O DPO não precisa ser advogado nem funcionário. Precisa existir, estar publicado e responder. O resto é escolha da empresa.
O art. 41 da LGPD determina que o controlador indique encarregado pelo tratamento de dados pessoais e que a identidade e as informações de contato sejam divulgadas publicamente, de forma clara e objetiva, preferencialmente no site.
A lei não exige formação jurídica, não exige dedicação exclusiva e não exige vínculo empregatício. A ANPD confirmou isso na Resolução CD/ANPD 2/2022, que dispensou agentes de tratamento de pequeno porte da indicação obrigatória, mantendo apenas o dever de disponibilizar canal de comunicação com o titular.
O que a lei exige é função efetiva. O encarregado aceita reclamações e comunicações dos titulares, presta esclarecimentos e adota providências; recebe comunicações da autoridade nacional; orienta os funcionários sobre práticas de proteção de dados. Nomeação sem canal funcionando é descumprimento.
Três configurações são comuns e legítimas. Encarregado interno, quando o volume de tratamento justifica dedicação. Encarregado externo, terceirizado, quando a empresa não tem escala para um cargo próprio. E comitê com encarregado formal designado, quando há múltiplas áreas envolvidas.
O erro que gera exposição real não é a escolha do modelo. É o canal de titular que não responde no prazo do art. 19 — quinze dias para a resposta completa ao pedido de acesso — e a ausência de registro do que foi pedido e do que foi respondido.
Referências
- Lei 13.709/2018 (LGPD), arts. 18, 19 e 41
- ANPD, Resolução CD/ANPD 2/2022
- ANPD, Guia Orientativo sobre o Encarregado (2022)
Conteúdo informativo. Não constitui parecer nem substitui análise do caso concreto.
