Encarregado externo: modelo, limites e responsabilidade da empresa
Empresa de porte médio, sem área de privacidade, precisa indicar encarregado. Nomear alguém do time comercial resolve no papel e cria um problema real: essa pessoa não conhece a lei, não tem tempo e responde a quem decide sobre os tratamentos que ela deveria supervisionar. Contratar um encarregado externo é alternativa legítima e comum. Mas o modelo só funciona quando fica claro o que é terceirizado — e o que continua, inevitavelmente, dentro de casa.
O que a lei exige e o que ela não exige
Indicar encarregado pelo tratamento de dados pessoais é dever do controlador, estabelecido no art. 41 da LGPD. O §1º determina que identidade e informações de contato sejam divulgadas publicamente, de forma clara e objetiva, preferencialmente no sítio eletrônico.
O §2º lista as atividades: aceitar reclamações e comunicações dos titulares, prestar esclarecimentos e adotar providências; receber comunicações da autoridade nacional e adotar providências; orientar funcionários e contratados sobre as práticas de proteção de dados; e executar as demais atribuições determinadas pelo controlador ou previstas em normas complementares.
O que a lei não exige é igualmente relevante: não há exigência de vínculo empregatício, de formação específica nem de dedicação exclusiva. Isso abre espaço para pessoa jurídica ou profissional externo contratado. O §3º ainda permite que a autoridade estabeleça normas complementares, inclusive hipóteses de dispensa conforme natureza, porte e volume de operações.
O que o externo faz bem e o que ele não consegue fazer
O modelo externo entrega bem: conhecimento normativo atualizado, método, respostas a titulares padronizadas e defensáveis, interlocução com a autoridade e independência em relação às áreas de negócio.
O que ele não consegue fazer sozinho: conhecer os sistemas em profundidade, saber onde estão as planilhas departamentais, perceber mudanças de processo em tempo real e obter cooperação interna sem patrocínio da direção.
Por isso, o desenho que funciona quase sempre combina encarregado externo com um ponto focal interno — alguém que conhece a operação, reúne informação e executa. Terceirizar sem esse elo produz um encarregado que responde bem no papel e desconhece o que a empresa faz de verdade.
Autonomia e conflito de interesse
Encarregado que não tem acesso à direção e que depende de aprovação da área auditada perde a função. O contrato deve assegurar canal direto com a alta administração, acesso a informações sobre tratamentos, participação prévia em projetos que envolvam dados e o direito de registrar por escrito discordâncias.
Esse registro é decisivo. Quando o encarregado alerta e a empresa decide seguir em frente, o alerta documentado protege a ambos: define responsabilidades e demonstra que houve avaliação.
Cuidado com o conflito de interesse: o mesmo fornecedor que implanta o sistema de marketing e depois avalia a legalidade daquele tratamento avalia o próprio trabalho. Separar os papéis vale mais que economizar contrato.
O contrato que sustenta o modelo
Estipule escopo detalhado (o que está incluído e o que é projeto adicional), prazos de resposta a titulares compatíveis com os prazos legais, disponibilidade em incidente — inclusive fora do horário comercial —, dever de confidencialidade, obrigação de reportar periodicamente à direção, regras de transição ao fim do contrato e responsabilidade civil e profissional.
Defina também quem responde pelo custo de eventual sanção. Vale lembrar que, perante titulares e autoridade, a responsabilidade permanece do controlador: terceirizar a função não terceiriza o dever legal, e o art. 42 continua imputando ao agente de tratamento a reparação do dano causado em violação à legislação de proteção de dados.
Exemplo: uma rede de clínicas contrata encarregado externo e mantém uma coordenadora interna como ponto focal. Quando chega um pedido de acesso a prontuário, a coordenadora localiza o registro e o encarregado redige a resposta considerando as regras de sigilo aplicáveis. Nenhum dos dois faria isso bem sozinho.
Sinais de que o arranjo não está funcionando
Alguns indicadores aparecem cedo: o contato divulgado no site não é atendido em prazo razoável; a empresa lança produto novo e o encarregado descobre depois; pedidos de titulares são respondidos pelo atendimento comercial sem qualquer padrão; não existe relatório periódico; e não há registro de reuniões nem de alertas.
Qualquer um deles, isolado, é corrigível. Todos juntos indicam que a empresa comprou um nome para publicar no rodapé.
Estruturar o modelo — contrato, alçadas, fluxo interno e evidência de funcionamento — é trabalho jurídico de organização, feito a distância a partir dos documentos e processos que a empresa já mantém.
Perguntas frequentes
O encarregado externo pode ser uma pessoa jurídica?
A lei não veda, e o modelo é usual. Convém indicar também a pessoa natural responsável pelo atendimento, para que titulares e autoridade tenham interlocutor identificável.
O encarregado responde pessoalmente por infração da empresa?
As sanções administrativas recaem sobre os agentes de tratamento. A responsabilidade do encarregado é contratual e profissional perante quem o contratou, e depende do que ele fez ou deixou de fazer no escopo assumido.
Proveniência
Conteúdo informativo; não substitui a análise individual de um advogado sobre o seu caso.
Conteúdos relacionados
Links internos
Conteúdo informativo. Não substitui a análise individual de um advogado ou da Defensoria Pública sobre o seu caso.