DPO como serviço (DPOaaS)
DPO como serviço é contratar de fora o encarregado de dados que a LGPD exige: quem responde ao titular, orienta as áreas e fala com a ANPD. A empresa indica um profissional externo em vez de criar o cargo internamente.
A LGPD obriga o controlador a indicar um encarregado pelo tratamento de dados pessoais, e a publicar essa identidade. É a pessoa que recebe o pedido de quem quer saber quais dados a empresa guarda, que orienta as áreas sobre como tratar essa informação e que serve de canal com a autoridade nacional.
Para a maioria das empresas de porte médio, criar o cargo não fecha a conta: a função exige leitura jurídica, entendimento técnico do que roda e disponibilidade para responder em prazo, mas não gera trabalho de período integral. Terceirizar resolve a lacuna sem inventar um cargo subocupado.
O que o serviço cobre na prática: mapear onde há dado pessoal e com que base legal ele é tratado, manter o registro dessas operações, atender o titular dentro do prazo, conduzir a resposta a um incidente e orientar contrato com fornecedor que também toca esse dado.
O que ele não faz é transferir a responsabilidade. A empresa segue sendo a controladora perante a lei, e o encarregado externo orienta e responde, mas não assume a obrigação no lugar dela. Quem promete o contrário está vendendo o que não pode entregar.
Quando se aplica
- A empresa trata dado pessoal em volume ou sensibilidade que justifica atenção formal, como saúde, jurídico e financeiro.
- Já chegou pedido de titular, ou uma exigência de cliente grande pedindo a indicação do encarregado.
- Existe intenção de adequação, mas ninguém internamente tem a combinação de leitura jurídica e entendimento técnico.
- A operação depende de fornecedor que também toca o dado, e ninguém revisou esses contratos.
Quando não se aplica
- A expectativa é receber um selo. Adequação é processo contínuo, não certificado que se pendura na parede.
- A empresa não pretende mudar nada do que faz hoje. Encarregado sem autoridade para mudar processo só documenta o problema.
- Já existe estrutura jurídica interna com a função atribuída e funcionando.
Mapeamento, registro de operações, atendimento ao titular e canal com a ANPD.
Termos relacionados
Adequação começa por saber onde o dado pessoal está.
O diagnóstico mapeia quais sistemas guardam dado pessoal, sob qual base legal, e aponta o que expõe a empresa hoje.
Agendar diagnóstico