Em fevereiro de 2026, a Lei nº 15.352/2026 transformou a Autoridade Nacional de Proteção de Dados (ANPD) em agência reguladora de regime especial: em junho do mesmo ano, a autoridade abriu 19 novos processos administrativos sancionadores de uma só vez, o maior lote de sua história (gov.br/ANPD). Se sua empresa trata dados pessoais de qualquer pessoa no Brasil, na União Europeia, na Califórnia, no Canadá, na Tailândia ou na África do Sul, a pergunta "preciso de um encarregado de dados?" deixou de ser teórica.
Sua equipe jurídica provavelmente já ouviu o termo DPO (Data Protection Officer) sendo usado como sinônimo do "encarregado" da LGPD, do "privacy officer" do Canadá e do "information officer" da África do Sul, como se fossem a mesma exigência com nomes diferentes. Não são. Cada lei define de forma distinta quem precisa nomear esse profissional, o que ele faz e o que acontece se a empresa não o fizer, e confundir as regras de uma jurisdição com as de outra é o erro mais comum (e mais caro) nessa área.
Principais Pontos
➤ A LGPD (Art. 41) exige a nomeação de um encarregado por praticamente todos os controladores no Brasil, não apenas por quem processa dados em grande escala, como costuma-se presumir por analogia com o GDPR.
➤ Agentes de pequeno porte (startups, microempresas, empreendedores individuais) ficam dispensados dessa obrigação pela Resolução CD/ANPD nº 2/2022, desde que mantenham um canal de comunicação com os titulares e não tratem dados de alto risco.
➤ O GDPR europeu exige DPO apenas em três cenários específicos do Artigo 37: autoridade pública, monitoramento sistemático em grande escala, ou tratamento em grande escala de dados sensíveis. Não é uma obrigação universal como a da LGPD.
➤ A Tailândia (PDPA) e a África do Sul (POPIA) também têm regras próprias e distintas entre si: a primeira restringe a exigência a três categorias específicas de controlador; a segunda torna a nomeação obrigatória para toda organização, sem teste condicional.
O Que É um Encarregado de Dados (DPO)?
Encarregado de dados (DPO): a pessoa física ou jurídica indicada por uma organização para atuar como ponto de contato entre a empresa, os titulares dos dados pessoais e a autoridade reguladora competente, supervisionando a conformidade com a legislação de proteção de dados aplicável.
O nome muda conforme a lei: "encarregado" na LGPD, "Data Protection Officer" no GDPR e na PDPA tailandesa, "privacy officer" na PIPEDA canadense, "information officer" na POPIA sul-africana. Mas a função central se repete: orientar a organização sobre suas obrigações, monitorar o cumprimento das políticas internas de dados, e servir de canal para reclamações de titulares e questionamentos de reguladores.
Esse papel é diferente do de um representante legal. Algumas leis, como o GDPR e a PDPA da Tailândia, exigem que certas empresas estrangeiras nomeiem um representante legal na UE ou na Tailândia para servir de ponto de contato formal com autoridades locais: uma obrigação distinta, que pode coexistir com a do DPO, mas não a substitui.
Para o DPO exercer a função com efetividade, a independência não é opcional: ele não pode integrar processos decisórios que gerem conflito de interesse e precisa ter acesso direto ao mais alto nível da administração da empresa.
Quais São as Responsabilidades do DPO?
Sob o GDPR, o Artigo 39 define as tarefas do DPO com mais detalhe do que qualquer outra lei da comparação abaixo, e a maioria das organizações usa essa lista como referência prática mesmo fora da União Europeia:
- Informar e aconselhar o controlador, o operador e os funcionários sobre suas obrigações de proteção de dados.
- Monitorar a conformidade com o GDPR (ou lei equivalente) e com as políticas internas de dados da organização.
- Assessorar a realização de Avaliações de Impacto à Proteção de Dados (DPIA/RIPD) e acompanhar seus resultados.
- Atuar como ponto de contato para a autoridade supervisora em questões relacionadas ao tratamento de dados.
- Cooperar com a autoridade supervisora no exercício de suas funções.
Na prática diária, isso costuma se desdobrar em atividades que a lei não lista literalmente, mas que decorrem diretamente dela: treinamento de equipes internas em proteção de dados, manutenção do registro de riscos de privacidade da empresa, e revisão de contratos com fornecedores que processam dados pessoais em nome do controlador.
Uma distinção que gera confusão recorrente: o DPO aconselha, mas não decide. Se o time de marketing escolhe qual ferramenta de automação usar, cabe ao DPO avaliar se essa ferramenta (como processadora de dados) atende aos requisitos legais e recomendar ajustes, não vetar ou aprovar a compra sozinho. É exatamente por isso que a gerente de marketing não deveria acumular a função de DPO: o conflito entre "fazer o melhor pelo marketing" e "fazer o melhor pela conformidade" nem sempre se resolve na mesma direção.
Manter esse acompanhamento organizado, sabendo qual base legal, contrato de operador e avaliação de risco sustentam cada atividade de tratamento, é o tipo de trabalho que se torna insustentável em planilha a partir de um certo volume de processos. O módulo de Políticas & Documentos da Plataforma de Governança de Privacidade e IA da Secure Privacy centraliza essas políticas, versões e aprovações em um só lugar: o tipo de evidência que um DPO precisa apresentar primeiro em uma fiscalização.
Quem Precisa Nomear um DPO? Comparação Entre Seis Leis
Cada lei de proteção de dados usa seu próprio teste para decidir quem precisa de um DPO — e presumir que a regra de uma se aplica às demais é a fonte mais comum de erro de conformidade nessa área.
| Lei/Regulamento | Quando o DPO é obrigatório | Quem nomeia | Divulgação pública exigida? | Penalidade por não conformidade |
|---|---|---|---|---|
| GDPR (União Europeia) | Apenas em três cenários do Art. 37: autoridade/órgão público; monitoramento sistemático e regular em grande escala como atividade principal; ou tratamento em grande escala de dados sensíveis/criminais como atividade principal | Controlador ou operador | Sim: contato do DPO deve ser comunicado à autoridade supervisora e, em geral, divulgado aos titulares | Até €10 milhões ou 2% do faturamento global anual (o maior valor, conforme Art. 83) |
| CCPA/CPRA (Califórnia, EUA) | Não exige DPO nominalmente; exige apenas que a empresa designe um responsável interno ou terceirizado pela conformidade | A empresa controladora | Não há exigência de publicar o nome do responsável | US$ 2.663 por violação não intencional; US$ 7.988 por violação intencional ou envolvendo menores (valores 2025-26 ajustados pela CPPA) |
| LGPD (Brasil) | Obrigatório para praticamente todos os controladores (Art. 41), com dispensa condicional para agentes de pequeno porte pela Resolução CD/ANPD nº 2/2022, exceto em tratamento de alto risco | Controlador (operador pode nomear voluntariamente) | Sim: identidade e informações de contato devem ser divulgadas publicamente, de forma clara e objetiva (Art. 41, §1º) | Advertência, bloqueio/eliminação de dados, multa simples de até 2% do faturamento no Brasil, limitada a R$ 50 milhões por infração (Art. 52) |
| PIPEDA (Canadá) | Não usa o termo "DPO", mas exige que toda organização sujeita à lei designe um "privacy officer" responsável pela conformidade, pelo princípio da responsabilização | A organização, para qualquer porte | Sim: nome ou cargo do responsável deve ser comunicado interna e externamente (ex.: no site) | Até CAD$ 100.000 por infração em processos por indiciamento, aplicados via Ministério Público, não diretamente pelo Escritório do Comissário de Privacidade |
| PDPA (Tailândia) | Obrigatório apenas para: órgãos públicos designados; controladores/operadores especificados por notificação do PDPC (grande escala/monitoramento sistemático); ou atividade principal envolvendo dados sensíveis (Seção 41) | Controlador ou operador | Sim: identidade e canal de contato do DPO devem ser informados ao PDPC e aos titulares | Multa administrativa de até THB 1.000.000 (cerca de US$ 27 mil) |
| POPIA (África do Sul) | Obrigatório para toda "responsible party" (organização que trata dados pessoais), sem teste condicional de escala ou tipo de dado | A responsible party (empresa/organização) | Sim: registro do Information Officer é obrigatório junto ao Information Regulator antes que ele possa exercer suas funções | Até ZAR 10 milhões e/ou até 10 anos de prisão para as infrações mais graves (Seção 107) |
Um padrão salta aos olhos nessa tabela: LGPD e POPIA tratam a nomeação como regra geral com poucas exceções, enquanto GDPR e PDPA condicionam a obrigação a critérios específicos de escala ou tipo de dado, e CCPA e PIPEDA evitam o termo "DPO" mas ainda assim exigem uma função equivalente. Tratar as seis leis como variações de uma única regra é o erro que mais aparece em auditorias de conformidade multi-jurisdição.
Preciso de um DPO? Teste de Decisão
Se sua empresa trata dados pessoais sob mais de uma das leis acima, a resposta raramente é um "sim" ou "não" único: depende de qual lei se aplica a cada operação. Para decidir, avalie:
- Em quais jurisdições você tem titulares de dados? Uma empresa brasileira que só atende clientes no Brasil segue apenas a LGPD; uma que também vende para a União Europeia precisa avaliar o teste do Art. 37 do GDPR separadamente.
- Qual é o porte da sua operação de tratamento? Sob a LGPD, isso só importa para a dispensa de pequeno porte. Sob o GDPR e a PDPA, é o próprio critério que decide se o DPO é obrigatório.
- Você trata dados sensíveis ou faz monitoramento sistemático como atividade principal? Essa pergunta é decisiva para GDPR e PDPA; para LGPD e POPIA, ela só afeta se sua empresa se qualifica para alguma exceção específica.
- Sua empresa está sujeita a mais de uma lei simultaneamente? Nesse caso, o caminho mais seguro é nomear um DPO que atenda ao padrão mais rigoroso entre as leis aplicáveis, em vez de tentar manter DPOs ou processos separados por jurisdição.
Se, mesmo depois desse teste, a resposta continuar incerta, vale nomear um DPO por boa prática: o próprio Comitê Europeu de Proteção de Dados recomenda a nomeação voluntária mesmo fora dos casos obrigatórios, e a Resolução CD/ANPD nº 2/2022 reforça esse mesmo ponto para pequenas empresas dispensadas no Brasil — a dispensa não significa que ter um encarregado seja desaconselhável.
Depois de Nomear o DPO: O Que Muda na Rotina
Nomear o DPO é o início, não o fim, do trabalho. Depois da nomeação, a organização normalmente precisa:
- Dar acesso a todos os recursos relevantes: políticas internas, contratos de processamento de dados e avaliações de risco já existentes.
- Garantir autoridade real: o DPO deve poder reportar diretamente à alta administração e recomendar mudanças sem retaliação.
- Formalizar o canal com titulares e reguladores: divulgar publicamente o contato do DPO onde a lei aplicável exigir (ver coluna "Divulgação pública" na tabela acima).
- Manter capacitação contínua: a paisagem regulatória muda com frequência — o adiamento das obrigações de alto risco da Lei de IA da UE para dezembro de 2027 e agosto de 2028, decidido no Digital Omnibus de julho de 2026, é um exemplo recente de mudança que qualquer DPO precisa acompanhar.
O escopo do cargo também está mudando por conta própria: segundo o IAPP Salary and Jobs Report 2025-26, 68% dos profissionais de privacidade já assumiram responsabilidades de governança de IA, uma expansão do papel que há poucos anos era essencialmente jurídico e operacional. Isso significa que classificar sistemas de IA por nível de risco e documentar decisões automatizadas deixou de ser tarefa isolada de um time de engenharia e passou a integrar o mesmo programa que o DPO já supervisiona para LGPD e GDPR.
Manter esse acompanhamento em planilhas separadas por jurisdição e por sistema de IA deixa de escalar rapidamente. O módulo de Governança de IA da Plataforma de Governança de Privacidade e IA da Secure Privacy permite ao DPO classificar sistemas de IA por risco, vincular cada um às regulações aplicáveis e gerar documentação pronta para auditoria — sem depender de uma planilha por país.
Perguntas Frequentes
É obrigatório ter um DPO em todas as empresas?
Não. A obrigatoriedade depende da lei aplicável: a LGPD exige encarregado da maioria dos controladores no Brasil, com dispensa para pequenas empresas; o GDPR só exige DPO em três cenários específicos do Art. 37; e a CCPA e a PIPEDA nem sequer usam o termo "DPO", exigindo apenas um responsável equivalente pela conformidade.
Pequenas empresas precisam nomear um encarregado de dados?
Depende da lei. Sob a LGPD, agentes de pequeno porte (startups, microempresas, empreendedores individuais) ficam dispensados pela Resolução CD/ANPD nº 2/2022, desde que mantenham um canal de comunicação com os titulares e não tratem dados de alto risco. Sob o GDPR, pequenas empresas só precisam de DPO se o tratamento de dados for sua atividade principal e envolver monitoramento sistemático ou dados sensíveis em grande escala. Sob a POPIA sul-africana, não existe dispensa por porte: toda responsible party precisa registrar um Information Officer.
O DPO é pessoalmente responsável por eventuais violações de conformidade?
Não. O DPO não responde pessoalmente por violações da lei: a responsabilidade final pela conformidade recai sobre o controlador ou operador da organização. O papel do DPO é assessorar, monitorar e sinalizar riscos, não arcar com a penalidade em nome da empresa.
O DPO precisa ter formação jurídica?
Não. As leis analisadas exigem "conhecimento especializado" em proteção de dados, mas nenhuma delas exige formação jurídica formal. Certificações como CIPP, CDPO ou FIP costumam demonstrar essa expertise na prática, mas não são um requisito legal em nenhuma das seis jurisdições.
O DPO pode ser um funcionário já existente da empresa?
Sim, desde que a pessoa tenha a independência e a ausência de conflito de interesse exigidas pela lei aplicável. Um funcionário que já toma decisões sobre o próprio tratamento de dados que auditaria como DPO (como o gerente de marketing que escolhe as ferramentas de automação) normalmente não deve acumular a função.
É possível compartilhar um DPO entre duas empresas do mesmo grupo?
Sim, isso é chamado de DPO conjunto e é expressamente permitido quando o controlador e o operador pertencem ao mesmo grupo empresarial, contanto que o DPO continue acessível a cada entidade individualmente e mantenha sua independência em relação a todas elas.
Conclusão
Nomear um DPO não é uma exigência única com uma resposta única — é seis testes diferentes, cada um com seu próprio gatilho, sua própria regra de divulgação e sua própria penalidade. Tratar a LGPD como se seguisse o teste de escala do GDPR, ou presumir que a POPIA condiciona a nomeação a algum critério que na verdade só existe em outra lei, é o tipo de erro que só aparece quando um regulador já está perguntando.
Sustentar esse mapeamento manualmente, lei por lei, sistema por sistema, deixa de escalar assim que a empresa opera em mais de uma jurisdição. A Plataforma de Governança de Privacidade e IA da Secure Privacy reúne Mapeamento de Dados e ROPA, gestão de DSAR, Avaliações (DPIA, RIPD, LIA, AIA), Governança de Maturidade e um módulo dedicado de Governança de IA em um único painel, cobrindo mais de 60 regulações — incluindo as seis desta comparação. Agende uma demonstração para ver como sua equipe pode acompanhar as obrigações do DPO em cada jurisdição sem depender de planilha.