A Lei Geral de Proteção de Dados (LGPD) trouxe ao mercado brasileiro uma série de obrigações que reorganizaram a forma como empresas tratam, armazenam e protegem dados pessoais. Entre essas obrigações, uma das que mais gera dúvidas em gestores e líderes jurídicos é: quando é obrigatório ter um DPO?

A resposta não é simples e envolve fatores como o porte da empresa, a natureza dos dados tratados e o volume de operações. Mais do que isso, depois de decidir se a indicação é obrigatória, surge imediatamente uma segunda questão estratégica: vale mais contratar um profissional interno ou terceirizar a função?

Este guia responde às duas perguntas com profundidade, combinando o texto da lei, a Resolução CD/ANPD nº 2/2022 e uma análise comparativa dos modelos disponíveis no mercado.

---

O que é um DPO e por que ele importa?

O DPO, sigla para Data Protection Officer, é chamado pela LGPD de Encarregado pelo Tratamento de Dados Pessoais. Seu papel está descrito no artigo 41 da lei: receber reclamações de titulares, orientar funcionários e prestadores de serviço, interagir com a ANPD e zelar pelo cumprimento das boas práticas de privacidade.

Uma forma simples de entender o papel: o DPO está para os dados pessoais assim como o contador está para as finanças. Nenhuma empresa saudável opera sem controle contábil, da mesma forma, nenhuma organização que trata dados pessoais deveria operar sem governança de privacidade estruturada.

Em 2026, esse argumento ganhou ainda mais peso. O custo médio global de um vazamento de dados chegou a US$ 4,88 milhões segundo o relatório da IBM, e empresas com equipes consolidadas de privacidade registram custos significativamente menores em resposta a incidentes. 

A indicação do DPO também precisa ser tornada pública, preferencialmente no site institucional.

A regra geral: quem precisa indicar um DPO?

O texto original da LGPD estabelece que todas as empresas que realizam tratamento de dados pessoais devem indicar um encarregado. Tratamento de dados inclui qualquer operação sobre informações que identifiquem ou possam identificar uma pessoa: coleta, armazenamento, uso, compartilhamento, análise e comercialização.

Na prática, isso abrange quase toda empresa ativa no Brasil. Qualquer organização que tenha funcionários, clientes ou fornecedores inevitavelmente trata algum dado pessoal.

A Resolução CD/ANPD nº 2/2022 trouxe, porém, um tratamento diferenciado para agentes de pequeno porte, dispensando certas categorias da obrigatoriedade do DPO obrigatório LGPD.

Quais empresas são dispensadas da obrigação?

A Resolução nº 2/2022 prevê dispensa para os seguintes perfis:

• Microempresas
• Empresas de pequeno porte
• Startups (conforme o Marco Legal das Startups)
• Pessoas jurídicas de direito privado sem fins lucrativos
• Pessoas físicas que realizam tratamento de dados
• Entes privados despersonalizados, como condomínios

Os limites de enquadramento seguem o Estatuto Nacional da Microempresa e o Marco Legal das Startups:

Para uma startup, escolher entre DPO interno e DPO as a Service impacta diretamente os custos de conformidade e entender isso começa por saber qual o real impacto da LGPD para startups.

Atenção: a dispensa tem exceções importantes

Mesmo que sua empresa se enquadre em um dos perfis acima, a dispensa deixa de valer se qualquer uma dessas condições for verificada:

1. A empresa realiza tratamento de dados de alto risco para os titulares.

2. A receita bruta supera os limites das legislações de referência.

3. A empresa pertence a um grupo econômico cujo faturamento global ultrapassa esses limites.

O terceiro ponto merece atenção especial em 2026, com o crescimento de grupos econômicos organizados em múltiplas pessoas jurídicas de pequeno porte. 

Ele foi inserido exatamente para impedir que grandes grupos se desmembrem artificialmente para escapar da obrigação de ter um encarregado de dados LGPD.

O que é tratamento de dados de alto risco?

Este é o conceito que mais exige atenção jurídica dentro da Resolução. Para ser caracterizado como tratamento de alto risco, uma operação precisa atender cumulativamente a pelo menos um critério geral e um critério específico.

Critérios gerais

Tratamento em larga escala abrange número significativo de titulares, considerando volume, duração, frequência e extensão geográfica. Não há um número objetivo definido, o que exige análise caso a caso.

Tratamento que afeta significativamente interesses e direitos fundamentais inclui situações que possam impedir o exercício de direitos, causar danos materiais ou morais, discriminação, fraude financeira, roubo de identidade ou violação à integridade física e à reputação.

Critérios específicos

• Uso de tecnologias emergentes ou inovadoras: inteligência artificial, IoT, blockchain, big data, realidade aumentada ou virtual, drones e cidades inteligentes
• Vigilância ou controle de zonas acessíveis ao público
• Decisões automatizadas, incluindo aquelas que definem perfis pessoais, profissionais, de saúde, de consumo, de crédito ou de personalidade
• Tratamento de dados sensíveis ou de grupos vulneráveis: dados de saúde, biométricos, raciais, religiosos, além de dados de crianças, adolescentes e idosos

Em 2026, o uso de IA generativa em produtos e serviços expande significativamente o universo de empresas que se enquadram no critério de tecnologias emergentes. Startups que usam modelos de linguagem para análise de perfil de cliente, por exemplo, precisam revisar esse enquadramento com atenção.

Exemplo prático: uma startup de healthtech com 30 funcionários e faturamento abaixo de R$ 16 milhões que usa inteligência artificial para analisar histórico de saúde e tomar decisões automatizadas sobre cobertura de planos atende a múltiplos critérios de alto risco. 

A obrigação de indicar um DPO é inequívoca.

Se você trata dados com o auxílio de IA, entenda a relação entre IA e LGPD.

O Fluxo de Decisão 

O diagrama abaixo resume as perguntas que determinam se sua empresa está ou não obrigada a indicar um encarregado de dados. Use-o como ponto de partida e documente formalmente a conclusão.

A ANPD pode solicitar comprovação do enquadramento a qualquer momento, com prazo de 15 dias corridos para apresentar a documentação.

DPO interno ou DPO as a Service?

Saber que a indicação é obrigatória é apenas o primeiro passo. A segunda decisão, igualmente estratégica, é como estruturar essa função. O debate entre DPO interno vs externo tem impacto direto em custo, independência e qualidade técnica.

Antes de brigar entre DPO interno ou as a service, você precisa saber o básico: o que é a LGPD e o que ela exige do seu negócio.

Comparativo completo

O modelo de DPO as a Service ganha força justamente porque as tendências de segurança para 2026 exigem evidências, não promessas.

Por que o conflito de interesses é um risco subestimado?

A LGPD exige que o encarregado de dados LGPD atue com autonomia e independência. Isso significa que ele não pode ser ao mesmo tempo responsável por decidir sobre o tratamento de dados que deveria fiscalizar.

Na prática, muitas empresas ainda cometem o erro de atribuir a função ao gerente de TI, ao responsável pelo marketing ou ao diretor jurídico. Esses profissionais frequentemente tomam decisões sobre o tratamento de dados, o que cria um conflito de interesses objetivo e configura irregularidade perante a ANPD.

O DPO as a Service elimina esse risco de forma estrutural. Por ser um agente externo, sem vínculo empregatício, ele tem a independência necessária para exercer a função com plena imparcialidade.

Qual modelo faz mais sentido para o seu perfil?

Grandes corporações com operações complexas, presença em múltiplos estados ou atuação em setores regulados (saúde, financeiro, educação) podem justificar um DPO interno dedicado. Mesmo assim, o modelo híbrido com apoio externo para projetos específicos tende a elevar a qualidade da governança.

Pequenas e médias empresas encontram no DPO as a Service a solução mais prática. Acesso a uma equipe especializada por uma fração do custo de uma contratação CLT representa vantagem real em processos de auditoria, resposta a incidentes e relacionamento com a ANPD.

Startups e empresas de tecnologia, cuja base de negócio frequentemente envolve dados como ativo central, se beneficiam da visão externa e experiente que o modelo terceirizado proporciona. Isso inclui a possibilidade de construir produtos e processos já alinhados ao conceito de Privacy by Design desde o início, especialmente relevante em 2026, com o avanço de regulações setoriais complementares à LGPD.

O risco de não ter um DPO quando a obrigação existe

Não indicar um encarregado de dados LGPD quando a lei exige não é apenas uma falha de compliance. É uma exposição concreta a sanções administrativas que podem chegar a R$ 50 milhões por infração, conforme o artigo 52 da LGPD.

Além da multa, os riscos incluem danos reputacionais em processos de auditoria e negociações B2B. Em 2026, parceiros e clientes corporativos passaram a exigir comprovação de adequação como critério formal de contratação, especialmente em contratos com o setor público e em processos de due diligence para fusões e aquisições.

Empresas com governança de privacidade estruturada reduzem em até 40% o custo médio de resposta a incidentes de segurança, segundo levantamento do IAPP (International Association of Privacy Professionals).

Conheça a metodologia da Data Guide: consultoria especializada em DPO as a Service

Determinar quando é obrigatório ter um DPO exige análise jurídica criteriosa e estruturar essa função da forma certa exige ainda mais. A Data Guide é uma consultoria brasileira especializada em privacidade e proteção de dados, com foco em DPO as a Service para empresas que precisam de governança robusta sem o custo de uma estrutura interna dedicada.

A equipe da Data Guide combina expertise jurídica, técnica e de segurança da informação para acompanhar sua empresa em cada etapa: da análise de enquadramento à LGPD, passando pelo mapeamento de dados, gestão de incidentes, relacionamento com a ANPD e construção de uma cultura de privacidade de dentro para fora.

Em 2026, com a fiscalização mais ativa e o mercado exigindo comprovação de adequação como critério de negócio, contar com um parceiro especializado deixou de ser um diferencial e passou a ser uma decisão estratégica.

---

FAQ| Perguntas Frequentes