte, como microempresas e empresas de pequeno porte que se enquadram nos critérios da ANPD, não são obrigados a indicar encarregado, mas precisam manter um canal de comunicação com o titular dos dados (Resolução CD/ANPD nº 2/2022, art. 11).

O que o encarregado faz

Pela LGPD (art. 41, § 2º) e pela Resolução CD/ANPD nº 18/2024 (art. 15), o encarregado:

• aceita reclamações e comunicações dos titulares, presta esclarecimentos e adota providências;
• recebe comunicações da ANPD e adota providências;
• orienta funcionários e contratados sobre as práticas de proteção de dados pessoais;
• executa as demais atribuições definidas pela empresa ou por normas complementares.

A Resolução também prevê que o encarregado preste assistência e orientação à empresa (art. 16) em temas como o registro e a comunicação de incidentes, o registro das operações de tratamento, o relatório de impacto, a supervisão de riscos, as medidas de segurança, as políticas internas, os contratos, a transferência internacional e a privacidade desde a concepção.

O encarregado pode ser externo?

Sim. A Resolução CD/ANPD nº 18/2024 admite que o encarregado seja uma pessoa natural, da própria empresa ou de fora dela, ou uma pessoa jurídica. A indicação é feita por um ato formal: um documento escrito, datado e assinado, que deve ser apresentado à ANPD quando ela solicitar (art. 3º).

A Resolução também trata do conflito de interesse, definido como a situação que possa comprometer a objetividade e o julgamento técnico do encarregado (art. 2º, II). Na prática, vale avaliar se quem assume a função não acumula papéis que o coloquem para fiscalizar as próprias decisões.

A responsabilidade continua sendo da empresa

Indicar um encarregado, interno ou externo, não transfere a responsabilidade. A conformidade do tratamento de dados continua sendo da empresa (Resolução CD/ANPD nº 18/2024, arts. 11 e 17). O encarregado orienta, acompanha e faz a ponte com os titulares e com a ANPD, mas as decisões e os recursos para cumprir a lei são da empresa.

O que é o DPO as a Service, na prática

Em vez de uma adequação pontual, que entrega documentos e termina, o DPO as a Service mantém a proteção de dados como rotina. Isso importa porque a LGPD não termina na política publicada: processos mudam, fornecedores entram e saem, titulares fazem pedidos a qualquer momento e a ANPD segue publicando orientações.

Na Intelecto, o DPO as a Service inclui a adequação à LGPD e o acompanhamento contínuo: levantamento com as áreas da empresa, documentos e mapa de riscos, avaliação de fornecedores, atendimento às solicitações dos titulares e acompanhamento das mudanças normativas. A plataforma Conformis organiza o programa com apoio de IA, e o encarregado valida o que a IA organiza.

Como escolher

• Verifique se o serviço inclui a adequação ou só a função de encarregado.
• Pergunte como são tratados os pedidos dos titulares e em quanto tempo.
• Veja como os fornecedores que tratam dados em nome da empresa são avaliados.
• Desconfie de promessas de conformidade garantida: a responsabilidade é sempre da empresa.

Este artigo é informativo e não substitui orientação jurídica. Confira sempre o texto atualizado da LGPD e das resoluções no site da ANPD.