Encarregado de dados (DPO): o que faz, quanto ganha e como se tornar

O encarregado de dados, também chamado de DPO (Data Protection Officer), é o profissional responsável por ser a ponte entre a empresa, os titulares dos dados pessoais e a Autoridade Nacional de Proteção de Dados (ANPD). É uma função criada pela Lei Geral de Proteção de Dados (LGPD), no artigo 41, e virou uma das carreiras que mais cresceram nos últimos anos no Brasil. Se você trabalha com dados, compliance, jurídico ou segurança da informação e quer entender o que faz um encarregado de dados, quanto ganha e como se tornar um, este guia foi feito para você.

Vou tratar o tema como trato tudo em governança de dados: sem juridiquês solto e sem a ideia de que basta nomear alguém para o problema se resolver. Na prática, o encarregado de dados só funciona quando a empresa sabe onde os dados estão, quem é dono deles e se dá para confiar neles. E é justamente aí que a maioria tropeça.

O que é o encarregado de dados

O encarregado de dados é a pessoa indicada pela empresa para atuar como canal de comunicação sobre proteção de dados pessoais. A LGPD chama a empresa de controlador, ou seja, quem toma as decisões sobre como e por que os dados pessoais são tratados. O encarregado é quem responde por esse controlador quando alguém pergunta o que está sendo feito com os dados.

O termo DPO vem do inglês e ficou popular por causa do GDPR, a lei europeia de proteção de dados. No Brasil, a expressão oficial da LGPD é encarregado pelo tratamento de dados pessoais. Na prática do mercado, as duas palavras são usadas como sinônimos. Quando você vê uma vaga de DPO, é a mesma função do encarregado de dados prevista em lei.

O ponto que pouca gente percebe é que o encarregado não é um cargo técnico de tecnologia. É uma função de governança. Ele não precisa saber programar nem configurar servidor. Ele precisa entender de dado pessoal, de risco, de processo e, principalmente, saber conversar com áreas muito diferentes dentro da empresa. Um bom encarregado transita entre o jurídico, a TI, o RH, o marketing e a diretoria sem se perder em nenhum deles.

O que o encarregado de dados faz na prática

O artigo 41 da LGPD define quatro grupos de atribuições. O encarregado aceita reclamações e comunicações dos titulares, presta esclarecimentos e adota providências. Recebe comunicações da ANPD e toma as medidas necessárias. Orienta os funcionários e as áreas da empresa sobre as práticas de proteção de dados. E executa as demais atribuições que o controlador definir.

Traduzindo para o dia a dia, o trabalho do encarregado é bem menos glamouroso e bem mais operacional do que parece. Quando um cliente pede para saber quais dados a empresa guarda sobre ele, ou pede para excluir seus dados, é o encarregado que garante que esse pedido seja atendido dentro do prazo. Quando um vazamento acontece, é ele quem coordena a resposta e comunica a ANPD. Quando o marketing quer disparar uma campanha usando uma base de contatos, é ele quem pergunta de onde veio aquela base e se existe base legal para usar.

Deixa eu dar um exemplo que aparece muito nas empresas. O time comercial resolve enriquecer o cadastro de clientes com dados comprados de terceiros para melhorar a segmentação. Parece uma boa ideia de negócio. O encarregado é quem precisa levantar a mão e perguntar: esses dados foram coletados com consentimento válido, a finalidade bate com a original, e a gente consegue provar isso se a ANPD perguntar. Sem alguém fazendo essa pergunta na hora certa, a empresa descobre o problema quando ele já virou multa.

E aqui entra a conexão que eu sempre faço. O encarregado de dados só consegue responder essas perguntas se a empresa tiver um mínimo de organização nos dados. Ele precisa de um inventário de dados pessoais, precisa saber em quais sistemas o CPF do cliente está guardado, precisa saber qual área é dona daquele cadastro. Se o dado do mesmo cliente está duplicado em cinco sistemas, com grafias diferentes, o encarregado não tem como garantir que um pedido de exclusão foi cumprido de verdade. Proteção de dados começa com governança de dados. Não tem como separar as duas coisas.

Encarregado, data owner e data steward: quem é quem

Uma dúvida comum é como o encarregado se encaixa no meio dos outros papéis de governança de dados. O data owner é o dono do dado dentro de uma área de negócio, quem responde pelas regras daquele domínio. O data steward é quem cuida da qualidade e da padronização no dia a dia. O encarregado tem um recorte diferente: ele olha especificamente para o dado pessoal e para a conformidade com a LGPD.

Na prática, esses papéis trabalham juntos. Quando o encarregado precisa atender a um pedido de titular, ele depende do data owner para saber quais dados aquela área guarda e do data steward para garantir que o registro está limpo e localizável. Em empresas mais maduras, existe ainda o Chief Data Officer coordenando toda a estratégia de dados por cima. O encarregado não substitui nenhum desses papéis. Ele é a camada de proteção de dados pessoais dentro de uma estrutura de governança que precisa existir por baixo.

Quem precisa de um encarregado e onde ele fica na estrutura

A LGPD determina que o controlador indique um encarregado. Na leitura mais rigorosa, isso vale para praticamente qualquer empresa que trate dados pessoais, o que inclui quase todo mundo. A ANPD, por meio da Resolução CD/ANPD nº 18/2024, trouxe regras mais claras sobre a atuação do encarregado e flexibilizou a exigência para agentes de tratamento de pequeno porte, como microempresas e startups, que ficam dispensados de indicar formalmente um encarregado, embora precisem manter um canal de comunicação com os titulares.

O encarregado pode ser uma pessoa física ou uma pessoa jurídica. Pode ser um funcionário interno ou um serviço contratado. O que a lei exige é que a identidade e o contato do encarregado sejam divulgados de forma clara e pública, normalmente no site da empresa, na política de privacidade. Se você já viu um rodapé de site com um e-mail de contato de privacidade, aquele canal costuma desembocar no encarregado.

Um cuidado importante é a independência. O encarregado precisa ter autonomia para levantar problemas sem medo de retaliação e acesso direto à alta direção. Colocar o encarregado subordinado justamente à área que mais trata dado pessoal, sem nenhuma independência, é uma receita para o cargo virar enfeite. Ele existe no organograma, mas não consegue barrar nada.

Interno ou terceirizado: o modelo DPO as a Service

Existem dois grandes modelos de contratação. O encarregado interno é um profissional da própria empresa, geralmente em regime CLT, que acumula ou dedica parte do tempo à função. A vantagem é a proximidade com a operação e o conhecimento profundo dos processos internos. A desvantagem é o custo e a dificuldade de encontrar alguém com o perfil completo.

O outro modelo é o DPO as a Service, ou encarregado terceirizado. Uma empresa ou um profissional autônomo especializado assume a função com responsabilidades delimitadas em contrato. Esse modelo cresceu bastante entre empresas de médio porte que precisam cumprir a LGPD, mas não têm volume para justificar um profissional dedicado em tempo integral. O risco aqui é contratar um encarregado terceirizado que emite pareceres genéricos e não conhece de verdade a operação da empresa. Conformidade de PowerPoint não protege ninguém.

Quais ferramentas apoiam o trabalho do encarregado

O encarregado não vive de bom senso. Ele precisa de ferramentas que sustentem o trabalho. A base de tudo é o inventário de dados pessoais, também chamado de RoPA, o registro das operações de tratamento. É o mapa que responde onde cada dado pessoal está, para que serve e com que base legal é tratado.

No mercado existem plataformas de privacidade que ajudam a manter esse inventário, gerenciar consentimento e responder pedidos de titulares, como OneTrust e soluções semelhantes. Do lado da governança, ferramentas de catálogo e mapeamento como Collibra, Alation e Microsoft Purview ajudam a localizar e classificar informação sensível dentro dos sistemas. E é aqui que entra o elo com os dados mestres. Plataformas de Master Data Management como SAP Master Data Governance, Informatica, Stibo Systems, Reltio, Semarchy, Profisee e Ataccama garantem que o cadastro de clientes esteja unificado e sem duplicidade. Sem isso, o encarregado nunca tem certeza de que localizou todos os registros de uma mesma pessoa. Cito essas ferramentas de forma informativa, porque a escolha depende do contexto. A ferramenta certa é a que resolve o problema real, não a mais badalada.

Como se tornar um encarregado de dados

Não existe uma graduação obrigatória para ser encarregado de dados. Isso é uma boa notícia, porque abre a porta para gente de perfis diferentes. Vejo três origens que funcionam bem. Profissionais de direito que entendem de LGPD e regulação. Profissionais de segurança da informação e TI que entendem de risco e de como os dados circulam nos sistemas. E profissionais de governança de dados e cadastro, que já conhecem por dentro onde a informação mora e como ela se desorganiza.

O caminho de estudo passa por dominar a LGPD na prática, entender o GDPR como referência internacional e conhecer as resoluções da ANPD. Do lado das certificações, existem opções reconhecidas como as certificações da EXIN em proteção de dados e privacidade, e as certificações internacionais da IAPP, como CIPP e CIPM, mais voltadas para quem quer atuar em ambientes globais. Para quem vem do lado de dados, a certificação CDMP da DAMA ajuda a construir a base de governança que sustenta o trabalho de proteção.

Mas certificação nenhuma substitui a habilidade que mais falta nesse mercado: saber traduzir. O bom encarregado pega uma exigência legal e explica para o time de marketing o que pode e o que não pode fazer, sem paralisar o negócio. Ele conversa com a diretoria em linguagem de risco e de dinheiro, não em artigos de lei. Quem só sabe recitar a lei não dura. Quem sabe conectar a lei com a operação e com o negócio se torna indispensável.

Quanto ganha e quais são as oportunidades

A demanda por encarregados de dados cresceu junto com a fiscalização da ANPD e com o receio das multas, que podem chegar a valores milionários. Isso empurrou os salários para cima. No Brasil, a remuneração de um encarregado de dados costuma girar em torno de dez mil reais mensais e pode chegar ao dobro disso, ou mais, em empresas grandes e em posições seniores com escopo amplo. Reportagens recentes já citam DPOs com remuneração na faixa de dezesseis mil reais em posições de destaque.

O valor varia conforme o porte, o setor e o nível de responsabilidade. Setores mais regulados, como financeiro, saúde e tecnologia, tendem a pagar mais porque o risco é maior. Além do modelo CLT, existe todo o mercado de DPO as a Service, que abre espaço para autônomos e consultorias atenderem várias empresas ao mesmo tempo. É uma carreira em alta, com procura maior do que a oferta de gente realmente preparada. E a tendência é a demanda continuar crescendo, porque proteção de dados deixou de ser conformidade pontual e virou tema permanente de qualquer empresa que lida com informação.

Principais dúvidas sobre o encarregado de dados

Encarregado de dados e DPO são a mesma coisa? Sim. Encarregado é o termo usado pela LGPD brasileira. DPO, ou Data Protection Officer, é o termo internacional consagrado pelo GDPR europeu. Na prática do mercado, os dois nomes se referem à mesma função.

Toda empresa precisa ter um encarregado de dados? A regra geral da LGPD é que o controlador indique um encarregado. A Resolução CD/ANPD nº 18/2024 dispensou a indicação formal para agentes de tratamento de pequeno porte, como microempresas e startups, que ainda assim precisam manter um canal de comunicação com os titulares.

O encarregado pode ser terceirizado? Pode. A função pode ser exercida por pessoa física ou jurídica, interna ou externa. O modelo de encarregado terceirizado é conhecido como DPO as a Service e é bastante usado por empresas de médio porte.

O encarregado precisa ser advogado ou da área de TI? Não existe formação obrigatória. O perfil ideal combina conhecimento de LGPD, noção de risco, entendimento de como os dados circulam nos sistemas e, acima de tudo, capacidade de comunicação com áreas diferentes da empresa.

Qual a diferença entre encarregado e data steward? O encarregado cuida especificamente da conformidade com a proteção de dados pessoais. O data steward cuida da qualidade e da padronização dos dados no dia a dia, dentro de um domínio. Os dois papéis se apoiam, mas não são a mesma coisa.

MDM Academy: onde a governança sustenta a proteção de dados

Tem um ponto que quero deixar claro para quem está pensando nessa carreira. O encarregado de dados não trabalha no vácuo. Ele depende de uma base de governança de dados que a maioria das empresas ainda não tem. E é por isso que a MDM Academy existe.

A MDM Academy é a escola de governança e dados mestres da 4MDG, criada para formar os profissionais que o mercado brasileiro precisa e não encontra. A gente ensina governança de dados, Master Data Management, qualidade de dados, cadastro e a conexão de tudo isso com a LGPD, com linguagem prática e exemplos reais de projeto, não teoria de manual. Para quem quer ser encarregado de dados, entender como o dado se organiza, se duplica e se perde por dentro dos sistemas é o que separa o profissional que recita a lei do profissional que resolve o problema.

Se esse é o caminho que você quer seguir, conheça a MDM Academy e entre no Clube dos Dados. É onde a gente troca conhecimento, discute casos reais e forma a próxima geração de profissionais de dados do Brasil.

Conclusão

O encarregado de dados é uma das funções mais importantes que a LGPD criou e uma das carreiras mais promissoras para quem gosta de dados, risco e negócio ao mesmo tempo. Mas a verdade que pouca gente diz é que esse profissional só é tão bom quanto a governança de dados que existe embaixo dele. Você não protege o que não consegue encontrar, e não confia no que está duplicado e desorganizado.

Por isso, se você quer entrar nessa área, não estude só a lei. Estude o dado. Entenda como ele nasce, como ele se espalha e por que ele apodrece dentro das empresas. É esse olhar que transforma um encarregado de dados de figurante em peça central. E é essa a diferença entre cumprir a LGPD no papel e proteger de verdade a informação das pessoas.