DPO interno ou DPO como serviço: quem responde pelo dado pessoal
A LGPD pede um encarregado que atenda o titular, oriente a empresa e converse com a autoridade. Ele pode ser alguém do quadro ou um prestador externo. A escolha depende do volume de dado, do risco de conflito de interesse e de quem consegue fazer o trabalho sem abandonar outro.
DPO interno e DPO como serviço, critério a critério
| Critério | DPO interno | DPO como serviço |
|---|---|---|
| Quem pode exercer | Um empregado nomeado, que acumula ou não a função com outras atividades, desde que não haja conflito de interesse. | Uma pessoa externa ou uma empresa contratada. A Resolução CD/ANPD nº 18/2024 admite as duas formas, além do encarregado do próprio quadro. |
| Conhecimento da operação | Conhece sistemas, pessoas e processos por dentro, e chega mais rápido a quem precisa responder. | Precisa mapear a operação antes de atuar bem. Em troca, traz repertório de muitos casos e de como outras empresas resolveram o mesmo problema. |
| Independência | Pode entrar em conflito se ocupa cargo que decide sobre o próprio tratamento, como a direção de TI, de marketing ou de RH. | Fica fora da hierarquia das áreas que tratam dado, o que facilita apontar problema sem constrangimento. |
| Disponibilidade | Depende da agenda de uma pessoa que também tem outras entregas. Férias e desligamento deixam a função descoberta. | A cobertura, o tempo de resposta ao titular e o substituto ficam previstos em contrato. |
| Formação exigida | A norma não pede certificação nem inscrição em entidade, mas a pessoa precisa de tempo para estudar proteção de dados e acompanhar a autoridade. | O prestador já atua na área, e a empresa contrata o conhecimento pronto, sem formar alguém do zero. |
| Custo | Parte do salário e do tempo de alguém, mais o treinamento. Parece barato até a função disputar horas com a atividade principal. | Custo recorrente de serviço, dimensionado pelo volume de tratamento e de pedidos de titulares. |
Quem pode exercer
DPO interno
Um empregado nomeado, que acumula ou não a função com outras atividades, desde que não haja conflito de interesse.
DPO como serviço
Uma pessoa externa ou uma empresa contratada. A Resolução CD/ANPD nº 18/2024 admite as duas formas, além do encarregado do próprio quadro.
Conhecimento da operação
DPO interno
Conhece sistemas, pessoas e processos por dentro, e chega mais rápido a quem precisa responder.
DPO como serviço
Precisa mapear a operação antes de atuar bem. Em troca, traz repertório de muitos casos e de como outras empresas resolveram o mesmo problema.
Independência
DPO interno
Pode entrar em conflito se ocupa cargo que decide sobre o próprio tratamento, como a direção de TI, de marketing ou de RH.
DPO como serviço
Fica fora da hierarquia das áreas que tratam dado, o que facilita apontar problema sem constrangimento.
Disponibilidade
DPO interno
Depende da agenda de uma pessoa que também tem outras entregas. Férias e desligamento deixam a função descoberta.
DPO como serviço
A cobertura, o tempo de resposta ao titular e o substituto ficam previstos em contrato.
Formação exigida
DPO interno
A norma não pede certificação nem inscrição em entidade, mas a pessoa precisa de tempo para estudar proteção de dados e acompanhar a autoridade.
DPO como serviço
O prestador já atua na área, e a empresa contrata o conhecimento pronto, sem formar alguém do zero.
Custo
DPO interno
Parte do salário e do tempo de alguém, mais o treinamento. Parece barato até a função disputar horas com a atividade principal.
DPO como serviço
Custo recorrente de serviço, dimensionado pelo volume de tratamento e de pedidos de titulares.
Quando DPO interno faz sentido
- A empresa trata grande volume de dado pessoal e tem porte para manter alguém dedicado à função.
- Existe profissional com conhecimento de proteção de dados e sem cargo que decida sobre o próprio tratamento.
- Há área jurídica ou de compliance madura, capaz de dar suporte ao encarregado.
- Tratar dado sensível é o centro do negócio, e esse conhecimento precisa ficar em casa.
Quando DPO como serviço faz sentido
- Não há ninguém interno com tempo e conhecimento para a função sem acumular conflito.
- A empresa precisa responder logo a cliente, parceiro ou titular e não pode esperar formar alguém.
- O volume de tratamento é moderado e não ocupa uma pessoa em tempo integral.
- A adequação envolve mexer em sistemas, e o prestador consegue levar a decisão até a configuração.
- Já houve pedido de titular respondido de improviso.
Dúvidas mais comuns
O que perguntam antes de nomear o encarregado
“Posso nomear o diretor de TI como encarregado?”
Pode, se não houver conflito de interesse, e aí está a dificuldade: quem decide como o dado é tratado teria de fiscalizar a própria decisão. A regulamentação da ANPD pede atuação com autonomia técnica e sem conflito, e esse arranjo exige cuidado.
“Minha empresa é pequena. Preciso de encarregado?”
A regulamentação prevê dispensa para agentes de tratamento de pequeno porte em algumas condições, mas quem é dispensado ainda precisa manter um canal de comunicação com o titular. Vale verificar o enquadramento antes de decidir entre interno e externo.
“O encarregado externo substitui o advogado?”
Não. Contrato, parecer e defesa em processo são trabalho de advogado. O encarregado atende o titular, orienta as áreas e acompanha o registro do tratamento. Os papéis se complementam.
“Com encarregado nomeado, a empresa está adequada?”
Nomear é uma obrigação, não a adequação inteira. Sem inventário de dados, base legal definida e canal do titular funcionando, o encarregado responde perguntas sem ter como cumprir as respostas.
“Dá para começar externo e trazer para dentro depois?”
Dá. O cuidado é que inventário, registros e procedimentos fiquem com a empresa, para a transição ser uma troca de pessoa e não um recomeço.
Outros comparativos
Low-code vs desenvolvimento sob medida
Montar com blocos de uma plataforma ou escrever o sistema: velocidade, limite de complexidade, dependência e quando cada abordagem vale.
MDR vs SOC próprio
Contratar detecção e resposta gerenciada ou montar um centro de operações de segurança interno: critérios, riscos e quando usar cada um.
Nuvem vs servidor local
Capacidade alugada de um provedor ou equipamento próprio no prédio: custo, disponibilidade, controle, operação e quando usar cada modelo.
Pentest vs análise de vulnerabilidade
Varredura que lista falhas conhecidas ou especialista que tenta entrar: o que cada uma responde, frequência, resultado e quando usar.
RPA vs integração por API
Robô que opera a tela ou sistemas conversando pela API: estabilidade, manutenção, volume e quando usar cada abordagem na automação.
SD-WAN vs MPLS
Circuito privado da operadora ou camada que gerencia vários links: qualidade, acesso à nuvem, redundância, segurança e quando usar cada um.
Fontes citadas
- Resolução CD/ANPD nº 18/2024: Regulamento sobre a atuação do encarregado: pode ser pessoa natural do quadro do agente de tratamento ou externa a ele, ou pessoa jurídica (art. 12); não pressupõe inscrição em entidade nem certificação ou formação específica (art. 14); deve atuar com autonomia técnica, evitando conflito de interesse (art. 18); agentes de pequeno porte dispensados de indicar encarregado devem manter canal de comunicação com o titular (art. 3º, § 3º).
Próximo passo
Se ninguém sabe dizer hoje quem responde a um pedido de exclusão de dados, a escolha do encarregado já está atrasada.
O diagnóstico olha o volume de dado pessoal, quem na empresa poderia assumir a função sem conflito e que exigências já chegaram por contrato ou por titular.
- Leitura do volume e da sensibilidade do dado tratado
- Avaliação de conflito de interesse nos candidatos internos
- Recomendação entre encarregado do quadro, externo ou modelo misto