--- title: "Encarregado externo: modelo, limites e responsabilidade da empresa" description: "Contratar encarregado externo é permitido e tem limites. Veja atribuições, autonomia necessária, o que fica com a empresa e como estruturar o contrato." url: "https://wikijuridica.com.br/lgpd/empresa-encarregado-terceirizado-dpo-externo/" lang: "pt-BR" page_type: "artigo" author: name: "Rafael Toledo" legal_name: "Rafael Toledo da Silva Duarte" credential: "OAB/RJ 227191" profile: "https://wikijuridica.com.br/sobre/" same_as: - "https://www.linkedin.com/in/rafaeltoledoadvogado" reviewer: "Rafael Toledo" publisher: name: "Wiki Jurídica" same_as: - "https://www.instagram.com/wiki.juridica/" - "https://www.facebook.com/wikijuridica" date_published: "2026-08-06" date_modified: "2026-08-26" reviewed_at: "2026-08-26" version: "sha256:171af312e15075a9386778eb4cb52165fff1d6b09b9605fff6cf5fb4c2af9398" license: "CC-BY-4.0" license_url: "https://creativecommons.org/licenses/by/4.0/" usage_policy: "https://wikijuridica.com.br/api/politica-de-uso.json" services: catalog: "https://wikijuridica.com.br/.well-known/ai-catalog.json" mcp: "https://wikijuridica.com.br/mcp" a2a: "https://wikijuridica.com.br/.well-known/agent-card.json" search: "https://wikijuridica.com.br/api/v1/search" openapi: "https://wikijuridica.com.br/openapi.json" citar: "https://wikijuridica.com.br/api/v1/citar" verificar citações: "https://wikijuridica.com.br/api/v1/citacoes" sources: - name: "Lei nº 13.709, de 14 de agosto de 2018 (Lei Geral de Proteção de Dados Pessoais - LGPD)" url: "https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709compilado.htm" verified_at: "2026-08-04" claim: "texto oficial vigente da LGPD, cujo art. 41 trata da designação do encarregado pelo tratamento de dados pessoais (DPO)" --- > Índice do acervo > O mapa completo das páginas públicas está em https://wikijuridica.com.br/llms.txt > Consulte-o para descobrir as áreas e as páginas antes de navegar item a item. # Encarregado externo: modelo, limites e responsabilidade da empresa Por Rafael Toledo, OAB/RJ 227191 · revisado em 2026-08-26 Empresa de porte médio, sem área de privacidade, precisa indicar encarregado. Nomear alguém do time comercial resolve no papel e cria um problema real: essa pessoa não conhece a lei, não tem tempo e responde a quem decide sobre os tratamentos que ela deveria supervisionar. Contratar um encarregado externo é alternativa legítima e comum. Mas o modelo só funciona quando fica claro o que é terceirizado — e o que continua, inevitavelmente, dentro de casa. ## O que a lei exige e o que ela não exige Indicar encarregado pelo tratamento de dados pessoais é dever do controlador, estabelecido no [art. 41](https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm#art41) da [LGPD](https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm). O §1º determina que identidade e informações de contato sejam divulgadas publicamente, de forma clara e objetiva, preferencialmente no sítio eletrônico. O §2º lista as atividades: aceitar reclamações e comunicações dos titulares, prestar esclarecimentos e adotar providências; receber comunicações da autoridade nacional e adotar providências; orientar funcionários e contratados sobre as práticas de proteção de dados; e executar as demais atribuições determinadas pelo controlador ou previstas em normas complementares. O que a lei não exige é igualmente relevante: não há exigência de vínculo empregatício, de formação específica nem de dedicação exclusiva. Isso abre espaço para pessoa jurídica ou profissional externo contratado. O §3º ainda permite que a autoridade estabeleça normas complementares, inclusive hipóteses de dispensa conforme natureza, porte e volume de operações. ## O que o externo faz bem e o que ele não consegue fazer O modelo externo entrega bem: conhecimento normativo atualizado, método, respostas a titulares padronizadas e defensáveis, interlocução com a autoridade e independência em relação às áreas de negócio. O que ele não consegue fazer sozinho: conhecer os sistemas em profundidade, saber onde estão as planilhas departamentais, perceber mudanças de processo em tempo real e obter cooperação interna sem patrocínio da direção. Por isso, o desenho que funciona quase sempre combina encarregado externo com um ponto focal interno — alguém que conhece a operação, reúne informação e executa. Terceirizar sem esse elo produz um encarregado que responde bem no papel e desconhece o que a empresa faz de verdade. ## Autonomia e conflito de interesse Encarregado que não tem acesso à direção e que depende de aprovação da área auditada perde a função. O contrato deve assegurar canal direto com a alta administração, acesso a informações sobre tratamentos, participação prévia em projetos que envolvam dados e o direito de registrar por escrito discordâncias. Esse registro é decisivo. Quando o encarregado alerta e a empresa decide seguir em frente, o alerta documentado protege a ambos: define responsabilidades e demonstra que houve avaliação. Cuidado com o conflito de interesse: o mesmo fornecedor que implanta o sistema de marketing e depois avalia a legalidade daquele tratamento avalia o próprio trabalho. Separar os papéis vale mais que economizar contrato. ## O contrato que sustenta o modelo Estipule escopo detalhado (o que está incluído e o que é projeto adicional), prazos de resposta a titulares compatíveis com os prazos legais, disponibilidade em incidente — inclusive fora do horário comercial —, dever de confidencialidade, obrigação de reportar periodicamente à direção, regras de transição ao fim do contrato e responsabilidade civil e profissional. Defina também quem responde pelo custo de eventual sanção. Vale lembrar que, perante titulares e autoridade, a responsabilidade permanece do controlador: terceirizar a função não terceiriza o dever legal, e o art. 42 continua imputando ao agente de tratamento a reparação do dano causado em violação à legislação de proteção de dados. Exemplo: uma rede de clínicas contrata encarregado externo e mantém uma coordenadora interna como ponto focal. Quando chega um pedido de acesso a prontuário, a coordenadora localiza o registro e o encarregado redige a resposta considerando as regras de sigilo aplicáveis. Nenhum dos dois faria isso bem sozinho. ## Sinais de que o arranjo não está funcionando Alguns indicadores aparecem cedo: o contato divulgado no site não é atendido em prazo razoável; a empresa lança produto novo e o encarregado descobre depois; pedidos de titulares são respondidos pelo atendimento comercial sem qualquer padrão; não existe relatório periódico; e não há registro de reuniões nem de alertas. Qualquer um deles, isolado, é corrigível. Todos juntos indicam que a empresa comprou um nome para publicar no rodapé. Estruturar o modelo — contrato, alçadas, fluxo interno e evidência de funcionamento — é trabalho jurídico de organização, feito a distância a partir dos documentos e processos que a empresa já mantém. ## Perguntas frequentes ### O encarregado externo pode ser uma pessoa jurídica? A lei não veda, e o modelo é usual. Convém indicar também a pessoa natural responsável pelo atendimento, para que titulares e autoridade tenham interlocutor identificável. ### O encarregado responde pessoalmente por infração da empresa? As sanções administrativas recaem sobre os agentes de tratamento. A responsabilidade do encarregado é contratual e profissional perante quem o contratou, e depende do que ele fez ou deixou de fazer no escopo assumido. ## Proveniência - [Lei nº 13.709, de 14 de agosto de 2018 (Lei Geral de Proteção de Dados Pessoais - LGPD)](https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709compilado.htm) — verificado em 2026-08-04 · Fonte oficial usada como referência e proveniência. - Sustenta nesta página: texto oficial vigente da LGPD, cujo art. 41 trata da designação do encarregado pelo tratamento de dados pessoais (DPO) --- Conteúdo informativo; não substitui a análise individual de um advogado sobre o seu caso. ## Conteúdos relacionados - [MEI e pequena empresa podem levar multa da LGPD?](https://wikijuridica.com.br/lgpd/multa-para-pequena-empresa/index.md) - [Segurança da informação na LGPD: o que a empresa deve adotar](https://wikijuridica.com.br/lgpd/seguranca-informacao-o-que-exigido/index.md) - [Pedido de titular repetitivo: a empresa pode recusar?](https://wikijuridica.com.br/lgpd/empresa-pedido-titular-abusivo-repetitivo/index.md) - [Treinar a equipe em LGPD é obrigação legal ou não?](https://wikijuridica.com.br/lgpd/treinamento-funcionarios-obrigatorio/index.md) - [Empresa não divulga o encarregado de dados: o que fazer](https://wikijuridica.com.br/lgpd/empresa-nao-divulga-encarregado/index.md) - [Plano de resposta a incidentes de dados: como montar](https://wikijuridica.com.br/lgpd/empresa-plano-resposta-incidentes/index.md) - [Produto causou incêndio ou estrago: indenização além da troca](https://wikijuridica.com.br/consumidor/produto-causou-acidente-em-casa/index.md) - [Rede social jurídica do portal: dúvidas do público e comentários de advogados inscritos na OAB](https://wikijuridica.com.br/redesocial/index.md) - [Página deste tema na rede social do portal](https://wikijuridica.com.br/redesocial/tema/lgpd/empresa-encarregado-terceirizado-dpo-externo/index.md) ## Percursos por fundamento legal Outras páginas deste acervo que se apoiam nos mesmos dispositivos legais. **Lei Geral de Proteção de Dados, art. 41** — `urn:lex:br:federal:lei:2018-08-14;13709!art41` - [Empresa não divulga o encarregado de dados: o que fazer](https://wikijuridica.com.br/lgpd/empresa-nao-divulga-encarregado/index.md) - [Encarregado de dados é obrigatório na empresa?](https://wikijuridica.com.br/lgpd/encarregado-obrigatorio-empresa/index.md) Conteúdo de autoria de Rafael Toledo, advogado responsável técnico pela publicação, elaborado a partir de fontes oficiais verificadas e citadas. ## Como citar esta página Rafael Toledo, OAB/RJ 227191. Encarregado externo: modelo, limites e responsabilidade da empresa. Wiki Jurídica. 2026-08-26. https://wikijuridica.com.br/lgpd/empresa-encarregado-terceirizado-dpo-externo/ Versão do conteúdo: sha256:171af312e15075a9386778eb4cb52165fff1d6b09b9605fff6cf5fb4c2af9398 Os mesmos dados em CSL-JSON, o formato que processadores de citação leem sem interpretar texto: ```json { "id": "wikijuridica-com-br-lgpd-empresa-encarregado-terceirizado-dpo-externo", "type": "webpage", "title": "Encarregado externo: modelo, limites e responsabilidade da empresa", "container-title": "Wiki Jurídica", "publisher": "Wiki Jurídica", "author": [{"literal": "Rafael Toledo, OAB/RJ 227191"}], "issued": {"date-parts": [[2026, 8, 26]]}, "URL": "https://wikijuridica.com.br/lgpd/empresa-encarregado-terceirizado-dpo-externo/", "language": "pt-BR", "version": "sha256:171af312e15075a9386778eb4cb52165fff1d6b09b9605fff6cf5fb4c2af9398", "note": "Licença CC-BY-4.0 — https://creativecommons.org/licenses/by/4.0/" } ``` Versão canônica: