ANPD•

12 de maio de 2026

•

Together Team

O que é DPO? Funções, regras e atuação nas empresas

Entender o que é DPO começa por separar o nome usado no mercado da figura prevista na legislação brasileira. DPO é a sigla de *Data Protection Officer*. No Brasil, ela é empregada com frequência para designar o encarregado pelo tratamento de dados pessoais da Lei Geral de Proteção de Dados, a LGPD.

O que é DPO e qual a relação com o encarregado de dados?

A relação é próxima, mas merece precisão. A própria ANPD explica que o termo DPO vem do regulamento europeu e costuma ser usado como referência ao encarregado brasileiro. Isso não significa que as atividades e responsabilidades dos dois papéis sejam idênticas, pois pertencem a ordenamentos jurídicos distintos. Para uma empresa sujeita à LGPD, a referência normativa é o encarregado definido pela lei e regulamentado pela ANPD.

Em termos práticos, o que é DPO dentro de uma empresa? É a pessoa natural ou jurídica indicada para atuar como canal de comunicação entre o controlador, os titulares dos dados e a ANPD. Além desse contato, o papel inclui orientar funcionários e contratados e prestar assistência à organização em temas de proteção de dados. Para operadores, a indicação é facultativa e pode integrar suas boas práticas de governança.

O DPO não deve ser apenas um nome publicado na política de privacidade. A função precisa estar conectada à operação, conhecer os fluxos relevantes, receber demandas, orientar decisões e encaminhar providências às áreas responsáveis. Essa atuação é parte da governança de privacidade, não uma promessa de que uma única pessoa resolverá toda a conformidade da empresa.

Ao explicar o que é DPO à liderança, portanto, vale apresentar três dimensões inseparáveis: canal de comunicação, orientação especializada e integração com a governança da empresa.

O que é DPO segundo a LGPD e a Resolução 18/2024?

A LGPD define o encarregado como a pessoa indicada pelo controlador e pelo operador para atuar como canal de comunicação com os titulares e a ANPD. O artigo 41 descreve quatro atividades centrais:

aceitar reclamações e comunicações dos titulares, prestar esclarecimentos e adotar providências;
receber comunicações da ANPD e adotar providências;
orientar funcionários e contratados sobre práticas de proteção de dados pessoais;
executar outras atribuições determinadas pelo agente de tratamento ou estabelecidas em normas complementares.

A Resolução CD/ANPD nº 18/2024 detalha essa estrutura. Seu artigo 16 prevê assistência e orientação em atividades como registro de operações, incidentes de segurança, relatório de impacto, medidas de segurança, políticas internas, contratos, transferências internacionais, governança em privacidade e produtos concebidos com proteção de dados desde o desenho.

Essa distinção é importante para compreender o que é DPO na rotina. Em muitos desses temas, o encarregado assessora, orienta e articula. A execução pode depender de jurídico, tecnologia, segurança, RH, compras, atendimento, marketing ou produto. A decisão sobre finalidades e meios do tratamento continua com o controlador, não migra automaticamente para o DPO.

Exemplos de atuação regulatória e operacional

Considere situações frequentes:

atendimento recebe um pedido de acesso, correção ou eliminação de dados;
marketing pretende reutilizar uma base de contatos em nova campanha;
compras avalia um fornecedor de CRM, folha de pagamento ou inteligência artificial;
produto quer lançar uma funcionalidade que amplia a coleta de informações;
segurança identifica um possível incidente com dados pessoais;
RH pretende adotar biometria ou monitoramento de colaboradores;
a empresa precisa revisar cláusulas de transferência internacional.

O encarregado ajuda a identificar os pontos de proteção de dados, aciona os responsáveis e acompanha o encaminhamento. Uma operação madura define prazos, responsáveis e evidências para que o assunto não dependa de improviso.

Toda empresa precisa indicar um DPO?

Responder o que é DPO não autoriza afirmar que toda empresa, sem exceção, precisa nomear um. Em linhas gerais, a LGPD determina que o controlador indique o encarregado. Para operadores, a Resolução 18/2024 trata a indicação como facultativa e como política de boas práticas de governança.

Também existe tratamento diferenciado para certos agentes de tratamento de pequeno porte. A regulamentação da ANPD prevê hipótese de dispensa, mas o enquadramento como pequeno porte, por si só, não garante o benefício. É preciso verificar as condições da Resolução CD/ANPD nº 2/2022, inclusive situações que afastam o regime diferenciado, como a realização de tratamento de alto risco ou a superação dos limites aplicáveis.

Mesmo quando dispensado de indicar encarregado, o agente de pequeno porte deve disponibilizar canal de comunicação com o titular. Esse canal precisa permitir reclamações, comunicações e esclarecimentos. A FAQ da ANPD sobre adequação à LGPD confirma tanto a regra geral quanto a possibilidade de dispensa em determinadas circunstâncias.

Portanto, a análise deve considerar o papel exercido em cada tratamento, o porte, o grupo econômico, o risco, o volume e a natureza das operações. A empresa não deve presumir obrigação universal nem dispensa automática. Deve registrar por que concluiu que a indicação é aplicável ou não ao seu caso.

Para quem pesquisa o que é DPO, essa avaliação de aplicabilidade é tão importante quanto a descrição das funções, pois evita transformar uma regra com exceções em afirmação absoluta.

Quem pode exercer a função?

Uma resposta completa sobre o que é DPO inclui quem pode assumir a atividade. A Resolução 18/2024 permite que o encarregado seja:

uma pessoa natural do quadro da organização;
uma pessoa natural externa;
uma pessoa jurídica contratada para esse fim.

Não há exigência geral de certificação, formação acadêmica específica ou inscrição em entidade profissional. Cabe ao agente de tratamento definir qualificações compatíveis com sua realidade, considerando conhecimentos sobre legislação, contexto, volume e risco das operações. O encarregado também deve conseguir se comunicar de forma clara, precisa e em língua portuguesa com titulares e ANPD.

Quando uma pessoa jurídica é indicada, a divulgação deve incluir o nome empresarial ou título do estabelecimento e o nome completo da pessoa natural responsável. Também deve existir substituto formalmente designado para ausências, impedimentos ou vacância, de modo que o exercício de direitos e o atendimento à ANPD não sejam interrompidos.

A escolha não deve se limitar a currículo jurídico. Conhecimento regulatório é relevante, mas o trabalho demanda capacidade de traduzir regras em processos, conversar com áreas técnicas, priorizar riscos, organizar evidências e encaminhar decisões sem assumir atribuições que pertencem à gestão.

Definir o que é DPO no processo de seleção ajuda a comparar capacidade de comunicação, visão operacional e julgamento técnico, em vez de escolher apenas por cargo ou certificado.

Indicação formal e divulgação do contato

Saber o que é DPO também exige entender como a função se torna verificável. A indicação deve ocorrer por ato formal do agente de tratamento. Segundo a Resolução 18/2024, esse ato é um documento escrito, datado e assinado que demonstra, de forma clara e inequívoca, a designação de uma pessoa natural ou jurídica e informa as formas de atuação e as atividades a serem desempenhadas.

O documento não precisa ser enviado previamente à ANPD, mas deve ser mantido e apresentado quando solicitado. No setor privado, ele pode assumir a forma de contrato, termo aditivo ou instrumento específico, conforme o vínculo e a estrutura da organização. Para pessoas jurídicas de direito público, há regras próprias, inclusive de publicação oficial.

A formalização registra o que é DPO naquela organização: quem exerce a função, como atua, quais atividades executa e como será substituído quando necessário.

A identidade e os meios de contato do encarregado devem ser divulgados publicamente, de forma clara, objetiva, atualizada, em local de destaque e fácil acesso no site. Se a organização não tiver site, poderá utilizar outros meios normalmente disponíveis aos titulares. Não basta publicar um endereço eletrônico que ninguém monitora.

Por trás do contato deve existir um fluxo que responda pelo menos a estas perguntas:

quem faz a triagem da solicitação;
como a identidade do solicitante é verificada de forma proporcional;
quais áreas localizam os dados e avaliam o pedido;
quem aprova e envia a resposta;
como prazos, decisões e evidências são registrados;
como a demanda é escalada em caso de risco ou impasse.

Para aprofundar esse desenho, consulte o conteúdo sobre canal LGPD para reclamações e direitos dos titulares.

Autonomia técnica, conflitos e recursos

Um ponto decisivo para compreender o que é DPO é a expressão adotada pela regulamentação: autonomia técnica. O agente de tratamento deve garantir condições para que o encarregado exerça suas atividades livre de interferências indevidas, sobretudo ao orientar práticas de proteção de dados.

Isso não transforma o encarregado em uma autoridade independente dentro da empresa. Ele pode ter vínculo interno, prestar serviço externamente, acumular funções e atuar para mais de um agente, desde que consiga cumprir plenamente as atribuições e não exista conflito de interesse.

O conflito pode ocorrer quando outra função compromete a objetividade e o julgamento técnico, especialmente se a mesma pessoa toma decisões estratégicas sobre o tratamento e depois precisa avaliá-las como encarregado. A existência do conflito é verificada no caso concreto. Se houver risco, a organização deve deixar de indicar a pessoa, implementar medidas para afastá-lo ou substituí-la.

Autonomia sem meios é apenas formalidade. A Resolução exige recursos humanos, técnicos e administrativos, além de acesso direto às pessoas de maior nível hierárquico, aos responsáveis por decisões estratégicas e às demais áreas. Dependendo do porte e da complexidade, também podem ser necessários orçamento, infraestrutura, tempo adequado e uma equipe de apoio.

Na prática, a liderança deve incluir o encarregado nas decisões relevantes antes do lançamento, da contratação ou da mudança de processo. Consultá-lo somente depois de um incidente reduz a capacidade de prevenção e costuma aumentar o retrabalho.

Associar o que é DPO a autonomia técnica e recursos impede que a empresa confunda designação formal com capacidade real de atuação.

O que o DPO não faz?

A busca por o que é DPO frequentemente vem acompanhada de expectativas excessivas. A Resolução 18/2024 esclarece que o desempenho das atividades do encarregado não lhe transfere, perante a ANPD, a responsabilidade pela conformidade do tratamento realizado pelo controlador. O agente de tratamento continua responsável.

Isso significa que o DPO:

não substitui a administração na tomada de decisões sobre finalidade, meios, orçamento e aceitação de risco;
não é o único responsável pela LGPD na organização;
não executa sozinho todas as correções de sistemas, contratos, acessos e processos;
não elimina a necessidade de jurídico, segurança, tecnologia, RH, compras e atendimento atuarem em suas competências;
não garante risco zero nem oferece uma aprovação automática para projetos;
não deve ser colocado em posição de validar, sem análise, decisões que ele próprio tomou em outra função.

Também não convém confundir o papel com auditoria permanente ou fiscalização disciplinar de colegas. O encarregado orienta, articula, monitora temas sob seu escopo e leva riscos à governança. A empresa é quem implementa controles e responde por suas escolhas.

Delimitar o que é DPO protege a própria governança: as áreas mantêm suas responsabilidades e o encarregado pode orientar sem assumir decisões que comprometam sua objetividade.

Como funciona a rotina prática do DPO?

Na operação, o que é DPO fica mais claro quando a empresa define uma cadência de trabalho. A rotina deve ser proporcional ao risco e ao volume de demandas, mas pode combinar atividades contínuas, mensais e periódicas.

No dia a dia, o encarregado monitora o canal de titulares e comunicações regulatórias, faz triagem, orienta responsáveis e acompanha os encaminhamentos. Também participa de incidentes relevantes, consultas urgentes e projetos que alterem o uso de dados.

Em uma cadência mensal, pode revisar indicadores do canal, pendências de fornecedores, mudanças em campanhas, novos sistemas, registros de decisões e planos de ação. Reuniões curtas com jurídico, segurança, produto, RH e compras ajudam a antecipar mudanças em vez de descobrir tratamentos somente depois da contratação.

Em ciclos trimestrais ou compatíveis com o negócio, a atuação pode incluir atualização do registro de operações, revisão de riscos prioritários, testes do fluxo de direitos, treinamentos, avaliação de políticas e reporte executivo. A gestão do DPO as a Service deve tornar responsáveis, prazos, evidências e decisões visíveis para a empresa, sem criar dependência de uma caixa de e-mail isolada.

A pergunta prática não é apenas o que é DPO, mas como a função recebe informação, influencia projetos e comprova acompanhamento. Uma agenda cheia sem registro, critério de prioridade e responsáveis definidos não demonstra uma governança funcional.

DPO interno, externo ou DPO as a Service?

Depois de entender o que é DPO, a empresa precisa escolher um formato compatível com sua estrutura. Nenhum modelo é automaticamente superior. A decisão depende do volume de trabalho, da criticidade dos tratamentos, do conhecimento interno, da necessidade de presença diária e dos recursos disponíveis.

A comparação abaixo traduz o que é DPO em critérios de capacidade, continuidade, contexto e controle, em vez de reduzir a escolha a vínculo empregatício ou preço.

| Critério de decisão | DPO interno | DPO externo ou DPO as a Service | | — | — | — | | Conhecimento do negócio | Pode desenvolver proximidade diária e acesso informal às áreas | Precisa de integração, documentação e pontos focais para ganhar contexto | | Especialização | Depende da experiência da pessoa e do apoio de outras áreas | Pode reunir competências jurídicas, técnicas e de governança em equipe | | Disponibilidade | Pode ser alta, se houver dedicação suficiente e cobertura nas ausências | Varia conforme escopo, nível de serviço, canais e capacidade contratada | | Continuidade | Exige substituto, sucessão e retenção de conhecimento | Pode oferecer cobertura por equipe, desde que o contrato defina responsáveis e transição | | Conflito de interesse | Deve ser avaliado quando há acúmulo com funções decisórias | Também deve ser avaliado, inclusive em relação a outros clientes e serviços prestados | | Custo e escala | Pode fazer sentido quando a demanda sustenta função dedicada | Pode ajustar escopo e cadência quando não há demanda para dedicação integral | | Controle e evidências | Depende de método, ferramentas e patrocínio interno | Deve prever relatórios, registros, acesso a evidências e governança do fornecedor | | Melhor aderência possível | Operações complexas com necessidade recorrente de presença interna | Empresas sem equipe especializada ou que buscam apoio contínuo e escalável |

O modelo externo não dispensa participação interna. Alguém precisa abrir portas, fornecer dados, priorizar correções e aprovar decisões. Da mesma forma, nomear um empregado não garante maturidade se ele não tiver tempo, recursos, suporte ou autonomia técnica.

Para avaliar escopo, entregas e contratação, veja o guia completo de DPO as a Service para empresas. Quando a atualização desta página for implementada, esse guia é também a oportunidade prioritária de link de entrada para este pilar de definição.

Checklist para escolher e estruturar o encarregado

Uma empresa que já sabe o que é DPO pode usar o checklist abaixo antes de formalizar ou revisar a função:

a aplicabilidade da indicação foi analisada e documentada, sem presumir obrigação ou dispensa?
o candidato conhece a LGPD, a regulamentação da ANPD e o contexto de tratamento da organização?
o ato formal descreve a pessoa indicada, o escopo, as formas de atuação e as atividades?
há substituto formal para ausências, impedimentos e vacância?
identidade e contato estão publicados e atualizados?
o canal é monitorado e conectado a um fluxo de direitos dos titulares?
as áreas sabem quando e como consultar o encarregado?
o papel tem acesso à liderança e a responsáveis por decisões estratégicas?
existem recursos, tempo, ferramentas e apoio compatíveis com a demanda?
potenciais conflitos de interesse foram identificados e tratados?
contratos e níveis de serviço definem prazos, entregas, confidencialidade, evidências e transição?
há rotina para incidentes, fornecedores, registros de tratamento, políticas, treinamentos e projetos?
a liderança recebe indicadores, riscos e recomendações acionáveis?
está claro que a responsabilidade pela conformidade permanece com o agente de tratamento?

As respostas revelam mais do que o título do cargo. Elas mostram se existe uma função capaz de operar ou apenas uma indicação formal sem sustentação.

Na prática, o checklist transforma o que é DPO em condições verificáveis para designação, comunicação, suporte e prestação de contas.

Quando considerar DPO as a Service e consultoria em LGPD?

O DPO as a Service pode ser adequado quando a empresa precisa de atuação recorrente, mas não possui demanda ou estrutura para uma função interna dedicada. Também pode apoiar organizações em crescimento, com muitos fornecedores, projetos digitais, clientes empresariais exigentes ou necessidade de combinar conhecimentos jurídicos, técnicos e operacionais.

A contratação deve ter entregas concretas. Entre elas podem estar gestão do canal de titulares, orientação de áreas, revisão de contratos e fornecedores, apoio em incidentes, manutenção do registro de operações, treinamentos, análises de projetos e reportes à liderança. O escopo deve dizer o que está incluído, quais prazos se aplicam, quem são os pontos focais e como funciona a cobertura.

Já uma consultoria em LGPD pode atender projetos delimitados, como diagnóstico, mapeamento, revisão documental ou implantação inicial de controles. Ela não deve ser confundida automaticamente com a indicação formal e contínua do encarregado. Em alguns casos, consultoria e serviço de DPO podem ser combinados; em outros, a empresa precisa apenas de uma frente específica.

Ao comparar propostas, não procure somente a resposta mais barata para o que é DPO. Verifique capacidade de atendimento, método, experiência compatível com o risco, ausência de conflitos, acesso a equipe multidisciplinar, proteção das informações, produção de evidências e plano de transição. Um contrato amplo no papel, sem rotina e responsáveis, tende a repetir o problema de um DPO apenas nominal.

Como a TOGETHER pode apoiar

Para a TOGETHER, o que é DPO deve aparecer em processos que funcionam. O apoio pode abranger indicação e estruturação do papel, operação do canal, orientação recorrente, revisão de fornecedores e contratos, suporte a incidentes, treinamentos, registro de decisões e reporte de riscos para a liderança.

O ponto de partida é avaliar contexto, volume, risco, maturidade e recursos da empresa. A partir disso, é possível definir se a organização precisa fortalecer um encarregado interno, contratar apoio externo ou adotar um serviço contínuo com escopo proporcional.

Converse com a TOGETHER para revisar a estrutura atual e definir um modelo de atuação que una acesso, autonomia técnica, recursos e responsabilidade compartilhada.