Terceirizar o encarregado faz sentido quando a organização não tem especialista interno, precisa de apoio multidisciplinar ou quer evitar conflito de interesse. A Resolução CD/ANPD nº 18/2024 permite indicar pessoa jurídica, com ato formal, divulgação do nome da pessoa natural responsável, substituto designado e ausência de conflito. A responsabilidade pela conformidade continua sendo do agente de tratamento.
Desde julho de 2024, a função de encarregado tem regras mais claras. A Resolução CD/ANPD nº 18/2024 aprovou o regulamento sobre a atuação do encarregado e confirmou algo que o mercado já praticava: a função pode ser exercida por uma pessoa jurídica. Foi o sinal verde formal para o modelo conhecido como “DPO como serviço”.
Em dezembro de 2024, a ANPD publicou um guia orientativo que detalha a norma, com exemplos e modelos de ato de indicação. Em fevereiro de 2026, a autoridade foi transformada em Agência Nacional de Proteção de Dados pela Lei 15.352/2026, mantendo a sigla. A pergunta para gestores, portanto, deixou de ser “pode terceirizar?” e passou a ser “quando vale a pena e como contratar bem?”.
O que a Resolução CD/ANPD nº 18/2024 deixou claro
O art. 12 admite três perfis: pessoa natural do quadro da organização, pessoa natural externa ou pessoa jurídica. Qualquer que seja a escolha, a indicação deve ser feita por ato formal, isto é, documento escrito, datado e assinado, que descreva as formas de atuação e as atividades do encarregado (art. 3º). Esse documento não precisa ser enviado à ANPD, mas deve ser apresentado quando solicitado.
Quando o encarregado é pessoa jurídica, a divulgação no site deve trazer o nome empresarial e o nome completo da pessoa natural responsável, além dos meios de contato (art. 9º). A norma também exige substituto formalmente designado para ausências e vacâncias (art. 4º), comunicação em língua portuguesa (art. 13) e deixa claro que a função não depende de certificação ou inscrição em qualquer entidade (art. 14).
Do lado de quem contrata, o art. 10 lista deveres: prover recursos, consultar o encarregado nas decisões estratégicas sobre dados, garantir autonomia técnica e acesso direto à alta direção. E o art. 11 encerra qualquer dúvida: o agente de tratamento continua responsável pela conformidade.
Quando terceirizar faz sentido
O modelo como serviço tende a funcionar bem em quatro situações:
- Falta de especialista interno: a função pede conhecimento de legislação, gestão de riscos, governança, segurança da informação e processos do negócio, combinação rara em uma só pessoa. O guia da ANPD cita exatamente esses conhecimentos como desejáveis.
- Risco de conflito de interesse: a ANPD aponta como posições em geral conflitantes os cargos de chefia que definem meios e objetivos do tratamento, como gestores de RH, TI, finanças ou saúde. Em estruturas enxutas, um encarregado externo evita acumular essas funções.
- Grupos e redes de organizações: o art. 19 permite que o mesmo encarregado atue para mais de um agente, desde que consiga atender a todos e não haja conflito.
- Demanda variável: projetos de adequação, incidentes e novas tecnologias geram picos que uma equipe externa absorve com mais facilidade.
Há cenários que pedem cautela. No setor público, o art. 5º da resolução orienta que a indicação recaia preferencialmente sobre servidores ou empregados públicos de reputação ilibada, e o guia da ANPD lembra o alerta do Tribunal de Contas da União sobre terceirizar a função para empresas. Nesses casos, um arranjo híbrido costuma ser mais adequado: servidor como encarregado, com apoio técnico contratado. Já agentes de pequeno porte podem estar dispensados da indicação pela Resolução CD/ANPD nº 2/2022, salvo exceções como o tratamento de alto risco, mas continuam obrigados a manter um canal de comunicação com o titular.
Encarregado interno
- Conhece a cultura e os processos da organização
- Dedicação contínua, mas muitas vezes somada a outra função
- Risco de conflito se ocupar cargo de decisão sobre dados
- Depende de formação e atualização constantes
- Substituto precisa ser preparado internamente
Encarregado como serviço
- Equipe multidisciplinar e método já testado
- Distância das áreas que decidem sobre o tratamento
- Exige contrato com escopo, prazos e indicadores
- Precisa de um ponto focal interno com acesso às áreas
- Substituto e continuidade definidos em contrato
O que exigir no contrato
Terceirizar a função não é comprar um nome para colocar no site. O contrato precisa refletir as atividades dos arts. 15 e 16 da resolução, que vão do atendimento a titulares e à ANPD até a orientação sobre registro das operações, relatório de impacto, incidentes de segurança, contratos com fornecedores e transferência internacional de dados.
- Escopo vinculado às atividades dos arts. 15 e 16 da Resolução CD/ANPD nº 18/2024.
- Pessoa natural responsável e substituto nominalmente identificados.
- Prazos de resposta para titulares, ANPD e demandas internas.
- Papel definido na resposta a incidentes, inclusive fora do horário comercial.
- Declaração de conflito de interesse, com dever de atualização (art. 20).
- Confidencialidade e proteção dos dados pessoais acessados durante o serviço.
- Relatórios periódicos à alta direção, com indicadores e recomendações.
- Propriedade dos documentos e plano de transição ao fim do contrato.
Como fazer a transição sem lacunas
Comece com um diagnóstico curto: inventário existente, canais de atendimento, histórico de pedidos de titulares e de incidentes. Em seguida, formalize o ato de indicação (o guia da ANPD traz modelos para pessoa natural e para pessoa jurídica), atualize a página de privacidade do site e comunique a mudança às equipes. O guia recomenda que as informações do encarregado também sejam compartilhadas com os colaboradores, e não só com o público externo.
O passo seguinte é integrar o encarregado aos fluxos reais: comitê de privacidade ou de segurança, contratação de fornecedores, plano de resposta a incidentes e atendimento ao titular. Sem essa integração, o serviço vira uma caixa de e-mail terceirizada.
Como medir se o serviço funciona
Defina poucos indicadores e acompanhe-os em reuniões periódicas com a alta direção: prazo de resposta aos titulares, pareceres emitidos sobre novos projetos, recomendações implementadas, atualizações do inventário e participação em treinamentos. A tendência desses números diz mais sobre a maturidade do programa do que qualquer relatório extenso.
Próximos passos
Antes de decidir, mapeie o volume e o risco das operações de tratamento, avalie possíveis conflitos de interesse na estrutura atual e compare o custo de formar e manter uma equipe interna com o de contratar o serviço. Em muitos casos, a melhor resposta é um arranjo misto, com ponto focal interno e apoio especializado externo.
A Midnal atua com governança e proteção de dados para órgãos públicos, empresas e entidades do terceiro setor, apoiando a estruturação da função de encarregado e das rotinas que ela exige. Saiba mais sobre a frente de governança, LGPD e compliance.
Perguntas frequentes
Uma empresa pode ser nomeada encarregada de dados?
Sim. O art. 12 da Resolução CD/ANPD nº 18/2024 admite pessoa jurídica. Nesse caso, o site deve divulgar o nome empresarial e o nome completo da pessoa natural responsável, além dos contatos.
O encarregado precisa de certificação?
Não. O art. 14 da resolução afirma que a função não pressupõe inscrição em entidade nem certificação ou formação específica. Cabe ao agente de tratamento definir as qualificações necessárias.
Um mesmo encarregado pode atender várias organizações?
Pode, segundo o art. 19, desde que consiga atender plenamente cada agente de tratamento e não exista conflito de interesse.
Órgãos públicos podem contratar encarregado externo?
É possível, mas a resolução orienta que a indicação recaia preferencialmente sobre servidores ou empregados públicos, e a ANPD lembra a cautela recomendada pelo TCU. A indicação deve ser publicada no Diário Oficial.
