Encarregado de dados: quem pode ser e o que responde

A LGPD obriga o controlador a indicar um encarregado pelo tratamento de dados pessoais, sem exigir que ele seja advogado ou empregado da casa. A lei admite pessoa natural ou jurídica, e manda divulgar publicamente a identidade e o contato de quem ocupa a função.

Quando uma empresa descobre que precisa indicar um encarregado pelo tratamento de dados pessoais, a primeira dúvida raramente é sobre o que a função faz. É sobre quem pode ocupá-la. Sócio? Funcionário do setor de tecnologia? Escritório contratado por fora? Uma empresa especializada? A resposta está no desenho que a Lei 13.709/2018 deu ao cargo, e esse desenho é mais aberto do que a maioria supõe.

O ponto de partida é a definição legal. A LGPD descreve o encarregado como a pessoa indicada pelo controlador e pelo operador para atuar como canal de comunicação entre o controlador, os titulares dos dados e a ANPD. Nada além disso. Não há exigência de diploma, de registro profissional, de vínculo empregatício ou de dedicação exclusiva.

Quem a lei admite no cargo de encarregado

A definição legal fala em pessoa indicada, sem adjetivo restritivo. Essa redação enxuta tem consequência prática direta: o cargo não está reservado a pessoa natural. Uma sociedade de advogados, uma consultoria de governança ou uma empresa de segurança da informação podem ser designadas, desde que a prestação seja efetiva e identificável. O que a lei cobra é o funcionamento do canal, não o formato do contrato.

Isso abre três arranjos possíveis, e cada um tem um custo próprio. O primeiro é o encarregado interno, um empregado já integrado à rotina da empresa. Conhece o fluxo real dos dados, sabe onde o cadastro de clientes é duplicado e quem acessa a planilha de inadimplentes. Em contrapartida, acumula a função com outras atribuições e dificilmente terá tempo para responder a demandas em prazo curto.

O segundo arranjo é o encarregado terceirizado, contratado por serviço. Traz prática acumulada de vários clientes e distribui o custo, o que o torna viável para empresas pequenas e médias. O risco é a distância: quem não conhece o processo interno responde ao titular de forma genérica, e resposta genérica não resolve reclamação.

O terceiro é o arranjo misto, hoje o mais comum em empresas de porte intermediário. Um responsável interno concentra o contato e o conhecimento do processo, apoiado por assessoria externa para as questões técnicas e jurídicas. O nome divulgado ao público continua sendo um só, porque o titular precisa saber a quem se dirigir.

As atribuições que a lei fixa e as que o contrato acrescenta

A lei lista as atividades do encarregado em quatro itens, e essa lista é o piso da função. Aceitar reclamações e comunicações dos titulares, prestar esclarecimentos e adotar providências é o primeiro deles. Receber comunicações da autoridade nacional e adotar providências é o segundo. Orientar os funcionários e os contratados da entidade sobre as práticas de proteção de dados é o terceiro.

O quarto item é o que costuma passar despercebido na hora de contratar: executar as demais atribuições determinadas pelo controlador ou estabelecidas em normas complementares. Ou seja, a lei estabelece um mínimo e deixa o resto para o contrato e para a regulamentação. Quem contrata um encarregado sem descrever expressamente o escopo acaba com um canal de recebimento de mensagens, e não com uma estrutura de conformidade.

Vale distinguir as duas camadas na hora de redigir o instrumento. A camada legal não se negocia e não se reduz: o encarregado tem de atender titular e autoridade, e tem de orientar quem trata dados na empresa. A camada contratual é onde se definem prazos de resposta, periodicidade de controle interno, elaboração de documentos de conformidade, participação em respostas a incidentes e eventual atuação em treinamento de equipe.

O dever de divulgar identidade e contato

Indicar o encarregado e não contar a ninguém equivale a não indicar. A LGPD determina que a identidade e as informações de contato sejam divulgadas publicamente, de forma clara e objetiva, preferencialmente no sítio eletrônico do controlador. São dois objetos distintos nessa obrigação: a identidade e o contato. Publicar apenas um endereço de correio eletrônico genérico atende metade do comando.

Na prática, a divulgação mínima aceitável reúne o nome de quem ocupa a função, ou a razão social da pessoa jurídica designada, e um meio de contato que funcione e seja monitorado. Uma página de política de privacidade que termina em formulário anônimo deixa o titular sem saber quem vai ler a mensagem, e o próprio texto da lei pede o contrário.

Canal anônimo não cumpre a lei: a LGPD manda divulgar a identidade do encarregado, e não apenas oferecer um formulário.

A localização também importa. A lei indica o sítio eletrônico como meio preferencial, o que significa que esconder a informação em documento de difícil acesso contraria o critério de clareza. Empresas que atendem presencialmente costumam replicar a informação no estabelecimento, solução simples e coerente com a finalidade da norma.

No setor público o dever é igualmente expresso. A LGPD condiciona o tratamento de dados pelas pessoas jurídicas de direito público à indicação de um encarregado quando realizarem operações de tratamento, além de exigir informação clara e atualizada sobre as hipóteses, finalidades e práticas adotadas, preferencialmente em seus sítios eletrônicos.

Dispensa para agentes de tratamento de pequeno porte

A própria LGPD previu que a obrigação não poderia ser idêntica para todos. O texto autoriza a autoridade nacional a estabelecer normas complementares sobre a definição e as atribuições do encarregado, inclusive hipóteses de dispensa da necessidade de sua indicação, conforme a natureza e o porte da entidade ou o volume de operações de tratamento de dados.

Foi com base nessa autorização que a ANPD editou regulamentação própria para agentes de tratamento de pequeno porte, dispensando-os da indicação formal do encarregado. A dispensa, porém, não suprime o canal: quem se enquadra nessa condição continua obrigado a disponibilizar um meio de comunicação com o titular dos dados, divulgado de forma acessível.

Dois mal-entendidos aparecem com frequência nesse ponto. O primeiro supõe que a dispensa alcança a LGPD inteira, e não alcança: bases legais, direitos do titular, segurança da informação e dever de comunicar incidentes seguem valendo na íntegra. O segundo supõe que o enquadramento é automático por faturamento, quando a regulamentação trabalha com critérios próprios, inclusive o tipo de dado tratado e o risco envolvido.

Há ainda um efeito prático que recomenda cautela. A empresa dispensada que cresce, muda de atividade ou passa a tratar dado sensível em escala sai da faixa de dispensa sem receber aviso de ninguém. Quem acompanha o próprio enquadramento periodicamente evita descobrir a mudança por meio de uma reclamação já protocolada.

Independência, conflito de interesses e quem responde

A pergunta que mais aparece em reunião de contratação é se o encarregado responde pessoalmente por falha no tratamento. A resposta vem da própria estrutura da lei. A LGPD define agentes de tratamento como o controlador e o operador, e é a esses agentes que ela dirige as sanções administrativas aplicáveis pela autoridade nacional, que vão da advertência à multa de até dois por cento do faturamento, limitada a R$ 50.000.000,00 por infração.

O encarregado não figura nessa definição. No plano reparatório a lógica é a mesma: a obrigação de reparar dano patrimonial, moral, individual ou coletivo causado em violação à legislação de proteção de dados recai sobre o controlador ou o operador. A exposição de quem ocupa a função é, portanto, contratual e funcional, nos limites do vínculo de trabalho ou do contrato de prestação de serviços.

Isso não transforma o cargo em formalidade. A empresa que indica alguém sem autonomia, sem acesso às decisões de tratamento e sem orçamento para agir compra um nome publicado no site e nada mais. Quando a autoridade questiona, o que se examina é a efetividade do canal e a adoção de providências, não a existência do papel no organograma.

Daí a questão da independência. Quem decide a finalidade do tratamento e quem recebe reclamações sobre essa mesma decisão não deveriam ser a mesma pessoa. O sócio que define a política de marketing e acumula a função de encarregado fica na posição de examinar o próprio ato, o que enfraquece o canal justamente onde ele deveria ser útil. A solução não exige estrutura cara: basta separar as funções e registrar essa separação por escrito.

Empresas que tratam a indicação como decisão de governança, e não como casa a marcar em formulário, costumam chegar a três definições simples. Quem é a pessoa, com nome divulgado. A quem essa pessoa se reporta, de preferência fora da área que trata os dados. E qual o prazo interno para responder ao titular, que precisa ser mais curto que o prazo legal, porque a resposta depende de informação de terceiros dentro da própria empresa.

As informações deste artigo são de caráter informativo e não substituem consulta jurídica individualizada. Cada caso possui particularidades que exigem análise específica.