DPO as a Service: O Que É, Quando Contratar e Por que a Terceirização do Encarregado é uma Tendência Irreversível

A função mais difícil de preencher na adequação à LGPD

Quando as empresas iniciam o processo de adequação à LGPD, uma das primeiras perguntas que surge é: quem vai ser o nosso DPO?

E quase imediatamente vem a frustração. Profissionais com formação sólida em proteção de dados: que combinam conhecimento jurídico, técnico e de gestão de riscos: são escassos no mercado brasileiro. Os que existem têm salários elevados e são disputados por grandes empresas. E designar um colaborador interno sem essa formação específica para acumular a função cria um problema diferente: a aparência de conformidade sem a substância.

O resultado é que muitas empresas chegam a um impasse, não têm condições de contratar um DPO interno qualificado, não querem designar alguém sem preparo, e não sabem que existe uma terceira opção: regulamentada pela própria LGPD e pela ANPD: que resolve esse problema de forma eficiente e proporcional.

Essa opção é o DPO as a Service, e este artigo explica exatamente o que é, como funciona, o que a regulação exige e quando faz sentido para a sua empresa.

O que é o DPO e o que a LGPD exige

O DPO (Data Protection Officer), chamado pela LGPD de Encarregado pelo Tratamento de Dados Pessoais, é a pessoa indicada pelo controlador para atuar como canal de comunicação entre a empresa, os titulares de dados e a ANPD.

A obrigação de indicar um Encarregado está no Art. 41 da LGPD e se aplica a todos os controladores de dados, com exceção dos agentes de tratamento de pequeno porte (microempresas, EPPs e startups), que foram dispensados dessa obrigação formal pela regulamentação da ANPD, mas que ainda precisam manter canais de comunicação ativos com os titulares.

As atribuições do DPO previstas no Art. 41 da LGPD incluem:

• Aceitar reclamações e comunicações dos titulares de dados, prestar esclarecimentos e adotar providências
• Receber comunicações da ANPD e adotar as providências cabíveis
• Orientar os funcionários e contratados da empresa sobre as práticas de proteção de dados
• Executar as demais atribuições determinadas pelo controlador ou estabelecidas em normas complementares

Em julho de 2024, a ANPD publicou a Resolução CD/ANPD nº 18/2024, que regulamentou formalmente a função do Encarregado. Essa resolução é o marco normativo mais importante para quem está estruturando o DPO: interno ou terceirizado.

O que a Resolução ANPD nº 18/2024 estabeleceu

A Resolução nº 18 trouxe clareza sobre pontos que geravam dúvida no mercado. Os mais relevantes:

Quem pode ser DPO

A LGPD permite que o DPO seja pessoa física (empregado interno ou profissional externo) ou pessoa jurídica (uma consultoria especializada que presta o serviço). Essa permissão é a base legal do modelo DPO as a Service.

A resolução não exige certificação formal específica, mas determina que o DPO tenha conhecimentos especializados no domínio do direito e das práticas de proteção de dados pessoais. Na prática, isso significa que designar um colaborador sem formação adequada na área é insuficiente, e pode ser questionado pela ANPD em uma fiscalização.

Independência e conflito de interesses

Este é o ponto mais importante da Resolução nº 18: o DPO precisa ter independência funcional para exercer suas atribuições sem conflitos de interesse.

A resolução é explícita: o DPO não pode acumular outras atribuições que o coloquem na posição de decidir sobre os riscos de tratamento de dados que ele mesmo deveria fiscalizar. Quem aponta o risco não pode ser quem assume o risco.

Isso tem implicações práticas importantes:

• O diretor de TI não pode ser DPO se é ele quem decide quais sistemas e integrações de dados serão adotados
• O diretor jurídico não pode ser DPO se é ele quem define as bases legais dos tratamentos de dados
• O gerente de RH não pode ser DPO se é ele quem define como os dados dos colaboradores são tratados

Esse critério de independência é uma das principais razões pelas quais o modelo DPO as a Service tem crescido: um DPO externo, por definição, não tem conflito de interesse com as decisões de negócio da empresa.

Responsabilidade do DPO vs. responsabilidade da empresa

A Resolução nº 18 também esclareceu um ponto frequentemente confundido: a responsabilidade perante os titulares e perante a ANPD é sempre da empresa (controlador), não do DPO.

O DPO orienta, recomenda e alerta. Mas a decisão final sobre como os dados são tratados é sempre da empresa. Se a empresa ignora a orientação do DPO e trata dados de forma inadequada, é a empresa que responde pela infração, não o DPO.

Isso é importante porque muitas empresas evitam nomear um DPO externo por medo de "transferir a responsabilidade" para fora. Esse medo é infundado: a responsabilidade nunca sai da empresa.

Mapa de Atuação do DPO

Em dezembro de 2025, a ANPD publicou a Resolução CD/ANPD nº 30/2025, que trouxe o Mapa de Atuação do Encarregado: um guia que detalha as atividades que o DPO deve realizar, os critérios de proporcionalidade e as evidências que demonstram o efetivo exercício da função.

Esse Mapa é relevante para qualquer empresa que precise demonstrar à ANPD que o DPO está de fato exercendo suas atribuições, não apenas existindo no papel.

O que é o DPO as a Service, e como funciona na prática

DPO as a Service (DPOaaS) é o modelo no qual a função de Encarregado de Proteção de Dados é exercida por uma empresa ou profissional externo especializado, com base em um contrato de prestação de serviços.

Na prática, funciona assim:

1. Nomeação formal A empresa emite um documento formal de nomeação do DPO as a Service, com escopo das atividades, forma de atuação e nível de autonomia concedido.

2. Publicação do contato A identidade e o contato do DPO precisam ser publicados de forma clara e acessível, preferencialmente no site da empresa, no canal de atendimento a titulares e nos avisos de privacidade.

3. Registro na ANPD O DPO registra suas credenciais no portal da ANPD, tornando-se o canal oficial de comunicação entre a empresa e a autoridade.

4. Atendimento às atribuições regulatórias O DPO externo passa a exercer todas as funções previstas na LGPD e na Resolução nº 18/2024: atender solicitações de titulares, receber comunicações da ANPD, orientar colaboradores, participar da gestão de incidentes, contribuir para RIPDs e monitorar a agenda regulatória.

5. Reporte periódico à liderança Um DPO as a Service bem estruturado mantém a liderança da empresa informada sobre o status de conformidade, os riscos identificados e as medidas recomendadas, com frequência definida em contrato.

DPO interno vs. DPO as a Service: quando cada modelo faz sentido

A escolha entre DPO interno e DPO as a Service não é ideológica: é uma questão de proporcionalidade, custo e efetividade.

O DPO interno dedicado faz sentido quando:

• A empresa é de grande porte com alto volume de solicitações de titulares e incidentes
• O tratamento de dados é o core do negócio (plataformas digitais, data brokers, healthtechs)
• Há exigência regulatória específica do setor que requer presença integral

O DPO as a Service faz sentido quando:

• A empresa de médio porte não tem volume que justifique um DPO interno em tempo integral
• O DPO interno acumulado tem conflito de interesse com suas outras funções
• A empresa precisa de especialização técnica e atualização regulatória contínua sem o custo de um sênior CLT
• A empresa atua em setor regulado (saúde, financeiro, varejo) com obrigações de proteção de dados específicas
• A empresa passou por uma adequação inicial e precisa de suporte contínuo para manter a conformidade

As 7 atribuições que o DPO as a Service deve cobrir

Um contrato de DPO as a Service bem estruturado precisa cobrir todas as atribuições previstas na LGPD e na Resolução nº 18/2024. Veja o que precisa estar incluído:

1. Atendimento a solicitações de titulares

Receber, analisar e responder a solicitações de acesso, correção, exclusão, portabilidade e revogação de consentimento, dentro do prazo legal de 15 dias. Essa é a atribuição mais operacional e frequente do DPO.

2. Interface com a ANPD

Receber comunicações da ANPD, responder a notificações e questionamentos e, quando necessário, conduzir a defesa da empresa em processos administrativos. O DPO registrado é o canal oficial, e precisa responder de forma tecnicamente adequada.

3. Orientação interna de colaboradores

Capacitar e orientar os colaboradores sobre as práticas de proteção de dados no dia a dia, o que podem e não podem fazer, como tratar dados de clientes, como proceder em caso de dúvida. Essa função de "educação contínua" é frequentemente negligenciada em modelos de DPO acumulado.

4. Gestão de incidentes de dados

Participar da resposta a incidentes de segurança que envolvam dados pessoais: avaliando se há obrigação de notificar a ANPD (prazo de 72 horas), apoiando a elaboração do relatório de incidente e orientando as medidas corretivas.

5. Contribuição para RIPDs

Apoiar a elaboração de Relatórios de Impacto à Proteção de Dados para processos de alto risco ou que envolvam dados sensíveis. Com a Agenda Regulatória 2025-2026 da ANPD incluindo o RIPD como prioridade normativa, essa atribuição tende a ganhar ainda mais relevância.

6. Monitoramento regulatório

Acompanhar a agenda da ANPD e as mudanças regulatórias relevantes para o setor da empresa: alertando sobre novas obrigações e recomendando adaptações no programa de conformidade. Essa é uma das vantagens mais claras do DPO externo especializado: é sua área de trabalho diária.

7. Reporte à liderança

Apresentar periodicamente à diretoria o status de conformidade, os riscos identificados, as solicitações de titulares recebidas e tratadas e as recomendações de melhoria. Sem esse reporte, a alta direção fica sem visibilidade sobre o programa, o que a ANPD interpreta como falta de comprometimento da liderança.

A tecnologia que suporta o DPO as a Service

Um DPO as a Service eficiente não opera com planilhas e e-mails. As atribuições da função: atendimento a titulares com controle de prazo, gestão de incidentes com rastreabilidade, manutenção do inventário de dados atualizado: exigem uma plataforma de governança de dados que centralize todas essas operações.

O LGPDash foi desenvolvido como a plataforma que suporta o exercício da função de DPO as a Service da Compliance Brazil:

• Inventário de dados (data mapping) com atualização contínua, refletindo as mudanças nos processos e sistemas da empresa
• Gestão de solicitações de titulares com controle automático do prazo de 15 dias e histórico auditável de cada solicitação
• Controle de incidentes com fluxo estruturado de avaliação, decisão de notificação à ANPD e documentação completa
• Painel de conformidade que demonstra, em tempo real, o status do programa: disponível para a liderança da empresa e para a ANPD em caso de fiscalização
• Gestão de consentimentos e bases legais por processo de tratamento
• Alertas regulatórios sobre mudanças na agenda da ANPD que impactam a empresa

Essa plataforma não é apenas uma ferramenta de gestão: é a evidência documentada de que o DPO está exercendo suas funções. Em uma fiscalização da ANPD, o LGPDash gera os relatórios que demonstram o histórico de atuação do Encarregado.

Como estruturar o DPO as a Service na sua empresa

Passo 1: Defina o escopo Antes de contratar, mapeie quais atribuições precisam ser cobertas e com qual frequência. Uma empresa com baixo volume de solicitações de titulares tem necessidades diferentes de uma empresa com milhões de clientes digitais.

Passo 2: Elabore o documento de nomeação A nomeação do DPO precisa ser formal, datada e assinada, com o escopo das atividades, a forma de atuação e o nível de autonomia concedido. Esse documento é evidência essencial em uma fiscalização.

Passo 3: Publique o contato do DPO A identidade e o contato do Encarregado precisam ser publicados no site da empresa, nos avisos de privacidade e em qualquer canal de coleta de dados. A ausência dessa publicação foi um dos fundamentos da primeira multa da ANPD.

Passo 4: Registre na ANPD O DPO precisa estar registrado no portal da ANPD como ponto de contato oficial da empresa.

Passo 5: Estruture o fluxo de comunicação interna O DPO externo precisa ter acesso às informações necessárias para exercer suas funções: relatórios de incidentes, contratos com operadores, dados sobre novos processos de tratamento. Definir esse fluxo no contrato é essencial para que o DPO não fique operando às cegas.

Passo 6: Estabeleça a cadência de reporte à liderança Defina com que frequência o DPO vai reportar à liderança: mensal, trimestral, e qual é o formato desse reporte. A alta direção precisa ter visibilidade sobre o programa de conformidade.

Checklist: sua empresa está com a função de DPO estruturada corretamente?

Nomeação e publicidade

• DPO formalmente nomeado (pessoa física ou jurídica) com documento datado e assinado
• Identidade e contato do DPO publicados no site institucional
• DPO registrado no portal da ANPD como ponto de contato oficial
• Titulares de dados conseguem facilmente encontrar o contato do DPO

Independência e qualificação

• DPO não acumula função que o coloca em posição de decidir sobre os riscos que deve fiscalizar
• DPO tem conhecimento especializado em direito e práticas de proteção de dados
• Há substituto designado para garantir continuidade em caso de ausência

Atribuições em funcionamento

• Canal de atendimento a solicitações de titulares com controle de prazo (15 dias) ativo
• Processo de gestão de incidentes com participação do DPO definido
• DPO orientando colaboradores sobre práticas de proteção de dados
• DPO recebendo e respondendo comunicações da ANPD

Reporte e evidências

• DPO apresentando relatórios periódicos à liderança
• Registros das atividades do DPO documentados e disponíveis
• Plataforma de governança de dados suportando o exercício das funções

FAQ: Perguntas frequentes sobre DPO as a Service

1. Uma consultoria pode ser o DPO da minha empresa?

Sim. A LGPD e a Resolução ANPD nº 18/2024 permitem expressamente que o DPO seja uma pessoa jurídica, como uma consultoria especializada. O que importa é que a empresa que presta o serviço tenha os conhecimentos especializados necessários e que o contrato defina claramente o escopo, as atribuições e a forma de atuação.

2. O DPO as a Service transfere a responsabilidade por infrações à LGPD para a consultoria?

Não. A responsabilidade perante os titulares e perante a ANPD é sempre da empresa controladora, não do DPO. O DPO orienta e recomenda; a decisão final sobre como os dados são tratados é sempre da empresa. Em caso de infração, é a empresa que responde. A consultoria pode responder por falhas específicas na orientação que causaram danos, mas o risco regulatório primário é sempre do controlador.

3. A empresa precisa publicar o nome do DPO externo no site?

Sim. A LGPD e a Resolução nº 18/2024 exigem que a identidade e o contato do DPO sejam publicados de forma clara e acessível, preferencialmente no site da empresa. Não há exigência de publicar o contrato de prestação de serviços, mas o nome (ou razão social, no caso de pessoa jurídica) e o canal de contato precisam ser visíveis para os titulares de dados.

4. Como saber se o volume de demandas da minha empresa justifica um DPO interno?

A regra geral é: se a empresa tem um volume alto e contínuo de solicitações de titulares, incidentes frequentes e mudanças regulatórias que exigem adaptações constantes no programa, um DPO interno dedicado pode ser mais eficiente. Para a maioria das empresas de médio porte, o volume não justifica um sênior em tempo integral, e o DPO as a Service oferece a mesma qualidade de serviço a um custo proporcional.

5. O DPO as a Service precisa estar fisicamente presente na empresa?

Não. A Resolução nº 18/2024 não exige presença física. O DPO pode operar remotamente, desde que tenha acesso às informações necessárias e consiga exercer suas atribuições com efetividade. O que importa é a qualidade do serviço, não o endereço onde o DPO trabalha.

Conclusão: o DPO as a Service é a solução proporcional para a maioria das empresas brasileiras

A função do DPO é uma das mais estratégicas e mais mal estruturadas nas empresas brasileiras. Nomear um colaborador sem formação adequada para acumular a função não resolve o problema: cria uma conformidade aparente que pode ser questionada pela ANPD a qualquer momento.

O DPO as a Service resolve esse dilema: oferece especialização real, independência funcional garantida, atualização regulatória contínua e rastreabilidade das atividades, tudo a um custo proporcional ao porte e às necessidades da empresa.

Com a Resolução ANPD nº 18/2024 regulamentando formalmente a função e a Resolução nº 30/2025 detalhando o Mapa de Atuação do Encarregado, a tendência é que a ANPD passe a verificar com mais rigor se o DPO está de fato exercendo suas atribuições, não apenas existindo no papel. Empresas que contam com um DPO as a Service bem estruturado estarão significativamente mais preparadas para essa verificação.

O LGPDash da Compliance Brazil inclui a função de DPO as a Service integrada à plataforma de governança de dados, com gestão de solicitações de titulares, controle de incidentes, inventário de dados e painel de conformidade em um único ambiente auditável.

Agende um diagnóstico gratuito e descubra como estruturar a função de DPO na sua empresa de forma eficiente, proporcional e em conformidade com as exigências da ANPD.

Referências

• Lei nº 13.709/2018: LGPD, Art. 41 (Encarregado)
• Resolução CD/ANPD nº 18/2024: Regulamento sobre a atuação do Encarregado
• Resolução CD/ANPD nº 30/2025: Mapa de Atuação do Encarregado
• ANPD: Agenda Regulatória 2025-2026
• ANPD: Guia Orientativo para Agentes de Tratamento de Pequeno Porte
• Lei nº 13.709/2018: LGPD completa