Se você procurou "minha empresa precisa de DPO", provavelmente já ouviu a resposta pronta: sim, é obrigatório para todo mundo. Eu mesmo repeti isso por um bom tempo, com a melhor das intenções, até sentar e ler a norma com atenção. A resposta honesta é mais interessante, e para uma boa parte das pequenas empresas ela é não.
Este texto separa o que a lei realmente exige do que virou lenda de corredor. No fim, você vai saber em qual grupo a sua empresa está.
A regra geral: sim, a LGPD pede um encarregado
A confusão começa por um motivo legítimo: a regra geral é a obrigação. O art. 41 da LGPD (Lei 13.709/2018) diz que o controlador deve indicar um encarregado pelo tratamento de dados pessoais, o famoso DPO, e divulgar a identidade e o contato dessa pessoa publicamente.
Ou seja, se você parar a leitura no art. 41, a conclusão "é obrigatório" faz todo sentido. O problema é parar ali.
A exceção que quase ninguém cita: o pequeno porte
Em 2022, a ANPD publicou a Resolução CD/ANPD nº 2, um regulamento inteiro para aplicar a LGPD aos "agentes de tratamento de pequeno porte". O art. 11 é direto:
"Os agentes de tratamento de pequeno porte não são obrigados a indicar o encarregado pelo tratamento de dados pessoais exigido no art. 41 da LGPD."
Traduzindo: se a sua empresa se enquadra como pequeno porte, você não é obrigado a nomear um DPO. E quem se enquadra? A própria resolução lista: microempresas, empresas de pequeno porte, startups, pessoas jurídicas de direito privado com ou sem fins lucrativos e pessoas naturais que tratam dados.
Repare no que isso significa: ser pequeno é justamente o que pode te dispensar, não o contrário. A frase "você é pequeno, então é obrigatório" está de cabeça para baixo.
A letra miúda: dispensa não é passe livre
Antes de você comemorar e fechar a aba, três ressalvas que mudam o jogo.
1. Alto risco derruba a dispensa. O art. 3º da mesma resolução exclui do benefício quem realiza tratamento de alto risco, por exemplo dados sensíveis em larga escala ou perfilamento de comportamento, e também quem ultrapassa os limites de receita. Uma clínica pequena que trata dado de saúde de milhares de pacientes é "pequena" no faturamento, mas provavelmente não na exposição.
2. Você ainda precisa de um canal de comunicação. O art. 11 dispensa a nomeação, não a responsabilidade. O parágrafo primeiro exige que quem não nomeia disponibilize um canal para o titular exercer os direitos dele, como acesso, correção e exclusão. Na prática, esse canal é um mini encarregado: alguém precisa receber e responder.
3. Dispensa de DPO não é dispensa de LGPD. Base legal, princípios, segurança da informação e registro das operações continuam valendo por inteiro. Você economiza um cargo, não a adequação.
E se você precisa de um DPO? As regras ficaram mais duras em 2024
Quem não se enquadra na dispensa, ou seja, empresa média ou grande, ou pequena de alto risco, precisa prestar atenção em uma norma mais nova que muita gente ainda não viu: a Resolução CD/ANPD nº 18, de julho de 2024, que regulamenta a atuação do encarregado. Ela mantém a dispensa do pequeno porte, mas aperta as exigências para quem tem a obrigação:
Nomeação formal, com substituto. Não basta apontar alguém de boca, e é preciso ter um suplente.
Identidade e contato públicos. O encarregado tem que ser encontrável pelo titular e pela ANPD.
Independência e autonomia. Ele precisa poder atuar sem ser podado por dentro da empresa.
Sem conflito de interesse. A pessoa pode acumular funções, mas não uma que a coloque para fiscalizar a si mesma. A norma define o que conta como conflito.
Sem exigência de certificação. Uma boa notícia contra outra lenda: a lei não obriga curso ou certificado específico para ser encarregado.
Então, você precisa ou não?
O checklist honesto:
É pequeno porte e não faz tratamento de alto risco? Você provavelmente está dispensado de nomear, mas precisa do canal de comunicação.
É pequeno porte, mas trata dado sensível em escala ou faz perfilamento? A dispensa provavelmente não te alcança.
É média ou grande? A obrigação continua, agora com as regras de 2024 por cima.
Perceba a ironia: descobrir que você não precisa de um DPO costuma dar mais trabalho do que sair contratando um. É preciso enquadrar o porte, avaliar o risco e montar o canal de comunicação do jeito certo. E se você precisa, o encarregado não pode ser um nome no rodapé do site: tem que ter substituto, autonomia e zero conflito de interesse.
Esse enquadramento é o que separa quem precisa de quem não precisa, e vale fazer com cuidado. Na truwe, o diagnóstico gratuito mostra em poucos minutos onde a sua empresa está na LGPD e o que falta, considerando o seu setor e porte. Se a adequação for necessária, a plataforma cuida da execução: gera as políticas e o registro das operações (o ROPA), e oferece o Portal do Titular, que é justamente o canal de comunicação com o titular exigido por lei, inclusive de quem é dispensado de nomear um DPO.
A resposta para "preciso mesmo de DPO?" quase nunca é um sim automático. Vale mais a pena descobrir a sua do que repetir a do vizinho.
Um recado para quem é do ramo: se você é consultor, advogado ou escritório que cuida da conformidade de vários clientes, a truwe tem uma plataforma feita para você gerenciar a carteira inteira num lugar só, com documentos gerados por IA e o score LGPD de cada cliente em tempo real. Conheça em truwe.com.br/para-dpo.