Encargado de datos: por qué su empresa necesita uno y qué hace

Esta página es una traducción del texto original en portugués, ofrecida para facilitar la lectura. Trata del derecho brasileño. En caso de divergencia, prevalece la versión en portugués. Leer el original en portugués

La Ley General de Protección de Datos de Brasil convirtió al encargado del tratamiento de datos en el vínculo obligatorio entre la empresa, los titulares de los datos y la Autoridad Nacional de Protección de Datos. Ignorar esta designación expone a la organización a sanciones y socava la confianza del mercado.

El encargado como puente entre tres mundos

El encargado del tratamiento de datos personales (encarregado, figura equivalente al delegado de protección de datos) nació con la Ley 13.709/2018, la Ley General de Protección de Datos. El artículo 5º, inciso VIII, define esta figura como la persona designada por el controlador y por el operador para actuar como canal de comunicación entre la organización, los titulares de los datos y la autoridad fiscalizadora. Inspirada en el modelo europeo, la función se conoce internacionalmente por la sigla Data Protection Officer, o DPO.

La palabra puente describe bien su posición. De un lado está la empresa que recopila y procesa información; del otro, los ciudadanos cuyos datos circulan; en el centro, la Autoridad Nacional de Protección de Datos, que vigila el cumplimiento de la ley. El encargado ocupa el punto de encuentro entre estos tres intereses: traduce las obligaciones legales en rutinas concretas y recibe solicitudes procedentes de todas las direcciones.

El artículo 41 de la misma ley convierte esta figura en una obligación. El controlador debe designar a un encargado y divulgar su identidad y sus datos de contacto de forma clara, preferentemente en su propio sitio web. Esta transparencia no es un detalle burocrático: es lo que permite al titular saber a quién dirigirse cuando desea acceder a su información personal, corregirla o eliminarla.

La elección del término encarregado, en lugar del anglicismo, refleja la preferencia del legislador brasileño por un vocabulario propio, aunque la función dialoga directamente con el reglamento europeo de protección de datos. Este origen común explica por qué muchas prácticas adoptadas en Brasil reflejan lo que ya se consolidó en Europa, desde los informes de impacto hasta los protocolos de respuesta a incidentes.

Las responsabilidades que impone la ley

El párrafo 2º del artículo 41 enumera las atribuciones mínimas del encargado. La primera es aceptar reclamaciones y comunicaciones de los titulares, prestar aclaraciones y adoptar medidas. En la práctica, esto significa mantener un canal activo para quien cuestiona el uso de sus datos, con respuestas dentro de plazos razonables y con registro de cada solicitud.

La segunda atribución es recibir las comunicaciones de la autoridad nacional y adoptar las medidas pertinentes. Cuando la ANPD (Autoridad Nacional de Protección de Datos de Brasil) inicia una fiscalización o solicita información, el encargado es el interlocutor formal. La tercera función es orientar a los empleados y a los contratados de la entidad sobre las prácticas de protección de datos, un papel que acerca esta figura a la de un agente interno de cumplimiento normativo.

La lista legal no agota el cargo. La misma disposición autoriza al controlador a asignarle otras tareas, y la práctica del mercado ha incorporado funciones como participar en la elaboración de políticas internas, apoyar los informes de impacto a la protección de datos y dar seguimiento a los incidentes de seguridad. El encargado transita así entre el área jurídica, la tecnología de la información y la alta dirección.

La eficacia de estas atribuciones depende de la estructura. Una dirección de correo electrónico publicada sin nadie que la responda no cumple la ley. La autoridad ha señalado que espera procesos documentados, con registro de solicitudes, definición de responsables y plazos internos de respuesta, elementos que demuestran una gobernanza real y no una mera apariencia de cumplimiento.

La relación con los titulares merece una atención especial. La ley asegura al ciudadano derechos como la confirmación del tratamiento, el acceso, la corrección y la portabilidad de los datos. Corresponde al encargado coordinar a las áreas internas para que estas solicitudes se atiendan en plazo, evitando que un simple pedido se convierta en una reclamación formal ante la autoridad o en una acción judicial.

Este conjunto de deberes explica por qué la elección de quien ocupará la función no puede ser aleatoria ni meramente simbólica.

De un lado está la empresa que recopila y procesa información; del otro, los ciudadanos cuyos datos circulan; en el centro, la Autoridad Nacional de Protección de Datos, que vigila el cumplimiento de la ley.

El perfil exigido para la función

Designar a cualquier persona solo para cumplir con la formalidad contraría el espíritu de la ley. El encargado necesita reunir conocimientos jurídicos sobre la Ley General de Protección de Datos, nociones sólidas de seguridad de la información y capacidad de diálogo con áreas distintas. Debe comprender tanto el texto normativo como el flujo real de datos dentro de la organización.

La legislación no exige una formación específica ni un vínculo laboral. El encargado puede ser un colaborador interno o un profesional externo contratado, modelo que el mercado ha denominado DPO como servicio. Las empresas más pequeñas suelen optar por la tercerización, mientras que los grandes grupos mantienen estructuras propias, a menudo dirigidas por abogados especializados en protección de datos.

La autonomía es el atributo más delicado. Para ejercer el papel con credibilidad, el encargado debe tener acceso a la alta dirección y libertad para señalar fallas, aunque resulten incómodas. Colocar en la función a alguien sin independencia, o sobrecargado por conflictos de intereses, vacía de contenido la designación y debilita la defensa de la empresa ante una eventual fiscalización.

Determinados puestos concentran poder de decisión sobre el tratamiento de datos y, por ello, tienden a generar conflicto cuando se acumulan con la función. Los cargos que definen las finalidades y los medios del tratamiento, como las direcciones de marketing o de tecnología, exigen una cautela redoblada. El diseño ideal preserva la capacidad del encargado de fiscalizar sin juzgar sus propias decisiones.

Los riesgos de ignorar la designación

La ausencia de encargado, o su designación solo sobre el papel, expone a la organización a sanciones administrativas. El artículo 52 de la Ley General de Protección de Datos prevé penalidades que van desde la advertencia hasta una multa de hasta el 2% de la facturación, limitada a cincuenta millones de reales por infracción, además de la publicidad de la sanción y el bloqueo o la eliminación de los datos involucrados.

En 2024, la autoridad dictó una reglamentación específica sobre la actuación del encargado, en la que detalló los deberes, las garantías de autonomía y los supuestos de dispensa. Los agentes de tratamiento de pequeño porte no están obligados a designar formalmente a un encargado, pero deben mantener un canal de comunicación con los titulares y con la autoridad. La dispensa, por tanto, no elimina el deber de transparencia.

La fiscalización brasileña ha madurado de forma gradual, priorizando la orientación antes que la sanción severa. Este escenario cambió con la estructuración de la autoridad y la aprobación de normas sobre la dosimetría de las sanciones. La tendencia es hacia un rigor creciente, lo que hace imprudente apostar a que la ausencia del encargado pasará inadvertida ante una reclamación o un incidente relevante.

El perjuicio, sin embargo, va más allá de la multa. Las filtraciones mal gestionadas, las respuestas ignoradas a los titulares y la falta de un interlocutor durante una fiscalización erosionan la reputación y alejan a clientes y socios. En el entorno digital, donde la confianza se ha vuelto un activo económico, la designación de un encargado competente dejó de ser un costo y pasó a formar parte de la estrategia de quien trata datos personales.

Existe además un efecto preventivo poco recordado. Una designación bien estructurada anticipa problemas, organiza la respuesta a incidentes y crea un rastro de auditoría que demuestra buena fe ante la autoridad. Las empresas que invirtieron temprano en esta función informan de una menor exposición a conflictos y de una negociación más favorable cuando son cuestionadas, porque pueden acreditar una diligencia documentada.

La designación como parte de la gobernanza de datos

Considerar al encargado como una pieza aislada es un error común. La función solo produce resultados cuando se integra en un programa más amplio de gobernanza, que incluya el mapeo de datos, bases legales bien definidas, políticas de conservación y capacitación periódica. El profesional coordina este conjunto, pero depende del compromiso de toda la organización.

En este esquema, la designación deja de ser una exigencia aislada y pasa a señalar madurez. Inversores, socios comerciales y grandes clientes han incluido la existencia de un encargado activo entre los criterios de due diligence. La figura, creada por obligación legal, se ha convertido en un diferencial competitivo para quien trata datos personales con seriedad.

Preguntas frecuentes

¿Toda empresa está obligada a designar un encargado?

La regla general del artículo 41 impone la designación a todo controlador de datos. Sin embargo, la reglamentación de la autoridad eximió de la designación formal a los agentes de tratamiento de pequeño porte, siempre que mantengan un canal de comunicación accesible. Las micro y pequeñas empresas deben evaluar el volumen y la naturaleza de los datos que tratan antes de concluir que están exentas de esta obligación.

¿El encargado debe ser abogado?

La ley no exige formación jurídica ni una profesión regulada. Lo ideal es reunir conocimientos sobre la legislación de protección de datos y sobre seguridad de la información. Muchas organizaciones eligen a abogados especializados precisamente por la necesidad de interpretar la norma y de conducir la relación con la autoridad, pero los profesionales de tecnología y de gobernanza de datos también ejercen la función con competencia.

¿Puede designarse a una persona jurídica como encargado?

Sí. La reglamentación admite que el encargado sea una persona física o jurídica, lo que hace viable la contratación de empresas especializadas en la prestación del servicio. En este esquema, la responsabilidad por el tratamiento sigue recayendo en el controlador, pero la operación diaria del canal y el cumplimiento de las atribuciones legales quedan a cargo del prestador designado.

As informações deste artigo são de caráter informativo e não substituem consulta jurídica individualizada. Cada caso possui particularidades que exigem análise específica.