Encarregado (DPO)
O que a lei diz
A organização precisa indicar publicamente um encarregado pelo tratamento de dados pessoais, que é o ponto de contato oficial entre ela, as pessoas titulares dos dados e a ANPD.
- O controlador deve indicar um encarregado pelo tratamento de dados pessoais.
- A identidade e o contato do encarregado devem ser divulgados publicamente, de forma clara e objetiva, de preferência no site.
- O encarregado recebe reclamações das pessoas, se comunica com a ANPD e orienta a equipe sobre as práticas de proteção de dados.
Texto da lei
Como está publicado na Lei nº 13.709, de 14 de agosto de 2018 (Lei Geral de Proteção de Dados Pessoais), texto compilado, sem as redações revogadas. Consultado em 29 de setembro de 2026.
Art. 41. O controlador deverá indicar encarregado pelo tratamento de dados pessoais.
§ 1º A identidade e as informações de contato do encarregado deverão ser divulgadas publicamente, de forma clara e objetiva, preferencialmente no sítio eletrônico do controlador.
§ 2º As atividades do encarregado consistem em:
I - aceitar reclamações e comunicações dos titulares, prestar esclarecimentos e adotar providências;
II - receber comunicações da autoridade nacional e adotar providências;
III - orientar os funcionários e os contratados da entidade a respeito das práticas a serem tomadas em relação à proteção de dados pessoais; e
IV - executar as demais atribuições determinadas pelo controlador ou estabelecidas em normas complementares.
§ 3º A autoridade nacional poderá estabelecer normas complementares sobre a definição e as atribuições do encarregado, inclusive hipóteses de dispensa da necessidade de sua indicação, conforme a natureza e o porte da entidade ou o volume de operações de tratamento de dados.
§ 4º (VETADO) . (Incluído pela Lei nº 13.853, de 2019) Vigência
Visões por perfil
Escolha um perfil para ver o que o artigo pede de quem ocupa esse papel:
Ao determinar a arquitetura da informação, coloque o contato do encarregado onde a pessoa procura: no rodapé, na área de privacidade e nos fluxos de direitos. A lei exige que a identidade e o contato dele sejam divulgados de forma clara e objetiva.
O que fazer
Coloque o contato do encarregado em lugar visível, como o rodapé e a página de privacidade.
Ofereça mais de um meio de contato.
Garanta que o formulário de contato seja acessível.
Ligue o canal do encarregado aos fluxos de direitos das pessoas (art. 18).
Contato do encarregado
Onde a pessoa encontra o encarregado no site.
Errado: Escondido no meio do texto
Na tela
Política de privacidade, página 11: “…o encarregado poderá ser contatado pelos meios oficiais.”
Não diz quem é nem como falar com ele.
Certo: Visível e completo
Na tela
Rodapé > Privacidade: “Encarregado de dados: Maria Souza — privacidade@exemplo.gov.br — telefone (00) 0000-0000”
Nome e contatos à vista, onde a pessoa procura.
Ao criar e manter o sistema, garanta que o canal com o encarregado funcione e chegue a quem responde, registrando os pedidos e protegendo os dados enviados. Deixe o contato configurável, para atualizar quando o encarregado mudar.
O que fazer
Implemente o canal de contato com o encarregado, registrando os pedidos.
Garanta que as mensagens cheguem ao encarregado, sem se perder em filas gerais de atendimento.
Proteja os dados enviados pelo canal.
Deixe o contato fácil de atualizar, caso o encarregado mude.
Formulário de contato
Para onde vão as mensagens enviadas ao encarregado.
Errado: Contato fixo no código
const EMAIL_ENCARREGADO = "joao.antigo@exemplo.com"; // saiu da empresaAs mensagens vão para uma caixa que ninguém lê.
Certo: Contato configurável e pedido registrado
const contato = await config.obter("encarregado.email"); await pedidos.registrar({ canal: "encarregado", mensagem }); await enviarEmail(contato, mensagem);O canal chega a quem responde e deixa registro.
Ao traduzir a lei em critérios e organizar a equipe, trate o encarregado como parceiro desde o início dos projetos com dados pessoais, e não só na auditoria. Garanta que a organização tenha encarregado indicado e divulgado, e que a equipe saiba como falar com ele.
O que fazer
Confirme que a organização tem encarregado indicado e divulgado.
Envolva o encarregado desde o início de projetos com dados pessoais.
Garanta um canal para a equipe tirar dúvidas com ele.
Atualize o contato público sempre que houver mudança.
Quando envolver o encarregado
Um aplicativo novo está em desenvolvimento.
Errado: Só na véspera do lançamento
Processo
“Mandamos o aplicativo para o encarregado aprovar um dia antes de publicar.”
Tarde demais para mudar as decisões sobre dados.
Certo: Desde a descoberta
Processo
“O encarregado participa do refinamento das histórias com dados pessoais e revisa o registro a cada sprint.”
As decisões sobre dados são tomadas com quem responde por elas.
Ao testar o sistema como se fosse a pessoa titular, procure o contato do encarregado a partir da página inicial, envie uma mensagem e confirme que ela chega. Relate contatos desatualizados, canais inacessíveis ou mensagens perdidas.
O que fazer
Encontre o contato do encarregado a partir da página inicial e conte os passos.
Envie uma mensagem de teste e confirme o recebimento.
Verifique a acessibilidade do canal com leitor de tela.
Confira se o contato publicado está atualizado.
Teste do canal do encarregado
Envio de uma mensagem de teste com leitor de tela.
Errado: Defeito: formulário inacessível
O que o teste encontrou
O formulário usa um CAPTCHA de imagem sem alternativa; com leitor de tela, não é possível enviar a mensagem.
O canal existe, mas exclui pessoas com deficiência.
Certo: Esperado: canal encontrado e respondido
Resultado esperado
Contato encontrado em dois cliques a partir da página inicial; mensagem confirmada por e-mail com número de protocolo.
O canal funciona para todas as pessoas.
Ao escrever o conteúdo da área de privacidade, apresente o encarregado de um jeito que a pessoa entenda o que ele faz e quando procurá-lo. Use também nomes conhecidos, como “responsável pela proteção de dados” e DPO.
O que fazer
Explique em linguagem simples o que o encarregado faz.
Use também nomes conhecidos, como “responsável pela proteção de dados” ou DPO.
Diga quando procurar o encarregado e o que esperar.
Mantenha o nome e o contato sempre atualizados no texto.
Apresentação do encarregado
O texto da página de privacidade.
Errado: Só o título legal
Texto na tela
“Encarregado: dpo@exemplo.com”
Quem não conhece a LGPD não sabe para que serve esse contato.
Certo: Explica o papel
Texto na tela
“Dúvidas ou reclamações sobre seus dados? Fale com Maria Souza, nossa responsável pela proteção de dados (DPO): privacidade@exemplo.com.”
A pessoa sabe quem é, para que serve e como falar.