Resposta rápida: sua empresa precisa de encarregado na LGPD?
Em regra, o controlador está sujeito à obrigação de indicar encarregado, observadas as dispensas previstas em regulamentação. A Resolução CD/ANPD nº 18/2024 disciplina a atuação do encarregado. Agentes de tratamento de pequeno porte elegíveis podem estar dispensados conforme a Resolução 2/2022, mas precisam manter canal de comunicação com titulares.
Para operadores, a indicação é facultativa no regime atual e pode ser adotada como boa prática.
Principais conclusões
- Encarregado e DPO europeu são conceitos próximos, mas não idênticos.
- A obrigação principal recai sobre o controlador.
- Operador pode indicar encarregado voluntariamente.
- Pequeno porte não significa dispensa automática.
- Identidade e contato do encarregado devem ser divulgados de forma clara e objetiva.
- A organização precisa dar recursos, acesso e condições para o encarregado atuar.
O que diz o Art. 41?
O Art. 41 da LGPD determina que o controlador indique encarregado pelo tratamento de dados pessoais. A identidade e as informações de contato devem ser divulgadas publicamente, de forma clara e objetiva, preferencialmente no site do controlador.
As atividades legais incluem receber comunicações de titulares e da ANPD, orientar funcionários e contratados e executar outras atribuições determinadas pelo controlador ou normas complementares.
O que mudou com a Resolução 18/2024?
A Resolução 18 detalha indicação, identidade, contato, deveres, atuação e responsabilidades do encarregado. Ela também ajuda a separar responsabilidade da organização da função exercida pelo encarregado.
O encarregado deve ter condições de comunicação com titulares e ANPD e acesso às pessoas e informações necessárias para desempenhar as atividades.
Quem pode ser encarregado?
A função pode ser exercida por pessoa natural ou jurídica, conforme as regras aplicáveis. A organização deve considerar competência, acesso, disponibilidade, ausência de conflitos incompatíveis e capacidade de atender ao volume e à complexidade do tratamento.
Não existe uma exigência universal de formação específica ou certificação única prevista pela LGPD.
O encarregado precisa ser funcionário?
Não. A função pode ser interna ou terceirizada, desde que a estrutura seja adequada e as responsabilidades sejam cumpridas.
Para grupos empresariais, uma estrutura compartilhada pode ser possível, mas precisa garantir acessibilidade, clareza de responsabilidade e capacidade real de atuação para as entidades abrangidas.
O operador precisa de encarregado?
No regime atual, a indicação pelo operador é facultativa. Ainda assim, pode ser boa prática para fornecedores que processam grande volume de dados, têm muitos clientes controladores ou operam em setores de maior risco.
Uma empresa SaaS, por exemplo, pode usar um encarregado voluntário para centralizar comunicação, governança, incidentes e direitos, mesmo quando atua como operadora em determinada atividade.
Agentes de tratamento de pequeno porte
A Resolução 2/2022 permite tratamento diferenciado para agentes elegíveis. Entre as flexibilizações está a dispensa de indicação de encarregado.
Mas há condições e exclusões. Tratamentos de alto risco, limites de receita e pertencimento a grupo econômico podem retirar o benefício.
Quem se beneficia da dispensa deve disponibilizar canal para atender titulares.
“Somos startup” ou “somos pequena empresa” não é, por si só, prova de enquadramento. Documente os critérios.
O que deve ser publicado no site?
A identidade e contato do encarregado devem estar disponíveis de forma clara e objetiva. Uma seção prática pode trazer:
- nome ou identificação do encarregado;
- e-mail ou canal dedicado;
- instruções para exercer direitos;
- informações adicionais necessárias para facilitar comunicação.
Evite esconder o canal em documento difícil de localizar.
O encarregado é pessoalmente responsável pela conformidade da empresa?
A função não transfere a responsabilidade do agente de tratamento para a pessoa do encarregado. Controlador e operador continuam responsáveis por suas obrigações legais.
O encarregado atua como ponto de comunicação e apoio à governança, não como “escudo jurídico” da organização.
Conflito de interesses
A organização deve avaliar conflitos que possam comprometer independência prática da função. Uma pessoa que decide finalidades e meios essenciais de tratamento e, ao mesmo tempo, deveria fiscalizar ou aconselhar sobre essas decisões pode ter conflito relevante.
A análise deve observar fatos, poder decisório e estrutura da organização.
Recursos e apoio
Um encarregado sem acesso a sistemas, contratos, líderes e evidências tende a ser função apenas nominal. Forneça:
- acesso a inventário/ROPA;
- participação em mudanças de alto impacto;
- canal com segurança, jurídico, produto, marketing e RH;
- acesso a incidentes e reclamações;
- apoio para treinamentos;
- possibilidade de acompanhar remediações.
Checklist de 12 pontos
- Confirme se a organização atua como controladora.
- Verifique se alguma dispensa realmente se aplica.
- Documente a decisão.
- Defina pessoa ou empresa encarregada.
- Registre formalmente a indicação.
- Publique identidade e contato.
- Defina fluxo de direitos.
- Defina fluxo de comunicações da ANPD.
- Integre o encarregado a incidentes.
- Avalie conflito de interesses.
- Garanta recursos e acesso.
- Reavalie após mudanças relevantes no negócio.
Erros comuns
“DPO GDPR e encarregado LGPD são exatamente a mesma função.”
Não. Há convergência prática, mas regras e critérios locais devem ser observados.
“Somos pequenos; não precisamos de encarregado.”
Somente agentes de pequeno porte que realmente atendem aos critérios aplicáveis podem usar a dispensa.
“Nomeamos alguém, então o trabalho acabou.”
A indicação precisa ser acompanhada de processo, canal, acesso e governança.
“O encarregado é responsável por qualquer multa da empresa.”
Não se deve transferir automaticamente a responsabilidade do agente de tratamento para a função do encarregado.
Perguntas frequentes
O contato do encarregado precisa estar no site?
A LGPD exige divulgação pública, clara e objetiva, preferencialmente no site do controlador.
Uma empresa estrangeira pode ter encarregado fora do Brasil?
A estrutura precisa ser analisada conforme aplicabilidade e capacidade de cumprir as funções. A lei não deve ser reduzida a uma regra de nacionalidade do encarregado.
Operadores precisam nomear encarregado?
A indicação é facultativa no regime atual, embora possa ser boa prática.
Fontes oficiais
- LGPD — Art. 41, texto compilado
- ANPD — Resolução CD/ANPD nº 18/2024
- ANPD — Guia da Atuação do Encarregado
Transforme orientação em implementação
O Manual de Conformidade com a LGPD no Brasil — Edição 2026 reúne guia prático, auditoria de 100 pontos, 16 planilhas e modelos de implementação e um roteiro estruturado de 30 dias.
Obter o Manual de Conformidade com a LGPD no Brasil