Sua empresa realmente precisa de um DPO? Veja quando a resposta é sim

DPO separa empresas que tratam dados pessoais com responsabilidade das que apenas torcem para não ser autuadas.

Desde que a Lei Geral de Proteção de Dados entrou em vigor, uma sigla passou a frequentar reuniões de diretoria, pautas jurídicas e e-mails do RH com uma frequência que nem sempre vem acompanhada de clareza: DPO. 

Muitas empresas ainda não sabem ao certo o que é um DPO, se precisam de um e o que acontece quando essa responsabilidade fica em aberto.

O que é um DPO?

O significado de Data Protection Officer

DPO é a sigla para Data Protection Officer, ou, em português, encarregado de dados. Trata-se da pessoa designada por uma organização para atuar como canal entre a empresa, os titulares dos dados (funcionários, clientes, fornecedores) e a Autoridade Nacional de Proteção de Dados (ANPD).

O termo ganhou força global com o GDPR europeu e chegou ao Brasil incorporado à LGPD (Lei nº 13.709/2018), que usa a expressão “encarregado” para denominar essa função. Na prática, DPO e encarregado de dados significam a mesma coisa.

O papel do encarregado de dados na LGPD

O Art. 41 da Lei nº 13.709/2018 estabelece que o controlador, quem decide como os dados pessoais serão tratados, deverá indicar um encarregado pelo tratamento de dados pessoais. 

A ANPD detalha essas atribuições no Guia Orientativo sobre Agentes de Tratamento e Encarregado e no Guia sobre Atuação do Encarregado, publicado em dezembro de 2024. 

As atribuições mínimas previstas incluem: 

• Receber reclamações e comunicações dos titulares de dados;
• Prestar esclarecimentos e adotar providências;
• Receber comunicações da ANPD e tomar as providências cabíveis;
• Orientar os colaboradores e os contratados da entidade sobre as práticas de proteção de dados;
• Executar outras atribuições determinadas pelo controlador ou em normas complementares.

A lei não exige formação específica. O que se avalia é a capacidade técnica e a independência para exercer a função com responsabilidade.

O que faz um DPO na prática?

Atendimento aos titulares de dados

Todo colaborador, cliente ou parceiro comercial cujos dados sua empresa trata é, juridicamente, um titular de dados. Eles têm direito de saber quais informações a empresa possui sobre eles, solicitar correções, pedir exclusão e questionar o uso dessas informações.

O DPO é o ponto de contato formal para essas solicitações. Sem ele, qualquer titular pode acionar diretamente a ANPD e a empresa enfrenta o processo sem um responsável designado para responder.

Relacionamento com a ANPD

A Autoridade Nacional de Proteção de Dados pode, a qualquer momento, requisitar informações, instaurar processos administrativos ou publicar orientações que afetam diretamente as operações da empresa. 

O DPO é quem mantém esse canal ativo, monitora as deliberações da autoridade e garante que a empresa se adapta às mudanças regulatórias com agilidade.

Gestão de incidentes e riscos

Quando ocorre um vazamento de dados, seja por falha de sistema, erro humano ou ataque externo, a empresa tem obrigação de notificar a ANPD e os titulares afetados dentro de um prazo razoável. 

O DPO é quem coordena essa resposta: identifica a extensão do incidente, aciona as áreas envolvidas e gerencia a comunicação institucional. Sem esse papel definido, o caos é quase certo.

Toda empresa precisa ter um DPO?

Esta é a pergunta que mais gera confusão e a resposta honesta é: nem sempre, mas quase sempre é recomendado.

O que diz a LGPD?

A Lei nº 13.709/2018 estabelece que o controlador deve indicar um encarregado.

A ANPD, por meio da Resolução CD/ANPD nº 2/2022, definiu que agentes de tratamento de pequeno porte podem ter obrigações simplificadas, inclusive dispensadas de indicar formalmente um DPO, desde que não realizem tratamento de dados em larga escala ou de dados sensíveis de forma sistemática.

Portanto, a obrigação formal existe, mas o grau de exigência varia conforme o porte e a natureza do tratamento realizado.

Quando a indicação é recomendada?

Mesmo quando a obrigatoriedade legal não é absoluta, a indicação de um DPO é estrategicamente recomendada para qualquer empresa que:

• Processa dados de colaboradores (salários, benefícios, saúde ocupacional, histórico de admissão/demissão);
• Utiliza sistemas de folha de pagamento com integração ao eSocial;
• Contrata prestadores de serviço de BPO de RH que têm acesso a dados pessoais e sensíveis;
• Realiza transferência de dados para terceiros (operadoras de saúde, bancos, consultorias);
• Está sujeita a auditorias ou possui clientes que exigem conformidade com a LGPD em contratos.

Na prática, isso representa a grande maioria das empresas com mais de 10 funcionários.

O papel do DPO no RH e na folha de pagamento

Este é o ponto que mais surpreende gestores de RH: a área que mais trata dados pessoais e sensíveis dentro de uma empresa é, quase sempre, o próprio RH.

Dados pessoais de colaboradores

• A folha de pagamento concentra CPF, dados bancários, salário, benefícios, horas trabalhadas, faltas, afastamentos e histórico funcional de cada colaborador. 
• O departamento pessoal vai além: armazena dados de admissão, contratos, dependentes, laudos médicos e registros disciplinares.

Toda essa informação precisa ser tratada com base legal definida e o DPO é quem garante que essa base está documentada, correta e auditável.

Dados sensíveis e controles internos

A LGPD classifica como dados sensíveis aqueles relacionados à saúde, origem racial, convicção religiosa, filiação sindical, entre outros. 

No contexto de RH, atestados médicos, laudos de afastamento, laudos de PCMSO e informações de saúde ocupacional se enquadram nessa categoria e exigem tratamento diferenciado.

O DPO orienta o RH sobre como coletar, armazenar e descartar essas informações de forma segura, evitando que a empresa seja responsabilizada por mau uso de dados que estão no dia a dia da operação sem nenhum controle formal.

Diferença entre DPO, Jurídico e TI

Um equívoco frequente é delegar a responsabilidade pela LGPD ao departamento jurídico ou à área de TI. Cada área tem um papel específico e nenhuma substitui a outra.

Responsabilidades de cada área

Como funciona a governança compartilhada?

Na prática, as três áreas precisam atuar de forma integrada. O DPO define o que precisa ser protegido e como. O TI implementa os controles técnicos. O jurídico traduz as obrigações em cláusulas contratuais e defende a empresa quando necessário. 

Quando essa governança está bem estruturada, com SLA na folha de pagamento e processos documentados, a empresa não apenas cumpre a lei: ela ganha vantagem competitiva em processos de contratação e licitações que exigem conformidade.

Como estruturar a governança de dados na empresa?

Políticas internas

O primeiro passo é documentar: quais dados a empresa coleta, com qual finalidade, por quanto tempo armazena e quem tem acesso. 

Essa documentação é chamada de Relatório de Impacto à Proteção de Dados (RIPD) e é a base de qualquer programa de conformidade sólido.

Processos e responsabilidades

Governança de dados não é um projeto de TI. É uma mudança de cultura que envolve RH, financeiro, jurídico e alta gestão. Os processos precisam definir:

• Quem autoriza o acesso a dados de colaboradores;
• Como os dados são coletados na admissão e descartados após o desligamento;
• Qual o protocolo em caso de vazamento;
• Como os fornecedores externos, incluindo parceiros de BPO de folha de pagamento, tratam os dados que recebem.

Cultura de proteção de dados

A LGPD precisa de pessoas que entendam por que proteger dados importa. Treinamentos periódicos, comunicações internas claras e um DPO acessível para responder dúvidas do time são parte essencial dessa cultura.

2Easy: o DPO protege os dados da sua empresa 

O DPO é uma função estratégica que protege a empresa de riscos reais: multas da ANPD, ações de titulares, danos reputacionais e falhas nos processos que envolvem os dados mais sensíveis do negócio, inclusive os dados dos próprios colaboradores.

Se o seu RH ainda trata a proteção de dados como uma questão exclusivamente de TI ou jurídico, vale uma revisão. A conformidade com a LGPD começa na admissão do primeiro funcionário e precisa de alguém responsável por ela.

A 2Easy apoia empresas que buscam operar com mais segurança, rastreabilidade e conformidade nos processos de RH e folha de pagamento. Fale com um especialista e entenda como estruturar uma operação de pessoas mais segura e eficiente.

FAQ — Perguntas frequentes sobre DPO

O que é DPO? 

DPO é o Data Protection Officer, denominado pela LGPD como “encarregado de dados”. É a pessoa ou empresa designada para ser o canal entre a organização, os titulares de dados e a ANPD, garantindo que o tratamento de dados pessoais ocorra em conformidade com a lei.

O que significa DPO? 

DPO é a sigla de Data Protection Officer, expressão em inglês que significa “encarregado de proteção de dados”. No contexto brasileiro, a LGPD usa o termo “encarregado” para designar essa mesma função.

O que é um DPO na empresa? 

Na empresa, o DPO é o responsável por orientar as áreas sobre boas práticas de proteção de dados, atender solicitações dos titulares, comunicar-se com a ANPD e gerenciar incidentes envolvendo vazamento ou uso indevido de informações pessoais.

Toda empresa precisa ter um DPO? 

A obrigação formal varia conforme o porte da empresa e a natureza dos dados tratados. Agentes de pequeno porte podem ter obrigações simplificadas, conforme a Resolução CD/ANPD nº 2/2022. No entanto, qualquer empresa que trate dados de colaboradores em folha de pagamento ou processos de RH tem interesse estratégico em designar um responsável, mesmo que informalmente.