DPO é obrigatório? Descubra quem precisa nomear um encarregado a partir de 2026

Com a consolidação da Agência Nacional de Proteção de Dados (ANPD) e o avanço das fiscalizações, uma dúvida tem voltado a aparecer em reuniões e auditorias: toda empresa precisa ter um DPO (Encarregado de Dados)?

A resposta depende do porte, risco e natureza do tratamento de dados pessoais, mas a tendência é clara: a partir de 2026, as empresas que tratam dados pessoais com regularidade ou em grande volume precisarão nomear um DPO formalmente — com nome e canal de contato visíveis no site, conforme orientação da ANPD.

O que é o DPO (Encarregado de Dados)

O DPO, sigla de Data Protection Officer, é o profissional responsável por atuar como canal de comunicação entre a organização, os titulares de dados e a ANPD. Essa função está descrita no artigo 41 da LGPD, que também determina as principais atribuições do encarregado:

• Receber e responder solicitações de titulares de dados;

• Orientar colaboradores e fornecedores sobre boas práticas de proteção de dados;

• Apoiar auditorias e relatórios de conformidade;

• Interagir com a ANPD em fiscalizações e incidentes.

Na prática, o DPO é a ponte entre a empresa e a lei — e sua presença é o primeiro sinal que a organização leva a sério a proteção de dados.

O que muda com a ANPD como Agência

Com a transformação da ANPD em Agência Nacional de Proteção de Dados, o Brasil entra em uma nova fase: mais poder regulatório, mais fiscais e mais processos administrativos.A Resolução CD/ANPD nº 18/2024, que regulamenta a atuação do encarregado, já define critérios claros sobre quem precisa nomear e quem pode ser dispensado.

De forma geral:

• Empresas médias e grandes → obrigadas a nomear um DPO.

• Órgãos públicos → obrigatoriamente precisam ter encarregado.

• Startups e pequenos negócios → podem ser dispensados apenas se não realizarem tratamentos de alto risco.

Mas atenção: a dispensa não é automática. Mesmo agentes de pequeno porte precisam manter um canal de comunicação com os titulares e adotar boas práticas de governança e segurança da informação.

Risco e responsabilidade

A ausência de um DPO pode gerar falhas graves de comunicação com a ANPD e com os titulares de dados.

Além disso, em uma fiscalização, não ter um encarregado nomeado formalmente é um sinal de não conformidade.

Com o aumento das fiscalizações a partir de 2026, essa falha pode resultar em advertências, publicização da infração e outras penalidades.

Como nomear o encarregado corretamente

Segundo o Guia Orientativo da ANPD (dez/2024), a nomeação deve:

• Ser formalizada por ato administrativo ou documento interno (ex.: portaria, contrato ou termo de designação);

• Indicar nome completo e canal de contato do encarregado;

• Publicar essas informações no site da empresa, em local visível, como o rodapé ou aviso de privacidade;

• Garantir que o encarregado tenha independência e autoridade para exercer suas funções.

O DPO pode ser interno ou terceirizado

A LGPD permite que o encarregado seja um colaborador da empresa ou um prestador de serviço externo, o chamado DPO as a Service.

Essa flexibilidade facilita a adequação de pequenas e médias empresas, que podem contratar uma consultoria especializada para assumir a função e gerenciar as obrigações legais.

Na prática, o modelo terceirizado é o mais comum, pois garante experiência técnica, continuidade e sigilo profissional, sem onerar a folha de pagamento.

Como se preparar para 2026

A nomeação do DPO não deve ser um ato isolado. É parte de uma estratégia mais ampla de governança em proteção de dados.Para estar preparado, recomenda-se:

1. Revisar o RoPA (Registro das Operações de Tratamento de Dados);

2. Definir o encarregado e comunicar publicamente;

3. Treinar a equipe para entender o papel do DPO e como acionar o canal de contato;

4. Utilizar ferramentas de gestão para centralizar registros e evidências, como o DPONOTE;

5. Buscar apoio especializado para garantir conformidade e responder fiscalizações.

Conclusão

A partir de 2026, o DPO deixa de ser um diferencial e passa a ser uma obrigação prática de governança e transparência.Empresas que se anteciparem sairão na frente — tanto na confiança dos clientes quanto na prevenção de sanções.

Se sua organização ainda não tem um encarregado formalmente nomeado, agora é a hora de agir.

Como a MainSafe pode ajudar

• Consultoria LGPD e DPO as a Service: assumimos a função de encarregado e garantimos conformidade completa.

• DPONOTE – Software de Gestão LGPD e ISO: centralize relatórios, RoPA, comunicações de titulares e auditorias.

• DPONOTE Academy – Trilha DPO EXIN: forme o encarregado da sua empresa com cursos reconhecidos internacionalmente.

Fale conosco e garanta que sua empresa esteja preparada para atender à ANPD a partir de 2026.