Encarregado de dados: canal sem autonomia vira nome decorativo

O encarregado é o canal previsto pela LGPD para comunicação entre controlador, titulares e ANPD, mas sua função não se resume a receber e-mails. A Resolução CD/ANPD nº 18/2024 regulamenta sua atuação e a ANPD publicou guia específico sobre o encarregado.

O cargo precisa ter acesso à operação real

Indicar um nome em uma política sem dar acesso a processos, pessoas e decisões cria uma função apenas formal. O encarregado precisa conseguir encaminhar demandas, orientar áreas e participar das discussões em que proteção de dados é relevante.

Isso não significa transformar o encarregado em responsável único pela conformidade. A decisão sobre finalidade, produto, contratação, segurança ou RH continua pertencendo às estruturas competentes do controlador. O encarregado funciona como ponto de articulação e orientação, não como “dono” de todos os riscos.

Conflitos e independência prática precisam ser observados

A empresa deve avaliar se outras atribuições da pessoa indicada criam conflito que prejudique sua atuação. Também precisa estabelecer substituição, canais de contato, rotina de escalonamento e registro das demandas recebidas.

A definição de controlador e operador vem antes: o encarregado está inserido na governança do controlador, e a qualificação dos agentes afeta quem responde aos titulares e como a cadeia contratual se organiza.

Um programa funcional mede o encarregado pela capacidade de fazer a informação circular e as decisões aparecerem — não pelo título “DPO” no organograma.

O encarregado precisa de um mapa de escalonamento

Receber um pedido é apenas o começo. A organização deve indicar quem responde por RH, produto, segurança, contratos e atendimento, com critérios para situações urgentes. Sem esse mapa, o encarregado vira caixa postal que encaminha mensagens sem conseguir acompanhar a decisão.

Também é útil definir indicadores simples: demandas recebidas, temas recorrentes, tempo interno de encaminhamento, incidentes acompanhados e recomendações pendentes. O objetivo não é transformar proteção de dados em painel de vaidade, mas identificar gargalos concretos.

Terceirização não elimina a responsabilidade de governança

A função pode ser exercida por pessoa interna ou externa conforme o regime aplicável, mas o controlador continua responsável por fornecer informações, acesso e condições para atuação. Um DPO externo sem contato com a operação não consegue substituir decisões que dependem das áreas de negócio.

A indicação pública e os canais devem permanecer atualizados. Mudança de pessoa, e-mail ou fornecedor precisa refletir rapidamente nos pontos de contato para que titular e ANPD não encontrem um endereço abandonado.

O desenho interno deve prever substituição e escalonamento. Férias, ausência ou conflito não podem interromper o canal do titular nem deixar uma decisão crítica sem responsável. A função precisa estar conectada às áreas que realmente controlam sistemas, pessoas e contratos.