Apenas 27% dos encarregados de dados no Brasil atuam exclusivamente na função. Quase metade acumula responsabilidades em áreas como jurídico ou compliance, 22% trabalham completamente sozinhos e 69% contam com equipes de no máximo cinco pessoas — um número que contrasta com a média internacional de 26 a 31 profissionais dedicados a privacidade por organização.
Os dados são da pesquisa Perfil do DPO no Brasil, realizada pela Rede Líderes em parceria com o escritório Opice Blum com mais de 200 profissionais. O retrato é de um cargo legalmente central, mas operacionalmente esvaziado. Enquanto a LGPD atribui ao encarregado a função de guardião da privacidade e a Resolução CD/ANPD nº 18/2024 expandiu significativamente suas atribuições, as empresas continuam tratando a nomeação como formalidade. O resultado é previsível: quando a ANPD abriu processos de fiscalização contra 20 empresas de grande porte por ausência de encarregado ou canal de comunicação funcional, a lista incluía organizações de tecnologia, telecomunicações, varejo e transporte aéreo — todas com milhões de clientes no Brasil.
O DPO encarregado de dados LGPD na prática: um cargo sem estrutura
A pesquisa do Grupo DARYUS, conduzida com 200 profissionais de 16 setores e 27 estados, constatou que 80% das empresas não estavam plenamente adequadas à LGPD. A pesquisa IAPP-EY identificou que 26% das organizações sequer possuíam um DPO, apesar da obrigação legal. E dados recentes mostram que apenas 12% das empresas brasileiras atingiram o nível mais avançado de maturidade em proteção de dados, com 42% em nível médio. Na base da pirâmide, entre pequenos empreendedores, 77% não tomaram qualquer medida concreta de adequação, embora 80% já tenham ouvido falar da lei.
O posicionamento hierárquico do encarregado varia significativamente: 44,95% das áreas de privacidade reportam diretamente à presidência, 10,61% à TI, 7,07% ao jurídico e 6,06% à segurança da informação. Como a LGPD não exige formação específica, os backgrounds mais comuns são direito, TI e compliance — refletindo as disputas internas por quem herda o cargo. A remuneração acompanha essa ambiguidade: dados formais do CAGED apontam média de R$ 8.019 por mês, enquanto a pesquisa da Rede Líderes mostra que 69% dos DPOs ganham acima de R$ 10.000 mensais, chegando a R$ 20.000 ou mais em posições seniores. Um dado preocupante é a queda de 25% nas contratações formais de encarregados no último ano, com apenas 198 profissionais registrados no período — o que indica migração para modelos de consultoria PJ e terceirização.
O investimento corporativo reforça o problema: mais de 70% das empresas brasileiras com mais de 1.000 funcionários investem menos de R$ 600.000 por ano em privacidade. A IAPP estima que o Brasil precisaria de mais de 50.000 posições de DPO para suprir a demanda. Há um descompasso evidente entre o que a regulamentação exige e o que as organizações estão dispostas a investir.
Conflito de interesses: quando o DPO encarregado de dados fiscaliza a si mesmo
A Resolução CD/ANPD nº 18/2024 trouxe pela primeira vez uma regulamentação detalhada sobre conflito de interesses. O conceito adotado é amplo: qualquer situação que possa comprometer a objetividade e o julgamento técnico do encarregado. A regra permite acúmulo de funções, desde que não haja conflito — em particular, quando o DPO acumula atividades que envolvam tomada de decisões estratégicas sobre tratamento de dados. O Guia Orientativo da ANPD é direto sobre quais posições são problemáticas: cargos de chefia, gerência ou direção responsáveis pela determinação de meios e objetivos do tratamento, como os setores de recursos humanos, TI, finanças ou saúde. Na prática, diretor de TI, CFO, diretor jurídico e qualquer executivo com poder decisório sobre tratamento de dados não deveria acumular a função.
E no entanto, é exatamente isso que acontece na maioria das empresas. Os próprios DPOs reportam como maiores desafios a falta de equipe, a falta de orçamento dedicado, o acúmulo de funções e a cultura organizacional não colaborativa. A pesquisa nacional de proteção de dados identificou como barreiras centrais à efetividade dos programas de privacidade a baixa prioridade do tema na estratégia organizacional e o baixo engajamento da alta gestão. Esse cenário configura o que especialistas descrevem como compliance de fachada: o encarregado existe no site, mas não tem autonomia, recursos nem acesso real à liderança para exercer a função.
O que a Europa já ensina sobre conflito de interesses
A experiência europeia antecipa o que o Brasil pode esperar à medida que a fiscalização amadurecer. A autoridade de proteção de dados de Berlim aplicou multa de €525.000 contra um grupo de e-commerce cujo encarregado era simultaneamente diretor-gerente de duas subsidiárias que processavam dados em nome do grupo — a maior sanção já registrada especificamente por conflito de interesses do DPO. Na Bélgica, um banco pagou €75.000 porque seu encarregado chefiava simultaneamente as áreas de gestão de risco operacional e investigação especial. Outra empresa de telecomunicações foi multada em €50.000 ao se descobrir que seu DPO acumulava a posição de Diretor de Auditoria, Risco e Compliance.
O Tribunal de Justiça da UE consolidou o entendimento ao decidir que o conflito existe quando o encarregado é incumbido de tarefas que impliquem determinar os objetivos e métodos do tratamento de dados — avaliação feita caso a caso. As Diretrizes do Grupo de Trabalho do Artigo 29, endossadas pelo EDPB, listam como incompatíveis com a função de DPO os cargos de CEO, COO, CFO, Chief Medical Officer, Diretor de Marketing, Diretor de RH e Diretor de TI. Uma diferença que merece atenção é a proteção contra demissão: o GDPR determina expressamente que o DPO não pode ser penalizado pelo exercício de suas funções. A LGPD e a Resolução 18/2024 são silentes sobre essa proteção, o que deixa os encarregados brasileiros mais vulneráveis a pressões internas.
DPO terceirizado: alternativa viável com riscos próprios
A Resolução 18/2024 confirmou que o encarregado pode ser pessoa natural ou jurídica, interna ou externa, validando juridicamente o modelo de DPO as a Service que já vinha crescendo. A equação financeira favorece a terceirização, especialmente para PMEs: um DPO interno sênior custa entre R$ 27.000 e R$ 36.000 mensais ao empregador (incluindo encargos), enquanto o modelo terceirizado opera na faixa de R$ 2.500 a R$ 6.500 por mês. A economia anual pode ultrapassar R$ 250.000, com acesso a equipe multidisciplinar e independência estrutural que, em tese, reduz o risco de conflito de interesses.
Mas o modelo carrega limitações reais. O DPO externo pode adotar postura reativa, respondendo a incidentes em vez de preveni-los. A distância da operação diária pode gerar recomendações genéricas que não refletem os processos reais de tratamento. Há o risco do compliance padronizado, com políticas de prateleira sem aderência à realidade da organização. O modelo híbrido — com um ponto focal interno apoiado por consultoria externa — tem se mostrado mais eficaz, desde que o DPO externo participe de decisões de produto, conheça a operação e tenha acesso regular às áreas de negócio. A terceirização resolve o problema de custo, mas não substitui o compromisso institucional com a governança de dados.
O perfil que o mercado exige e que poucos têm
A ANPD não exige certificação nem formação específica — cabe ao agente de tratamento definir as qualificações necessárias. Na prática, o mercado criou seus próprios padrões, e o DPO eficaz precisa operar na interseção de pelo menos cinco domínios: direito digital (LGPD, GDPR, regulamentações setoriais), segurança da informação (ISO 27001, gestão de vulnerabilidades, resposta a incidentes), governança e risco (frameworks de gestão, auditoria, controles internos), tecnologia (arquitetura de dados, cloud, SaaS, IA — o suficiente para avaliar operações de tratamento) e comunicação (a capacidade de traduzir conceitos complexos de privacidade para linguagem acessível, atuando como ponte entre jurídico, TI e negócio).
É por isso que o DPO encarregado de dados LGPD não pode ser apenas jurídico nem apenas TI. O profissional puramente jurídico tende a focar em conformidade documental sem compreender os fluxos técnicos. O profissional de TI prioriza controles técnicos sem dominar as nuances legais. A própria ANPD orienta que, no setor público, o encarregado não deve ser lotado em unidades de TI nem exercer função de gestor de sistemas. No ecossistema de certificações, a CDPO/BR da IAPP ocupa a referência no mercado brasileiro, enquanto a EXIN DPO e certificações como ISO 27001 Lead Auditor e CIPT completam o perfil. Mas certificação sem experiência prática não resolve: o que falta são profissionais que consigam influenciar decisões de negócio, e não apenas conhecer a letra da lei.
O que a regulamentação exige na prática
A Resolução 18/2024 estruturou o cargo em cinco pilares. A nomeação deve ser por documento escrito, datado e assinado, com indicação obrigatória de substituto. As responsabilidades foram expandidas para incluir assessoramento em registro e comunicação de incidentes, elaboração de ROPA e RIPD, medidas de segurança, políticas internas, contratos, transferência internacional e produtos com privacy by design.
O agente de tratamento deve fornecer meios humanos, técnicos e administrativos, garantir autonomia técnica sem interferência e assegurar acesso direto às pessoas do mais alto nível hierárquico. A responsabilidade pela conformidade permanece com o controlador, não com o encarregado. Agentes de pequeno porte estão dispensados de nomear DPO desde que mantenham canal de comunicação funcional, exceto quando realizam tratamento de alto risco ou ultrapassam os limites de faturamento estabelecidos.
Da formalidade ao protagonismo
O encarregado de dados no Brasil está em um ponto de inflexão. A regulamentação elevou o cargo, a fiscalização demonstrou que a ausência ou o esvaziamento da função terá consequências, e a jurisprudência europeia — com sanções de até €525.000 por conflito de interesses — antecipa o padrão que pode se consolidar aqui. As lacunas que mantêm o DPO em posição de fragilidade são conhecidas: ausência de proteção contra demissão por exercício da função, falta de exigência de qualificação mínima e fiscalização ainda incipiente sobre conflitos de interesses.
Superar essas lacunas exige empresas que tratem o cargo como investimento estratégico, profissionais que busquem o perfil multidisciplinar que o mercado demanda e uma autoridade que transforme regulamentação em enforcement consistente.