A LGPD exige que a empresa indique alguém para responder pelo tratamento de dados, o encarregado, conhecido como DPO. Não é um cargo decorativo: é a pessoa que faz a ponte entre a empresa, os titulares e a autoridade nacional.
Quando a Lei Geral de Proteção de Dados entrou em vigor, muita empresa entendeu que bastava colocar um aviso de cookies no site e publicar uma política de privacidade. Aí veio a primeira solicitação de um cliente pedindo acesso aos seus dados, ou um e-mail da Autoridade Nacional de Proteção de Dados, e a pergunta apareceu: quem, dentro da empresa, responde por isso? Essa pessoa é o encarregado, o nome que a lei brasileira dá ao que o mercado chama de DPO.
O encarregado não é o responsável por toda a tecnologia da empresa nem o dono do banco de dados. O papel é de comunicação e governança. É a pessoa que recebe as demandas de quem teve os dados tratados, conversa com a autoridade e orienta a empresa internamente sobre como agir.
Repare que a função é, em essência, de relacionamento e direção. Por isso o encarregado precisa de duas coisas que nem sempre andam juntas: conhecimento jurídico para saber o que a lei exige e acesso à direção da empresa para que as orientações virem decisão, e não recomendação ignorada.
Esta é a dúvida mais frequente. A LGPD, como regra, determina que o controlador de dados indique um encarregado. A autoridade nacional, porém, pode dispensar dessa obrigação agentes de pequeno porte, como pequenas empresas e startups, desde que cumpram as demais regras de proteção de dados.
Mesmo a empresa dispensada de nomear formalmente um encarregado precisa manter um canal de comunicação com os titulares de dados. A obrigação de proteger os dados e de atender quem solicita continua existindo. O que pode mudar é a exigência de um cargo formal, não o dever de tratar dados com responsabilidade.
Na prática, salvo a microestrutura que se enquadre na dispensa, indicar um encarregado é o caminho seguro. Quanto mais dados sensíveis a empresa trata, quanto maior o volume e quanto mais exposta ao público ela é, mais a nomeação deixa de ser opcional na prática, ainda que a lei abra exceções.
A lei não exige que o encarregado seja empregado da empresa. Ele pode ser uma pessoa interna ou um terceiro contratado para a função, inclusive um escritório de advocacia ou consultoria especializada. Cada caminho tem um perfil de empresa que combina melhor com ele.
Faz sentido em empresas maiores, com volume alto e equipe própria. O risco é a falta de independência e de conhecimento jurídico atualizado, além do acúmulo de função com quem já tem outro cargo.
Adequado para a maioria das pequenas e médias empresas. Traz visão jurídica, fica longe de conflito de interesse interno e custa menos do que um cargo dedicado, com a responsabilidade tecnicamente assumida.
O erro clássico é nomear o encarregado e parar por aí, como se o nome no site resolvesse. Encarregado sem estrutura por trás, sem fluxo para responder os titulares e sem apoio jurídico, é um para-raios: atrai a responsabilidade e não tem como cumpri-la. A função só protege a empresa quando vem acompanhada de processo.
Indicar um encarregado é apontar publicamente quem responde pela proteção de dados. Se um titular reclama e não é atendido, ou se a autoridade pede explicação e não recebe, o problema não fica no encarregado, ele recai sobre a empresa. Por isso a decisão de quem ocupa a função, e de como ela é estruturada, é uma decisão de gestão de risco, não uma formalidade de cadastro.
No escritório, atuamos tanto na assunção da função de encarregado para empresas que preferem terceirizar quanto na estruturação do encarregado interno, com o fluxo de atendimento aos titulares, o relacionamento com a autoridade e o suporte jurídico que faz o cargo funcionar. O objetivo é que a empresa tenha quem responda de fato, e não só um nome publicado para cumprir tabela.