O que é DPO: o encarregado de dados da LGPD

O que é DPO? É a sigla em inglês de Data Protection Officer, que a lei brasileira chama de encarregado: a pessoa indicada pela empresa para ser o canal de comunicação entre ela, os titulares dos dados e a ANPD. A LGPD manda o controlador indicar um, mas a regra da ANPD dispensa o agente de pequeno porte, com uma condição.

Esta página mostra o que o encarregado faz, quando a indicação é obrigatória e o que a pequena empresa precisa oferecer no lugar. Outras respostas rápidas estão em Perguntas.

O que é DPO, segundo a LGPD?

A palavra "DPO" não está na lei brasileira. A Lei 13.709/2018 usa "encarregado" e o define no art. 5º, VIII, como a pessoa indicada pelo controlador e pelo operador para atuar como canal de comunicação entre o controlador, os titulares dos dados e a ANPD.

A redação atual vem da Lei 15.352/2026, de 25 de fevereiro de 2026, que também fixou a denominação Agência Nacional de Proteção de Dados para a ANPD, autarquia de natureza especial vinculada ao Ministério da Justiça e Segurança Pública (art. 55-A da LGPD).

O controlador é quem decide sobre o tratamento dos dados pessoais, e o operador trata os dados em nome dele. Uma empresa pode ser uma coisa ou outra, e muitas vezes as duas.

O que o encarregado faz?

O art. 41, § 2º, lista as atividades do encarregado:

aceitar reclamações e comunicações dos titulares, prestar esclarecimentos e adotar providências;
receber comunicações da ANPD e adotar providências;
orientar funcionários e contratados sobre as práticas de proteção de dados;
executar as demais atribuições determinadas pelo controlador ou por normas complementares.

A identidade e o contato do encarregado devem ser divulgados publicamente, de forma clara e objetiva, preferencialmente no site do controlador (art. 41, § 1º).

Diagnóstico WJR, gratuito e sem compromisso

Chama no WhatsApp, conta o que te incomoda e a gente responde em algumas horas.

Quero meu Diagnóstico WJR

Toda empresa precisa de DPO?

O caput do art. 41 diz que o controlador deverá indicar encarregado. O § 3º, porém, deixa a ANPD estabelecer hipóteses de dispensa, conforme a natureza e o porte da entidade ou o volume das operações de tratamento.

A ANPD usou essa permissão na Resolução CD/ANPD 2/2022: os agentes de tratamento de pequeno porte não são obrigados a indicar o encarregado (art. 11). Quem não indicar deve disponibilizar um canal de comunicação com o titular de dados, para cumprir o art. 41, § 2º, I, da LGPD (art. 11, § 1º). A indicação, por outro lado, é considerada política de boas práticas e governança (art. 11, § 2º).

Quem é agente de tratamento de pequeno porte?

O regulamento não vale para qualquer empresa pequena. O art. 3º exclui do tratamento diferenciado quem realiza tratamento de alto risco para os titulares, quem tem receita bruta acima do limite do art. 3º, II, da LC 123/2006 (ou, no caso de startups, do art. 4º, § 1º, I, da LC 182/2021) e quem pertence a grupo econômico cuja receita global ultrapasse esses limites.

O tratamento de alto risco é definido no art. 4º como o que atende a pelo menos um critério geral, como larga escala, e um específico. Empresa que trata dado sensível, como o de saúde, deve olhar esse artigo com atenção. A visão geral para ME, EPP e MEI está em Pequena empresa precisa se adequar à LGPD? O que muda para ME, EPP e MEI.

Quem pode ser DPO?

A LGPD não pede formação específica no texto do art. 41. O que a lei descreve é a função. Na prática, a empresa pode indicar uma pessoa da própria equipe ou contratar alguém de fora, desde que ela tenha acesso ao negócio e possa ser acionada pelo titular e pela ANPD.

Quem exerce a função precisa de acesso ao negócio para responder o titular. A governança da empresa, que inclui a LGPD, é parte do tema de O que é compliance: cumprir as regras e o que a lei pede do programa de integridade.

O que acontece se a empresa ignorar a LGPD?

O art. 52 prevê sanções administrativas da ANPD, de advertência com prazo para correção a multa simples de até 2% do faturamento da pessoa jurídica no Brasil no último exercício, limitada a R$ 50.000.000,00 por infração. Também há multa diária, bloqueio e eliminação dos dados, e suspensão do banco de dados.

O que torna a conta difícil de prever é que a aplicação depende da gravidade e das circunstâncias de cada infração.

Como a WJR trata esse tema

A WJR atende com um time especializado, num escritório presencial com pessoas reais, com mais de 30 anos de experiência e 5 estrelas no Google.

O serviço mais próximo é BPO financeiro e consultoria de processos internos para a sua empresa, que ajuda a documentar processos, como em Processos internos: o que documentar primeiro na pequena empresa e como fazer. O papel do contador diante da LGPD está em Contador e LGPD: o papel do escritório nos dados dos seus funcionários e clientes. Se a WJR assume a função de encarregado, depende do caso, no Diagnóstico WJR a gente diz, gratuito e sem compromisso.

Perguntas frequentes

DPO e encarregado são a mesma coisa?+

Sim. DPO é o nome em inglês da função que a LGPD chama de encarregado.

MEI precisa de DPO?+

A Resolução 2/2022 dispensa o agente de pequeno porte de indicar o encarregado, desde que haja um canal de comunicação com o titular e que não haja tratamento de alto risco. O MEI se enquadra no limite de receita da LC 123, mas o risco do tratamento precisa ser avaliado.

O que é o canal de comunicação com o titular?+

É o meio para que a pessoa peça informações, corrija dados ou reclame, como um e-mail ou um formulário no site. A resolução o exige de quem não indica encarregado.

A empresa pode contratar DPO terceirizado?+

A lei trata da pessoa indicada pelo controlador e pelo operador e não proíbe que ela seja externa. A forma do contrato e as responsabilidades devem ser definidas por escrito.

A ANPD continua sendo a autoridade da LGPD?+

Sim. Pela Lei 15.352/2026, ela é a Agência Nacional de Proteção de Dados, com autonomia funcional, técnica, decisória, administrativa e financeira (art. 55-A da LGPD). Quer saber se a sua empresa precisa de encarregado? Conheça BPO financeiro e consultoria de processos internos para a sua empresa e peça o Diagnóstico WJR.

O que é DPO: o encarregado de dados da LGPD e quando a empresa precisa indicar um