Pequena Empresa Precisa Nomear Encarregado de Dados (DPO) pela LGPD?

Uma pequena empresa abre um site, coleta nome, e-mail e telefone de clientes, recebe currículos, usa um sistema de atendimento e contrata ferramentas de pagamento, marketing e armazenamento em nuvem. Em pouco tempo surge a dúvida: é obrigatório nomear um encarregado pelo tratamento de dados pessoais, também chamado de DPO?

A resposta não depende apenas do número de empregados nem do fato de a empresa ser MEI, microempresa ou empresa de pequeno porte. A regra geral da Lei Geral de Proteção de Dados Pessoais é a indicação de encarregado pelo controlador. A regulamentação da ANPD, porém, dispensa determinados agentes de tratamento de pequeno porte, desde que eles realmente se enquadrem no regime diferenciado e não realizem tratamento de alto risco.

Essa dispensa não significa “LGPD simplificada a ponto de não fazer nada”. Mesmo sem encarregado formal, a empresa precisa oferecer um canal de comunicação ao titular, responder solicitações, informar como usa os dados, adotar medidas de segurança, manter bases legais adequadas e conseguir demonstrar as decisões tomadas. A função pode ser dispensada; a responsabilidade pelo tratamento não.

Este guia explica como fazer o teste de enquadramento, quando a nomeação continua obrigatória, o que deve existir no lugar do DPO, como escolher uma pessoa interna ou externa e quais documentos precisam conversar entre si. Para transformar o diagnóstico em informação pública clara, a empresa pode começar por uma Política de Privacidade personalizada, ajustada às operações que realmente realiza.

Resposta direta: toda pequena empresa precisa ter DPO?

Não. O art. 41 da LGPD em sua redação compilada determina que o controlador indique encarregado e publique sua identidade e informações de contato de forma clara, preferencialmente no site. Contudo, o art. 11 da Resolução CD/ANPD nº 2/2022 estabelece que agentes de tratamento de pequeno porte não são obrigados a fazer essa indicação.

A dispensa só pode ser usada depois de responder três perguntas. A organização pertence a uma das categorias de agente de pequeno porte reconhecidas pela norma? Sua receita e a receita do grupo econômico permanecem dentro dos limites aplicáveis? Suas operações ficam fora da classificação de tratamento de alto risco? Se qualquer resposta for negativa, não é seguro invocar a dispensa apenas porque a empresa se apresenta comercialmente como “pequena”.

Quando a dispensa se aplica, há uma contrapartida expressa: disponibilizar canal de comunicação com o titular para receber reclamações e solicitações, prestar esclarecimentos e adotar providências. Nomear voluntariamente um encarregado continua sendo considerado boa prática de governança e pode ser útil quando o volume de demandas, os contratos ou a complexidade tecnológica justificam uma coordenação especializada.

Quem pode ser agente de tratamento de pequeno porte?

A Resolução CD/ANPD nº 2/2022 inclui microempresas, empresas de pequeno porte, startups, pessoas jurídicas privadas sem fins lucrativos, pessoas naturais e entes privados despersonalizados que assumam obrigações típicas de controlador ou operador. A definição é ampla, mas o acesso ao regime diferenciado não é automático.

Para microempresa, empresa de pequeno porte e MEI, é necessário observar o enquadramento e os limites da Lei Complementar nº 123/2006. Para startups, valem os critérios da Lei Complementar nº 182/2021. Outras pessoas jurídicas ou naturais também podem ser consideradas de pequeno porte conforme a regulamentação, mas precisam documentar por que se enquadram.

Três situações afastam o benefício: receita bruta superior ao limite legal; participação em grupo econômico cuja receita global ultrapasse o limite; ou realização de tratamento de alto risco. A análise do grupo econômico é especialmente importante. Criar uma empresa pequena dentro de uma estrutura empresarial maior não permite avaliar apenas o faturamento isolado daquela sociedade.

Também não basta guardar o cartão do CNPJ ou o comprovante do Simples Nacional. A ANPD pode solicitar prova do enquadramento, e a norma prevê prazo para apresentação. É prudente manter uma pasta de governança com documentos societários, demonstração do porte, mapa resumido dos tratamentos e memória da avaliação de risco que sustentou a decisão de não nomear encarregado.

Como identificar tratamento de alto risco

A Resolução nº 2 considera de alto risco o tratamento que reúna cumulativamente pelo menos um critério geral e um critério específico. Portanto, não se deve marcar cada item de forma isolada e concluir automaticamente. É preciso verificar a combinação prevista na norma.

Os critérios gerais são tratamento em larga escala ou tratamento capaz de afetar significativamente interesses e direitos fundamentais dos titulares. A larga escala considera quantidade de titulares, volume de dados, duração, frequência e extensão geográfica. O impacto significativo pode existir quando a atividade impede o exercício de direitos ou o acesso a serviço, ou quando pode causar discriminação, fraude, roubo de identidade, dano à reputação ou violação da integridade.

Os critérios específicos abrangem uso de tecnologias emergentes ou inovadoras; vigilância ou controle de áreas acessíveis ao público; decisões tomadas unicamente com base em tratamento automatizado, inclusive para definir perfis profissionais, de consumo, crédito ou saúde; e uso de dados sensíveis ou de dados de crianças, adolescentes ou idosos.

Uma pequena clínica que trata dados de saúde não é automaticamente de alto risco apenas por lidar com dado sensível. Deve ser examinada também a presença de um critério geral. Da mesma forma, um sistema automatizado simples não basta sozinho: a análise precisa considerar escala ou impacto significativo. Porém, quando há grande número de pessoas, perfilamento decisório e dados sensíveis, o sinal de risco é forte e a dispensa não deve ser usada sem documentação robusta.

Faça o teste por operação, e não apenas por empresa. Cadastro de clientes, folha de pagamento, videomonitoramento, análise antifraude, marketing comportamental e seleção automatizada de candidatos têm finalidades e riscos diferentes. Um mapa de tratamento separado por processo ajuda a perceber combinações que uma descrição genérica esconderia.

O que a empresa dispensada ainda precisa fazer

A principal confusão é tratar a dispensa do encarregado como dispensa da LGPD. O art. 6º da Resolução nº 2 afirma exatamente o contrário: flexibilizações não afastam bases legais, princípios, direitos dos titulares, segurança, regras contratuais nem outras obrigações aplicáveis.

A empresa sem DPO deve oferecer canal de comunicação acessível. Pode ser um endereço eletrônico dedicado, formulário no site, área autenticada ou outro meio que assegure atendimento. O canal precisa ser real: mensagens devem chegar a alguém responsável, gerar protocolo ou registro, passar por verificação de identidade proporcional e receber resposta dentro do prazo aplicável.

Também é necessário informar finalidades, categorias de dados, compartilhamentos, retenção, direitos e contato do controlador. Uma página genérica copiada de outro negócio costuma falhar porque menciona ferramentas inexistentes e omite operações reais. O modelo de Política de Privacidade do DiretoDoc permite selecionar condições coerentes com o site e organizar o canal dos titulares.

A dispensa também não elimina segurança da informação. Controle de acesso, autenticação, cópias de segurança, atualização de sistemas, gestão de fornecedores, treinamento e resposta a incidentes continuam relevantes. O porte pode influenciar a proporcionalidade das medidas, mas não autoriza deixar cadastros expostos ou compartilhar senhas entre toda a equipe.

Quando vale a pena nomear um DPO mesmo sem obrigação

Há empresas dispensadas que se beneficiam de uma indicação voluntária. Isso ocorre quando recebem muitas solicitações, vendem para clientes corporativos exigentes, participam de licitações, usam vários fornecedores de tecnologia, fazem transferência internacional, tratam dados sensíveis em escala limitada ou lançam produtos digitais com mudanças frequentes.

A nomeação cria um ponto de coordenação. Alguém passa a acompanhar inventário, políticas, contratos, incidentes e treinamento, reduzindo o risco de cada área interpretar a LGPD de forma diferente. A própria Resolução nº 2 considera essa escolha boa prática de governança para a dosimetria de sanções.

Isso não significa contratar uma estrutura cara apenas para exibir um nome. Um DPO sem acesso à direção, sem orçamento, sem informações e sem tempo produz uma conformidade de fachada. Antes de nomear, defina escopo, disponibilidade, fluxo de escalonamento, apoio técnico e quem substituirá o responsável durante ausências.

Como formalizar a indicação do encarregado

A indicação deve constar de ato formal escrito, datado e assinado, com demonstração clara da intenção de designar pessoa natural ou pessoa jurídica. Para empresa privada, pode ser instrumento específico, decisão societária, termo interno ou contrato de prestação de serviços. O documento deve descrever formas de atuação e atividades.

Segundo o Guia oficial da ANPD sobre a atuação do encarregado, o ato formal não precisa ser enviado previamente à Agência, mas deve ser mantido e apresentado se solicitado. No site, o que precisa aparecer de forma clara é a identidade do encarregado e suas informações de contato.

Se o encarregado for pessoa natural, publique seu nome completo. Se for pessoa jurídica, informe o nome empresarial ou título do estabelecimento e o contato adequado. Um e-mail como privacidade@empresa.com.br, sozinho, é canal de contato, mas não identifica quem exerce a função. A página deve reunir identidade e meio de comunicação.

O ato de designação deve prever, pelo menos: início da função; titular e substituto; canal público; disponibilidade; acesso às áreas; dever de confidencialidade; forma de reporte à administração; procedimento para declarar conflito de interesse; recursos disponíveis; atribuições legais e regulamentares; e regras de encerramento ou substituição.

Não confunda publicação da identidade com exposição excessiva. Não é necessário divulgar CPF, endereço residencial ou telefone pessoal. Use dados profissionais e canal controlado pela organização. O objetivo é permitir que titular e ANPD encontrem o responsável, sem criar risco desnecessário à privacidade dele.

O encarregado pode ser interno, externo, pessoa física ou jurídica?

Sim. A regulamentação admite pessoa natural ou jurídica. Um empregado pode exercer a função se tiver condições, conhecimento e autonomia técnica. Também é possível contratar profissional ou empresa externa. A escolha deve considerar contexto, volume e risco das operações, e não apenas o menor preço.

O modelo interno facilita o conhecimento do negócio e o acesso cotidiano às áreas. Em contrapartida, pode gerar acúmulo de tarefas e conflito com cargos que definem finalidades e meios do tratamento. O modelo externo traz especialização e alguma distância das decisões operacionais, mas exige contrato claro, disponibilidade compatível e integração real com a equipe.

Não existe exigência geral de certificação profissional ou registro em conselho específico para exercer a função. Cabe ao agente de tratamento definir qualificações adequadas. Conhecimento da legislação, segurança da informação, operação do negócio, gestão de risco, atendimento e contratos costuma ser mais importante do que um título isolado.

Autonomia, recursos e conflito de interesse

O encarregado precisa atuar com ética, integridade e autonomia técnica. A empresa deve permitir acesso às pessoas de maior nível hierárquico e às áreas responsáveis por decisões estratégicas. Também deve fornecer recursos humanos, técnicos e administrativos proporcionais à operação.

Conflito de interesse existe quando outra atribuição pode comprometer ou influenciar indevidamente o julgamento técnico do encarregado. O risco é maior quando a mesma pessoa chefia área que determina por que e como os dados serão usados, como tecnologia, recursos humanos, marketing, finanças ou saúde, e depois precisa avaliar a conformidade dessas próprias decisões.

Não há proibição automática de acumular qualquer função. A análise é concreta. Em empresa pequena, algum acúmulo pode ser inevitável, mas deve ser documentado e acompanhado de salvaguardas: aprovação por outra pessoa, revisão independente, reporte direto à direção ou contratação de apoio externo em decisões sensíveis.

O encarregado deve declarar possíveis conflitos. A organização, por sua vez, deve avaliar o problema antes da indicação e durante a atuação. Se o conflito não puder ser mitigado, a solução é não indicar a pessoa ou substituí-la. Manter alguém apenas porque já conhece as senhas ou controla o sistema não é critério suficiente.

Como deve funcionar o canal do titular

Com ou sem encarregado, o canal precisa transformar uma mensagem em providência rastreável. O fluxo começa pela classificação: pedido de confirmação, acesso, correção, eliminação, portabilidade, informação sobre compartilhamento, revogação de consentimento, oposição, revisão de decisão automatizada ou reclamação.

Depois vem a verificação de identidade. A empresa deve evitar entregar dados a impostor, mas não pode criar barreira desproporcional. Pedir cópia integral de documento para toda solicitação pode coletar mais dados do que o necessário. Autenticação na conta, confirmação por canal já cadastrado ou perguntas limitadas podem funcionar, conforme o risco.

A demanda deve ser encaminhada às áreas que detêm os dados. Atendimento, tecnologia, financeiro, RH e marketing podem precisar pesquisar sistemas diferentes. A resposta deve refletir o que existe de fato, e não apenas repetir a política. Se a empresa negar ou limitar o pedido, precisa registrar o fundamento e explicar de maneira compreensível.

O canal também deve guardar evidências: data de entrada, identidade validada, sistemas consultados, decisão, responsáveis, data de resposta e anexos enviados. Esse histórico ajuda a provar atendimento e a identificar problemas recorrentes. O registro não deve conservar documentos pessoais além do necessário.

Política de privacidade, cookies e termos de uso

A identidade e o contato do encarregado, ou o canal do titular quando houver dispensa, devem aparecer de forma coerente nos documentos externos. Se a política informa um e-mail e o rodapé usa outro, o pedido pode se perder. Se a empresa muda o responsável, a atualização precisa alcançar todas as páginas e modelos.

A política de privacidade deve indicar controlador, finalidades, bases legais, categorias de dados, compartilhamentos, retenção, segurança, direitos e canal. Ela não deve prometer resposta “imediata” se o processo depende de várias áreas, nem afirmar que nunca compartilha dados quando usa hospedagem, pagamentos, analytics ou suporte terceirizado.

Sites que usam cookies e tecnologias semelhantes devem alinhar o contato à Política de Cookies. A pessoa responsável pelo canal precisa entender como as preferências são registradas, quais tags são bloqueadas, como revogar consentimento e quais fornecedores recebem identificadores.

Os Termos de Uso cuidam da relação de uso do site ou aplicativo, enquanto a política de privacidade explica o tratamento de dados. Um documento não substitui o outro. É possível fazer referências cruzadas, mas cláusulas de responsabilidade, regras da conta, propriedade intelectual e conduta do usuário não devem ser misturadas com bases legais e direitos do titular a ponto de esconder a informação.

O canal também precisa estar visível fora dos textos longos. Um link “Privacidade” no rodapé, uma página de contato e um formulário acessível reduzem atrito. Para aplicativos, a informação pode aparecer nas configurações da conta e nas lojas, sem depender apenas de uma página aberta no navegador.

Contratos com operadores e fornecedores

Grande parte dos dados de uma pequena empresa passa por terceiros: contabilidade, folha, CRM, e-mail, hospedagem, suporte, assinatura eletrônica e gateway de pagamento. O encarregado pode auxiliar na análise, mas as áreas de negócio e jurídica continuam responsáveis por contratar corretamente.

Primeiro identifique o papel de cada parte em cada operação. Um fornecedor pode ser operador quando trata dados seguindo instruções do controlador e pode ser controlador em relação a finalidades próprias. O rótulo escolhido no contrato não vence a realidade da operação.

O instrumento deve definir objeto, finalidade, categorias de dados, titulares, instruções, confidencialidade, segurança, subcontratação, atendimento de direitos, comunicação de incidentes, devolução ou eliminação, auditoria e transferências internacionais quando aplicáveis. O modelo de Contrato de Tratamento de Dados Pessoais ajuda a organizar essas escolhas e evitar a cláusula genérica de que “as partes cumprirão a LGPD”.

Inclua o fornecedor no fluxo do canal. Se o titular pedir exclusão, a empresa precisa saber quais prestadores guardam cópias, quais retenções são obrigatórias e quem executa a ação. Um contrato bonito sem contato operacional, prazo e procedimento não resolve a solicitação.

O papel do encarregado em incidentes de segurança

O encarregado não substitui a equipe técnica de resposta a incidentes. Sua contribuição é ajudar a organizar registro, avaliação do impacto sobre titulares, comunicação interna e observância das regras da ANPD. Tecnologia deve conter o evento; administração deve decidir recursos; jurídico avalia obrigações; comunicação prepara mensagens; e o encarregado mantém o olhar sobre direitos e transparência.

O plano deve indicar quem aciona quem, inclusive fora do horário comercial. Vazamento, acesso indevido, perda de equipamento, envio ao destinatário errado e sequestro de dados exigem respostas diferentes. Guardar apenas o e-mail do DPO num documento sem telefone de emergência ou substituto cria atraso.

Depois do incidente, registre causa, sistemas, dados, titulares, medidas, comunicações e prevenção de recorrência. A lição deve alimentar treinamento, contratos e controles. Mesmo a empresa dispensada de encarregado precisa ter esse processo, porque a dispensa não afasta o dever de segurança nem a comunicação de incidentes relevantes.

Plano prático de implementação em 30 dias

Na primeira semana, identifique controlador, empresas do grupo, porte e principais operações. Liste sistemas, formulários, planilhas, arquivos físicos e fornecedores. Faça o teste de alto risco por operação e registre a conclusão.

Na segunda semana, decida entre dispensa e indicação. Se houver dispensa, escolha o responsável operacional pelo canal, ainda que ele não receba o título formal de encarregado. Se houver indicação, prepare o ato formal, verifique conflito de interesse, defina substituto e aprove recursos.

Na terceira semana, publique identidade e contato quando aplicável, ou o canal do titular no regime dispensado. Atualize política de privacidade, cookies, termos e formulários. Teste se mensagens chegam e se os links funcionam em computador e celular.

Na quarta semana, simule uma solicitação de acesso e um incidente. Cronometre o fluxo, veja se as áreas localizam dados e confirme que fornecedores respondem. Corrija lacunas e crie calendário de revisão para mudanças em produtos, pessoal, sistemas e legislação.

Erros comuns que aumentam o risco

Usar apenas o porte comercial. Dizer “somos pequenos” sem avaliar receita, grupo econômico e alto risco torna a dispensa frágil. Registre os critérios e atualize a análise quando o negócio crescer ou mudar.

Publicar somente um e-mail. Quando há encarregado, identidade e contato devem ser divulgados. Quando há dispensa, o canal precisa ser apresentado como meio para exercício dos direitos e realmente atendido.

Nomear o chefe que decide tudo. Concentrar em uma pessoa a decisão sobre finalidade, tecnologia e uso dos dados e a avaliação independente dessas decisões pode gerar conflito. Analise o caso e estabeleça salvaguardas.

Transformar o DPO em responsável exclusivo. O encarregado orienta e articula. Tecnologia, RH, marketing, atendimento, financeiro e direção continuam responsáveis por suas atividades e pelos controles que executam.

Copiar política estrangeira. Textos baseados apenas no GDPR podem usar conceitos, prazos e estruturas incompatíveis com a operação brasileira. A política deve refletir LGPD, normas da ANPD e o funcionamento real da empresa.

Esquecer fornecedores. A solicitação do titular e o incidente raramente ficam em um único sistema. Mantenha inventário, contatos, cláusulas e procedimento para alcançar operadores e suboperadores.

Deixar o canal sem substituto. Férias, afastamento ou troca de prestador não podem interromper o atendimento. Use caixa institucional, controle de acesso e regra de transição.

Não revisar a dispensa. Um negócio pode começar com baixo volume e depois adotar biometria, perfilamento, vigilância ou escala nacional. A conclusão deve ser revista antes de novas operações e periodicamente.

Perguntas frequentes sobre DPO e pequenas empresas

MEI precisa nomear encarregado?

O MEI pode ser agente de tratamento de pequeno porte e, em princípio, beneficiar-se da dispensa. Ainda precisa verificar se está dentro dos limites aplicáveis, se não integra grupo acima do limite e se não realiza tratamento de alto risco. Sem encarregado, deve manter canal para os titulares e cumprir as demais regras da LGPD.

Uma microempresa que trata dados de saúde sempre precisa de DPO?

Dados de saúde são sensíveis e constituem critério específico. Para caracterizar alto risco na Resolução nº 2, deve haver também critério geral, como larga escala ou impacto significativo. A avaliação precisa considerar volume, frequência, titulares, finalidade e consequências. Em operações delicadas, a indicação voluntária pode ser prudente mesmo quando a combinação formal não estiver clara.

O contador ou advogado pode ser o encarregado?

Pode, se a pessoa ou empresa for formalmente indicada, tiver qualificação compatível, disponibilidade, acesso, recursos e ausência de conflito que comprometa a autonomia técnica. Prestar outro serviço não transforma automaticamente o profissional em encarregado e não substitui ato formal.

O encarregado precisa ser empregado?

Não. Pode ser interno ou externo, pessoa natural ou jurídica. O contrato externo deve definir escopo, disponibilidade, confidencialidade, acesso às áreas, apoio em incidentes, atendimento de titulares, substituição e encerramento. A terceirização não transfere a responsabilidade do agente de tratamento.

É obrigatório ter certificado de DPO?

Não há certificação ou registro profissional geral obrigatório. O agente de tratamento define qualificações considerando contexto, volume e risco. Formação e certificações podem ajudar, mas precisam vir acompanhadas de conhecimento prático e condições reais de atuação.

Precisa comunicar a nomeação à ANPD?

O guia da ANPD informa que não é necessária comunicação prévia. O ato formal deve ser guardado para eventual solicitação. A identidade e as informações de contato, porém, precisam ser publicadas claramente, preferencialmente no site do controlador.

Posso usar apenas um formulário de contato geral?

A empresa dispensada pode adotar canal geral se ele assegurar o exercício dos direitos e encaminhar corretamente as demandas. É recomendável oferecer categoria específica de privacidade e treinar o atendimento. Quando existe encarregado, o canal deve ser associado à identidade publicada.

O DPO responde pessoalmente por multas e vazamentos?

A simples condição de encarregado não transfere automaticamente a ele a responsabilidade do controlador ou operador. A LGPD atribui deveres aos agentes de tratamento. Condutas próprias ilícitas podem gerar consequências conforme o caso, mas a empresa não pode usar a nomeação para se eximir de decisões, recursos e segurança.

A dispensa vale para sempre?

Não. Mudança de faturamento, entrada em grupo econômico, aumento de escala, novos dados sensíveis, monitoramento, perfilamento ou decisões automatizadas podem alterar o resultado. Reavalie a dispensa quando houver projeto relevante e em revisão periódica documentada.

Checklist final para decidir com segurança

• Identifique quem atua como controlador e operador em cada processo.
• Comprove o enquadramento como agente de pequeno porte.
• Verifique receita própria e receita global do grupo econômico.
• Avalie alto risco combinando critério geral e específico.
• Registre a decisão, os documentos usados e a data da próxima revisão.
• Se houver dispensa, mantenha canal acessível e responsável operacional.
• Se houver indicação, formalize o ato, publique identidade e contato e nomeie substituto.
• Analise conflito de interesse, autonomia e recursos.
• Alinhe política de privacidade, cookies, termos, formulários e contratos.
• Teste uma solicitação de titular e um incidente de segurança.

A decisão prática é binária apenas no final. Antes dela, a empresa precisa conhecer porte, grupo, operações e riscos. Se a dispensa for válida, o canal e os controles devem funcionar. Se a indicação for necessária ou conveniente, o encarregado precisa existir de verdade: formalizado, identificável, acessível, apoiado e integrado à rotina do negócio.