Encarregado, DPO, “responsável pelos dados” — são o mesmo cargo, e a pergunta que importa é: você é obrigado a ter um? Pra maioria dos micro-SaaS e startups, a resposta é não. Mas o “não” vem com uma condição que muita gente ignora, e é justamente ela que costuma virar problema.
O que é o Encarregado, afinal
A LGPD define o Encarregado no art. 5º, VIII e detalha o papel no art. 41: é quem recebe reclamações de titulares, conversa com a ANPD e orienta a equipe sobre proteção de dados. É o ponto de contato — o nome e o e-mail que aparecem quando alguém quer falar sobre os próprios dados. Não precisa ser advogado, não precisa ser funcionário exclusivo, e pode ser uma empresa terceirizada.
A regra do pequeno porte
A Resolução CD/ANPD nº 2/2022 criou um regime mais leve pra quem é pequeno. Se você se enquadra como agente de tratamento de pequeno porte, ganha dois benefícios principais:
- Está dispensado de indicar um Encarregado.
- Tem prazo em dobro pra responder titulares, comunicar incidentes e atender a ANPD.
Você é “pequeno porte”?
A resolução abrange microempresas, empresas de pequeno porte, startups, pessoas naturais e entes privados sem fins lucrativos — desde que o tratamento de dados não seja em alta escala nem de alto risco. Um micro-SaaS típico, com alguns milhares de usuários e sem dado sensível em grande volume, normalmente se encaixa.
A pegadinha: dispensado de nomear, não de atender
Aqui mora o erro mais comum. A resolução dispensa a nomeação formal do Encarregado, mas é explícita: o agente de pequeno porte deve disponibilizar um canal de comunicação com o titular. Ou seja, ninguém precisa de um “DPO” no organograma, mas todo mundo precisa de uma forma fácil de o usuário falar sobre os dados dele.
Na prática, isso é um e-mail tipo privacidade@seudominio.com.br ou uma página dedicada que recebe os pedidos do art. 18 — acesso, correção, exclusão. O que não pode é não ter para onde a pessoa escrever.
Dispensa de nomear ≠ dispensa de cumprir a lei
Vale repetir porque muita gente entende errado: ser pequeno porte alivia umaobrigação específica e dobra alguns prazos. Não te isenta de ter base legal pras coletas, de manter uma política de privacidade honesta, de responder titulares ou de comunicar incidentes. A responsabilidade pelos dados continua sua.
O que fazer com isso hoje
- Assuma que você é pequeno porte (provavelmente é) e não se preocupe em contratar um DPO.
- Crie o canal do titular — um e-mail de privacidade já resolve o mínimo.
- Garanta que esse canal está na sua política e que alguém de fato lê o que chega lá.
- Se for tratar dado sensível em escala, reavalie: o regime leve pode não valer mais pra você.
Informativo, não é parecer jurídico. Em dúvida sobre seu enquadramento, fale com um(a) advogado(a).