Regulamentação da ANPD: O que muda para o Encarregado de Dados (DPO)?
A regulamentação da ANPD reforça exigências de governança, autonomia técnica e rastreabilidade na atuação do encarregado de dados pessoais.
A atuação do encarregado de dados deixou de ser tratada apenas como uma exigência formal da LGPD e passou a ocupar posição mais estratégica dentro das estruturas de governança. Com a Resolução nº 18 da ANPD, empresas precisam revisar não apenas a indicação do DPO, mas também sua autonomia, capacidade operacional, fluxo de comunicação e integração com áreas de compliance, jurídico, segurança da informação e gestão de riscos.
Leitura rápida
- A Resolução nº 18 formaliza critérios para atuação do encarregado de dados pessoais;
- A ANPD reforça a necessidade de autonomia técnica e acesso do DPO à alta gestão;
- Empresas devem manter transparência sobre identidade e canais de contato do encarregado;
- O encarregado passa a ter papel mais relevante em RIPD, governança e controles internos;
- Pequenos agentes seguem dispensados da indicação obrigatória, mas precisam manter canal funcional.
A indicação formal do DPO deixa menos espaço para improvisos
A Resolução nº 18 consolida a necessidade de formalização da indicação do encarregado por meio de documento escrito, datado e assinado. Embora muitas organizações já adotassem esse procedimento, a regulamentação reduz margens para estruturas informais ou designações pouco claras.
Além disso, a exigência de um substituto formalizado demonstra preocupação da ANPD com a continuidade operacional da governança de dados. A ausência temporária do encarregado não pode interromper o canal de comunicação com titulares ou comprometer respostas regulatórias.
A formalização da indicação tende a exigir revisão documental, definição clara de responsabilidades e atualização dos registros internos de governança.
O conflito de interesses passa a ter impacto mais concreto
A norma admite o acúmulo de funções pelo encarregado, mas reforça que o profissional não deve ocupar posição que comprometa sua independência na fiscalização das atividades de tratamento de dados.
Na prática, isso pode exigir reavaliação de estruturas em que o próprio responsável por decisões estratégicas sobre tratamento de dados atua simultaneamente como encarregado. O foco da ANPD parece caminhar menos para o cargo em si e mais para a efetiva autonomia técnica do DPO.
A governança não será medida apenas pela existência formal de um DPO, mas pela capacidade real de atuação independente dentro da organização.
A atuação do encarregado passa a influenciar mais áreas da operação
A Resolução nº 18 amplia de forma relevante a participação do encarregado em atividades ligadas à governança, inventário de dados, elaboração de RIPD, definição de controles e orientação de boas práticas internas.
Isso reforça uma mudança importante: o DPO deixa de atuar apenas como ponto de contato regulatório e passa a integrar processos operacionais e estratégicos relacionados à proteção de dados pessoais.
Em organizações com grande volume de dados sensíveis, especialmente no setor de Saúde Suplementar, essa integração tende a impactar fluxos internos, documentação, rastreabilidade e controles de conformidade.
Estruturas que integram o encarregado às rotinas de governança e gestão de riscos tendem a ganhar maior previsibilidade regulatória e capacidade de resposta.
A transparência sobre o DPO vira parte da experiência regulatória
A norma determina que empresas divulguem de forma clara e acessível a identidade e os canais de contato do encarregado. Quando houver terceirização da função, a divulgação pode ocorrer em nome da empresa contratada.
O objetivo não parece limitado à formalidade documental. A ANPD reforça a expectativa de que titulares consigam exercer direitos e estabelecer comunicação efetiva sem barreiras operacionais desnecessárias.
Isso pode exigir revisão de sites institucionais, políticas de privacidade, fluxos de atendimento e integração entre áreas responsáveis pela recepção e tratamento das solicitações.
Conformidade não elimina a responsabilidade da organização
Embora a Resolução nº 18 reconheça o papel técnico e consultivo do encarregado, a responsabilidade jurídica pela conformidade continua pertencendo à organização controladora dos dados.
Isso significa que a existência de um DPO, por si só, não substitui controles internos, governança efetiva, evidências de gestão ou mecanismos de monitoramento contínuo. A maturidade regulatória dependerá da capacidade institucional de transformar diretrizes em rotina operacional.
A existência formal de um encarregado sem autonomia, integração operacional ou capacidade de atuação pode ampliar a exposição regulatória em caso de fiscalização ou incidente.
Perguntas frequentes
A Resolução nº 18 obriga certificação específica para o DPO?
Não. A norma não exige certificação obrigatória, mas determina que a organização escolha profissional com qualificação compatível com o risco e a complexidade das operações realizadas.
Empresas pequenas precisam indicar encarregado?
Agentes de pequeno porte permanecem dispensados da indicação obrigatória do encarregado, mas continuam obrigados a manter canal funcional de comunicação com titulares.
O DPO pode acumular outras funções dentro da empresa?
Sim, desde que não exista conflito de interesses que comprometa sua independência ou capacidade de fiscalização sobre o tratamento de dados pessoais.
A responsabilidade pela conformidade passa a ser do encarregado?
Não. O encarregado atua como orientador e canal de comunicação, mas a responsabilidade jurídica perante a LGPD e a ANPD continua sendo da organização.
Fontes e referências
Sua organização está preparada para revisar a governança do DPO?
A CTS Consultoria apoia organizações na adequação à LGPD, estruturação de governança, revisão de processos internos, gestão de riscos e conformidade regulatória em proteção de dados.
