2026-06-19 · 6 min read

O Que É um DPO (Encarregado de Dados) e Minha Empresa Precisa de Um?

"Me disseram que agora preciso contratar um DPO para ficar dentro da LGPD." Essa frase aparece muito na boca de dono de PME — geralmente acompanhada do susto com orçamentos de R$ 20 a 35 mil por mês de consultorias especializadas.

A boa notícia é que, para a maioria das pequenas empresas, a história é mais simples do que parece. Vale entender o que a lei realmente exige antes de assinar qualquer contrato caro.

O Que É e o Que Faz um Encarregado de Dados?

DPO (Data Protection Officer) é o termo internacional. Na LGPD, o nome oficial é Encarregado pelo Tratamento de Dados Pessoais, definido no art. 41 da Lei nº 13.709/2018.

Em linguagem clara: é a pessoa (ou empresa) que atua como ponte entre três partes — a sua empresa, os titulares dos dados (clientes, funcionários) e a ANPD (Autoridade Nacional de Proteção de Dados).

As atribuições previstas em lei são, em resumo:

• Receber reclamações e comunicações dos titulares, prestar esclarecimentos e adotar providências.
• Receber comunicações da ANPD e adotar providências.
• Orientar os funcionários da empresa sobre as práticas de proteção de dados.
• Executar as demais atribuições definidas pelo controlador ou em normas complementares.

Minha PME é Obrigada a Ter um DPO?

Aqui está o ponto que mais gera confusão. A regra geral da LGPD aponta para a indicação de um Encarregado, mas a ANPD criou um regime específico para negócios menores.

Pela Resolução CD/ANPD nº 2/2022, que trata dos agentes de tratamento de pequeno porte (microempresas, empresas de pequeno porte, startups e algumas pessoas jurídicas e físicas equiparadas):

• Esses agentes ficam dispensados da obrigação de indicar um Encarregado.
• MAS devem disponibilizar um canal de comunicação com o titular dos dados — um meio claro pelo qual a pessoa possa exercer seus direitos e tirar dúvidas sobre o tratamento.

Vale o aviso honesto: o enquadramento como pequeno porte tem critérios (faturamento, atividade, volume e natureza dos dados). Não é automático presumir que toda PME está dispensada. Mas, para boa parte dos pequenos negócios, a dispensa de indicar Encarregado é uma realidade — desde que o canal exista de verdade.

Como Uma PME Resolve Isso na Prática?

Se você se enquadra como agente de pequeno porte, não precisa de um DPO de R$ 20 a 35 mil por mês. Precisa de um canal funcional e de organização. Um caminho realista:

• Designe um responsável interno. Mesmo dispensado de indicar formalmente, ter alguém que cuida do tema evita que pedidos de titulares fiquem sem resposta.
• Abra um canal claro de contato. Um e-mail dedicado (ex.: [email protected]) ou um formulário no site, divulgado na sua política de privacidade, já cumpre a função de canal com o titular.
• Saiba responder a um pedido. O titular pode pedir acesso, correção ou exclusão dos dados. Tenha um processo simples para atender isso dentro de prazo razoável.
• Mantenha o básico documentado. Política de privacidade, mapeamento do que você coleta e por quê, e registro de como responde aos pedidos.
• Monitore com o tempo. Seu negócio muda, suas ferramentas mudam, e a exposição de dados muda junto. Conformidade não é um documento que se assina uma vez.

Onde o Sentinel Entra

O Sentinel é um compliance officer de IA: ele escaneia a exposição digital da sua empresa, aponta os gaps de LGPD com um score de 0 a 100 e monitora a conformidade de forma contínua — por uma fração do preço de uma consultoria ou de um DPO dedicado.

O scan inicial é grátis e fica pronto em 2 horas. Ele ajuda você a enxergar onde estão os riscos e se o seu canal de comunicação com o titular está realmente visível e funcionando. Importante deixar claro: o Sentinel é monitoramento e diagnóstico, não substitui aconselhamento jurídico formal sobre o seu enquadramento. Mas é a forma enxuta de uma PME tratar risco regulatório sem gastar fortuna — e descobrir, em duas horas, se você precisa mesmo se preocupar com um DPO ou se um bom canal já resolve.