Encargado de protección de datos (DPO): qué hace, cuánto gana y cómo llegar a serlo

El encargado de protección de datos, también llamado DPO (Data Protection Officer), es el profesional responsable de ser el puente entre la empresa, los titulares de los datos personales y la Autoridad Nacional de Protección de Datos (ANPD). Es una función creada por la Ley General de Protección de Datos (LGPD), en el artículo 41, y se convirtió en una de las carreras que más crecieron en los últimos años en Brasil. Si trabajas con datos, compliance, área jurídica o seguridad de la información y quieres entender qué hace un encargado de protección de datos, cuánto gana y cómo llegar a serlo, esta guía fue hecha para ti.

Voy a tratar el tema como trato todo en gobernanza de datos: sin jerga jurídica suelta y sin la idea de que basta con nombrar a alguien para que el problema se resuelva. En la práctica, el encargado de protección de datos solo funciona cuando la empresa sabe dónde están los datos, quién es su dueño y si se puede confiar en ellos. Y es justamente ahí donde la mayoría tropieza.

Qué es el encargado de protección de datos

El encargado de protección de datos es la persona designada por la empresa para actuar como canal de comunicación sobre la protección de datos personales. La LGPD llama a la empresa controlador, es decir, quien toma las decisiones sobre cómo y por qué se tratan los datos personales. El encargado es quien responde por ese controlador cuando alguien pregunta qué se está haciendo con los datos.

El término DPO viene del inglés y se hizo popular por el GDPR, la ley europea de protección de datos. En Brasil, la expresión oficial de la LGPD es encargado del tratamiento de datos personales. En la práctica del mercado, las dos palabras se usan como sinónimos. Cuando ves una vacante de DPO, es la misma función del encargado de protección de datos prevista en la ley.

El punto que poca gente percibe es que el encargado no es un cargo técnico de tecnología. Es una función de gobernanza. No necesita saber programar ni configurar un servidor. Necesita entender de dato personal, de riesgo, de proceso y, sobre todo, saber conversar con áreas muy distintas dentro de la empresa. Un buen encargado transita entre el área jurídica, TI, RR. HH., marketing y la dirección sin perderse en ninguna de ellas.

Qué hace en la práctica el encargado de protección de datos

El artículo 41 de la LGPD define cuatro grupos de atribuciones. El encargado acepta reclamos y comunicaciones de los titulares, presta aclaraciones y adopta providencias. Recibe comunicaciones de la ANPD y toma las medidas necesarias. Orienta a los empleados y a las áreas de la empresa sobre las prácticas de protección de datos. Y ejecuta las demás atribuciones que defina el controlador.

Traducido al día a día, el trabajo del encargado es mucho menos glamoroso y mucho más operativo de lo que parece. Cuando un cliente pide saber qué datos guarda la empresa sobre él, o pide eliminar sus datos, es el encargado quien garantiza que esa solicitud se atienda dentro del plazo. Cuando ocurre una filtración, es él quien coordina la respuesta y comunica a la ANPD. Cuando marketing quiere lanzar una campaña usando una base de contactos, es él quien pregunta de dónde salió esa base y si existe una base legal para usarla.

Déjame dar un ejemplo que aparece mucho en las empresas. El equipo comercial decide enriquecer el maestro de clientes con datos comprados a terceros para mejorar la segmentación. Parece una buena idea de negocio. El encargado es quien tiene que levantar la mano y preguntar: estos datos se recolectaron con consentimiento válido, la finalidad coincide con la original, y podemos probarlo si la ANPD pregunta. Sin alguien que haga esa pregunta en el momento correcto, la empresa descubre el problema cuando ya se convirtió en multa.

Y aquí entra la conexión que siempre hago. El encargado de protección de datos solo puede responder esas preguntas si la empresa tiene un mínimo de organización en los datos. Necesita un inventario de datos personales, necesita saber en qué sistemas está guardado el CPF (el número de identificación fiscal de las personas físicas en Brasil) del cliente, necesita saber qué área es dueña de ese registro. Si el dato del mismo cliente está duplicado en cinco sistemas, con grafías distintas, el encargado no tiene cómo garantizar que una solicitud de eliminación se cumplió de verdad. La protección de datos empieza con la gobernanza de datos. No hay forma de separar las dos cosas.

Encargado, data owner y data steward: quién es quién

Una duda común es cómo encaja el encargado entre los demás roles de gobernanza de datos. El data owner es el dueño del dato dentro de un área de negocio, quien responde por las reglas de ese dominio. El data steward es quien cuida la calidad y la estandarización en el día a día. El encargado tiene un enfoque distinto: mira específicamente el dato personal y la conformidad con la LGPD.

En la práctica, estos roles trabajan juntos. Cuando el encargado necesita atender la solicitud de un titular, depende del data owner para saber qué datos guarda esa área y del data steward para garantizar que el registro esté limpio y sea localizable. En empresas más maduras existe además el Chief Data Officer coordinando toda la estrategia de datos por encima. El encargado no sustituye a ninguno de estos roles. Es la capa de protección de datos personales dentro de una estructura de gobernanza que tiene que existir por debajo.

Quién necesita un encargado y dónde queda en la estructura

La LGPD determina que el controlador designe un encargado. En la lectura más estricta, esto vale para prácticamente cualquier empresa que trate datos personales, lo que incluye a casi todos. La ANPD, mediante la Resolución CD/ANPD nº 18/2024, trajo reglas más claras sobre la actuación del encargado y flexibilizó la exigencia para agentes de tratamiento de pequeño tamaño, como microempresas y startups, que quedan dispensados de designar formalmente a un encargado, aunque deben mantener un canal de comunicación con los titulares.

El encargado puede ser una persona física o una persona jurídica. Puede ser un empleado interno o un servicio contratado. Lo que la ley exige es que la identidad y el contacto del encargado se divulguen de forma clara y pública, normalmente en el sitio web de la empresa, en la política de privacidad. Si alguna vez viste en el pie de un sitio web un correo de contacto de privacidad, ese canal suele desembocar en el encargado.

Un cuidado importante es la independencia. El encargado necesita tener autonomía para plantear problemas sin miedo a represalias y acceso directo a la alta dirección. Poner al encargado subordinado justamente al área que más trata datos personales, sin ninguna independencia, es una receta para que el cargo se vuelva un adorno. Existe en el organigrama, pero no puede frenar nada.

Interno o tercerizado: el modelo DPO as a Service

Existen dos grandes modelos de contratación. El encargado interno es un profesional de la propia empresa, generalmente bajo régimen CLT (el régimen formal de empleo en Brasil), que acumula la función o le dedica parte de su tiempo. La ventaja es la cercanía con la operación y el conocimiento profundo de los procesos internos. La desventaja es el costo y la dificultad de encontrar a alguien con el perfil completo.

El otro modelo es el DPO as a Service, o encargado tercerizado. Una empresa o un profesional autónomo especializado asume la función con responsabilidades delimitadas en contrato. Este modelo creció bastante entre empresas medianas que necesitan cumplir con la LGPD, pero no tienen el volumen para justificar un profesional dedicado a tiempo completo. El riesgo aquí es contratar un encargado tercerizado que emite dictámenes genéricos y no conoce de verdad la operación de la empresa. El cumplimiento de PowerPoint no protege a nadie.

Qué herramientas apoyan el trabajo del encargado

El encargado no vive de sentido común. Necesita herramientas que sostengan el trabajo. La base de todo es el inventario de datos personales, también llamado RoPA, el registro de las operaciones de tratamiento. Es el mapa que responde dónde está cada dato personal, para qué sirve y con qué base legal se trata.

En el mercado existen plataformas de privacidad que ayudan a mantener ese inventario, gestionar el consentimiento y responder solicitudes de titulares, como OneTrust y soluciones similares. Del lado de la gobernanza, herramientas de catálogo y mapeo como Collibra, Alation y Microsoft Purview ayudan a localizar y clasificar información sensible dentro de los sistemas. Y aquí entra el vínculo con los datos maestros. Plataformas de Master Data Management como SAP Master Data Governance, Informatica, Stibo Systems, Reltio, Semarchy, Profisee y Ataccama garantizan que el maestro de clientes esté unificado y sin duplicados. Sin eso, el encargado nunca tiene la certeza de haber localizado todos los registros de una misma persona. Cito estas herramientas de forma informativa, porque la elección depende del contexto. La herramienta correcta es la que resuelve el problema real, no la más de moda.

Cómo llegar a ser encargado de protección de datos

No existe una carrera de grado obligatoria para ser encargado de protección de datos. Es una buena noticia, porque abre la puerta a gente de perfiles distintos. Veo tres orígenes que funcionan bien. Profesionales del derecho que entienden de LGPD y regulación. Profesionales de seguridad de la información y TI que entienden de riesgo y de cómo circulan los datos en los sistemas. Y profesionales de gobernanza de datos y de alta y mantenimiento de registros maestros, que ya conocen por dentro dónde vive la información y cómo se desordena.

El camino de estudio pasa por dominar la LGPD en la práctica, entender el GDPR como referencia internacional y conocer las resoluciones de la ANPD. Del lado de las certificaciones, existen opciones reconocidas como las certificaciones de EXIN en protección de datos y privacidad, y las certificaciones internacionales de IAPP, como CIPP y CIPM, más orientadas a quienes quieren actuar en entornos globales. Para quien viene del lado de datos, la certificación CDMP de DAMA ayuda a construir la base de gobernanza que sostiene el trabajo de protección.

Pero ninguna certificación sustituye la habilidad que más falta en este mercado: saber traducir. El buen encargado toma una exigencia legal y le explica al equipo de marketing qué puede y qué no puede hacer, sin paralizar el negocio. Conversa con la dirección en lenguaje de riesgo y de dinero, no en artículos de ley. Quien solo sabe recitar la ley no dura. Quien sabe conectar la ley con la operación y con el negocio se vuelve indispensable.

Cuánto gana y cuáles son las oportunidades

La demanda de encargados de protección de datos creció junto con la fiscalización de la ANPD y con el temor a las multas, que pueden llegar a valores millonarios. Eso empujó los salarios hacia arriba. En Brasil, la remuneración de un encargado de protección de datos suele rondar los diez mil reales mensuales y puede llegar al doble, o más, en empresas grandes y en posiciones senior con alcance amplio. Reportajes recientes ya citan DPOs con remuneración en el rango de dieciséis mil reales en posiciones destacadas.

El valor varía según el tamaño, el sector y el nivel de responsabilidad. Los sectores más regulados, como el financiero, la salud y la tecnología, tienden a pagar más porque el riesgo es mayor. Además del modelo CLT, existe todo el mercado de DPO as a Service, que abre espacio para autónomos y consultoras que atienden a varias empresas al mismo tiempo. Es una carrera en alza, con una demanda mayor que la oferta de gente realmente preparada. Y la tendencia es que la demanda siga creciendo, porque la protección de datos dejó de ser un cumplimiento puntual y se volvió un tema permanente de cualquier empresa que maneja información.

Principales dudas sobre el encargado de protección de datos

¿Encargado de protección de datos y DPO son lo mismo? Sí. Encargado es el término usado por la LGPD brasileña. DPO, o Data Protection Officer, es el término internacional consagrado por el GDPR europeo. En la práctica del mercado, ambos nombres se refieren a la misma función.

¿Toda empresa necesita tener un encargado de protección de datos? La regla general de la LGPD es que el controlador designe un encargado. La Resolución CD/ANPD nº 18/2024 dispensó la designación formal para agentes de tratamiento de pequeño tamaño, como microempresas y startups, que de todos modos deben mantener un canal de comunicación con los titulares.

¿El encargado puede ser tercerizado? Sí. La función puede ser ejercida por una persona física o jurídica, interna o externa. El modelo de encargado tercerizado se conoce como DPO as a Service y es bastante usado por empresas medianas.

¿El encargado tiene que ser abogado o del área de TI? No existe formación obligatoria. El perfil ideal combina conocimiento de LGPD, noción de riesgo, comprensión de cómo circulan los datos en los sistemas y, por encima de todo, capacidad de comunicación con áreas distintas de la empresa.

¿Cuál es la diferencia entre encargado y data steward? El encargado cuida específicamente la conformidad con la protección de datos personales. El data steward cuida la calidad y la estandarización de los datos en el día a día, dentro de un dominio. Los dos roles se apoyan, pero no son lo mismo.

MDM Academy: donde la gobernanza sostiene la protección de datos

Hay un punto que quiero dejar claro para quien está pensando en esta carrera. El encargado de protección de datos no trabaja en el vacío. Depende de una base de gobernanza de datos que la mayoría de las empresas todavía no tiene. Y por eso existe la MDM Academy.

La MDM Academy es la escuela de gobernanza y datos maestros de 4MDG, creada para formar a los profesionales que el mercado brasileño necesita y no encuentra. Enseñamos gobernanza de datos, Master Data Management, calidad de datos, maestro de materiales y de clientes y la conexión de todo esto con la LGPD, con lenguaje práctico y ejemplos reales de proyectos, no teoría de manual. Para quien quiere ser encargado de protección de datos, entender cómo el dato se organiza, se duplica y se pierde dentro de los sistemas es lo que separa al profesional que recita la ley del profesional que resuelve el problema.

Si ese es el camino que quieres seguir, conoce la MDM Academy y entra al Club de los Datos. Es donde intercambiamos conocimiento, discutimos casos reales y formamos a la próxima generación de profesionales de datos de Brasil.

Conclusión

El encargado de protección de datos es una de las funciones más importantes que creó la LGPD y una de las carreras más prometedoras para quien le gustan los datos, el riesgo y el negocio al mismo tiempo. Pero la verdad que poca gente dice es que este profesional solo es tan bueno como la gobernanza de datos que existe debajo de él. No proteges lo que no puedes encontrar, y no confías en lo que está duplicado y desorganizado.

Por eso, si quieres entrar en esta área, no estudies solo la ley. Estudia el dato. Entiende cómo nace, cómo se esparce y por qué se pudre dentro de las empresas. Es esa mirada la que transforma a un encargado de protección de datos de figurante en pieza central. Y esa es la diferencia entre cumplir la LGPD en el papel y proteger de verdad la información de las personas.