Encargado de datos: quién puede serlo y de qué responde

Esta página es una traducción del texto original en portugués, ofrecida para facilitar la lectura. Trata del derecho brasileño. En caso de divergencia, prevalece la versión en portugués. Leer el original en portugués

La LGPD (Ley General de Protección de Datos Personales de Brasil) obliga al controlador a designar un encargado del tratamiento de datos personales, sin exigir que sea abogado ni empleado de la empresa. La ley admite a una persona natural o jurídica, y ordena divulgar públicamente la identidad y el contacto de quien ocupa la función.

Cuando una empresa descubre que debe designar un encargado del tratamiento de datos personales (figura equivalente al delegado de protección de datos o DPO), la primera duda rara vez es qué hace esa función. Es quién puede ocuparla. ¿Un socio? ¿Un empleado del área de tecnología? ¿Un despacho contratado externamente? ¿Una empresa especializada? La respuesta está en el diseño que la Ley 13.709/2018 dio al cargo, y ese diseño es más abierto de lo que la mayoría supone.

El punto de partida es la definición legal. La LGPD describe al encargado como la persona designada por el controlador y por el operador para actuar como canal de comunicación entre el controlador, los titulares de los datos y la ANPD (Autoridad Nacional de Protección de Datos de Brasil). Nada más. No se exige título universitario, registro profesional, vínculo laboral ni dedicación exclusiva.

A quién admite la ley como encargado de datos

La definición legal habla de una persona designada, sin ningún adjetivo restrictivo. Esa redacción escueta tiene una consecuencia práctica directa: el cargo no está reservado a una persona natural. Una sociedad de abogados, una consultora de gobernanza o una empresa de seguridad de la información pueden ser designadas, siempre que la prestación sea efectiva e identificable. Lo que la ley exige es que el canal funcione, no un formato de contrato determinado.

Esto abre tres arreglos posibles, y cada uno tiene su propio costo. El primero es el encargado interno, un empleado ya integrado a la rutina de la empresa. Conoce el flujo real de los datos, sabe dónde se duplica el registro de clientes y quién accede a la planilla de morosos. En contrapartida, acumula la función con otras tareas y difícilmente tendrá tiempo para atender solicitudes en plazos cortos.

El segundo arreglo es el encargado tercerizado, contratado por servicio. Aporta la experiencia acumulada con varios clientes y reparte el costo, lo que lo hace viable para empresas pequeñas y medianas. El riesgo es la distancia: quien no conoce el proceso interno responde al titular de forma genérica, y una respuesta genérica no resuelve un reclamo.

El tercero es el arreglo mixto, hoy el más común en empresas de tamaño intermedio. Un responsable interno concentra el contacto y el conocimiento del proceso, con el apoyo de una asesoría externa para las cuestiones técnicas y jurídicas. El nombre que se divulga al público sigue siendo uno solo, porque el titular necesita saber a quién dirigirse.

Las atribuciones que fija la ley y las que añade el contrato

La ley enumera las actividades del encargado en cuatro ítems, y esa lista es el piso de la función. Aceptar reclamos y comunicaciones de los titulares, prestar aclaraciones y adoptar medidas es el primero. Recibir comunicaciones de la autoridad nacional y adoptar medidas es el segundo. Orientar a los empleados y a los contratados de la entidad sobre las prácticas de protección de datos es el tercero.

El cuarto ítem es el que suele pasar inadvertido a la hora de contratar: ejecutar las demás atribuciones que determine el controlador o que establezcan normas complementarias. Es decir, la ley fija un mínimo y deja el resto al contrato y a la reglamentación. Quien contrata a un encargado sin describir expresamente el alcance de su trabajo termina con un canal de recepción de mensajes, y no con una estructura de cumplimiento normativo.

Conviene distinguir las dos capas al redactar el instrumento. La capa legal no se negocia ni se reduce: el encargado debe atender al titular y a la autoridad, y debe orientar a quienes tratan datos en la empresa. La capa contractual es donde se definen los plazos de respuesta, la periodicidad del control interno, la elaboración de documentos de cumplimiento, la participación en la respuesta a incidentes y, eventualmente, la actuación en la capacitación del equipo.

El deber de divulgar identidad y contacto

Designar al encargado y no decírselo a nadie equivale a no designarlo. La LGPD determina que la identidad y los datos de contacto se divulguen públicamente, de forma clara y objetiva, preferentemente en el sitio web del controlador. Son dos objetos distintos dentro de esta obligación: la identidad y el contacto. Publicar solo una dirección de correo electrónico genérica cumple la mitad del mandato.

En la práctica, la divulgación mínima aceptable incluye el nombre de quien ocupa la función, o la razón social de la persona jurídica designada, y un medio de contacto que funcione y sea monitoreado. Una página de política de privacidad que termina en un formulario anónimo deja al titular sin saber quién leerá su mensaje, y el propio texto de la ley pide lo contrario.

Un canal anónimo no cumple la ley: la LGPD ordena divulgar la identidad del encargado, y no solo ofrecer un formulario.

La ubicación también importa. La ley señala el sitio web como medio preferente, lo que significa que esconder la información en un documento de difícil acceso contraría el criterio de claridad. Las empresas que atienden presencialmente suelen replicar la información en el establecimiento, una solución sencilla y coherente con la finalidad de la norma.

En el sector público el deber es igualmente expreso. La LGPD condiciona el tratamiento de datos por parte de las personas jurídicas de derecho público a la designación de un encargado cuando realicen operaciones de tratamiento, además de exigir información clara y actualizada sobre los supuestos, las finalidades y las prácticas adoptadas, preferentemente en sus sitios web.

Dispensa para agentes de tratamiento de pequeño porte

La propia LGPD previó que la obligación no podía ser idéntica para todos. El texto autoriza a la autoridad nacional a establecer normas complementarias sobre la definición y las atribuciones del encargado, incluidos los supuestos de dispensa de la necesidad de designarlo, según la naturaleza y el tamaño de la entidad o el volumen de operaciones de tratamiento de datos.

Con base en esa autorización, la ANPD emitió una reglamentación propia para los agentes de tratamiento de pequeño porte, que los dispensa de la designación formal del encargado. Sin embargo, la dispensa no suprime el canal: quien se encuadra en esa condición sigue obligado a poner a disposición un medio de comunicación con el titular de los datos, divulgado de forma accesible.

En este punto aparecen con frecuencia dos malentendidos. El primero supone que la dispensa alcanza a toda la LGPD, y no es así: las bases legales, los derechos del titular, la seguridad de la información y el deber de comunicar incidentes siguen vigentes en su totalidad. El segundo supone que el encuadre es automático según la facturación, cuando la reglamentación trabaja con criterios propios, entre ellos el tipo de dato tratado y el riesgo involucrado.

Hay además un efecto práctico que aconseja cautela. La empresa dispensada que crece, cambia de actividad o empieza a tratar datos sensibles a gran escala sale del rango de dispensa sin que nadie se lo avise. Quien revisa periódicamente su propio encuadre evita descubrir el cambio a través de un reclamo ya presentado.

Independencia, conflicto de intereses y quién responde

La pregunta que más aparece en las reuniones de contratación es si el encargado responde personalmente por una falla en el tratamiento. La respuesta surge de la propia estructura de la ley. La LGPD define como agentes de tratamiento al controlador y al operador, y es a ellos a quienes dirige las sanciones administrativas que puede aplicar la autoridad nacional, que van desde la advertencia hasta una multa de hasta el dos por ciento de la facturación, limitada a R$ 50.000.000,00 por infracción.

El encargado no figura en esa definición. En el plano resarcitorio la lógica es la misma: la obligación de reparar el daño patrimonial, moral, individual o colectivo causado en violación de la legislación de protección de datos recae sobre el controlador o el operador. La exposición de quien ocupa la función es, por lo tanto, contractual y funcional, dentro de los límites del vínculo laboral o del contrato de prestación de servicios.

Esto no convierte el cargo en una formalidad. La empresa que designa a alguien sin autonomía, sin acceso a las decisiones de tratamiento y sin presupuesto para actuar compra un nombre publicado en el sitio web y nada más. Cuando la autoridad cuestiona, lo que se examina es la efectividad del canal y la adopción de medidas, no la existencia del papel en el organigrama.

De ahí la cuestión de la independencia. Quien decide la finalidad del tratamiento y quien recibe reclamos sobre esa misma decisión no deberían ser la misma persona. El socio que define la política de marketing y acumula la función de encargado queda en la posición de examinar su propio acto, lo que debilita el canal justamente donde debería ser útil. La solución no exige una estructura costosa: basta separar las funciones y dejar constancia escrita de esa separación.

Las empresas que tratan la designación como una decisión de gobernanza, y no como una casilla que marcar en un formulario, suelen llegar a tres definiciones sencillas. Quién es la persona, con su nombre divulgado. A quién reporta esa persona, preferentemente fuera del área que trata los datos. Y cuál es el plazo interno para responder al titular, que debe ser más corto que el plazo legal, porque la respuesta depende de información de terceros dentro de la propia empresa.

Preguntas frecuentes

¿El encargado debe ser abogado o contar con una certificación?

No. La LGPD define al encargado por la función que ejerce, como canal de comunicación entre el controlador, los titulares y la ANPD, y no impone formación, registro profesional ni certificación. El conocimiento jurídico y técnico es deseable por la naturaleza del trabajo, pero la ausencia de un título específico no invalida la designación.

¿Puede la empresa contratar al encargado fuera de su plantilla de personal?

Sí. La definición legal habla de una persona designada, sin exigir vínculo laboral, y admite a la persona jurídica. La tercerización es válida y frecuente en empresas pequeñas y medianas. Lo que no cambia con ella es el deber de divulgar públicamente la identidad y el contacto, ni la necesidad de responder al titular y a la autoridad en un plazo adecuado.

Si hay una filtración de datos, ¿el encargado paga la multa?

No, según el diseño de la ley. Las sanciones administrativas de la LGPD recaen sobre los agentes de tratamiento, que la propia ley define como el controlador y el operador, y el deber de reparar daños sigue la misma dirección. El encargado responde en el plano contractual o funcional ante quien lo designó, según los términos del vínculo.

As informações deste artigo são de caráter informativo e não substituem consulta jurídica individualizada. Cada caso possui particularidades que exigem análise específica.