A reunião com o jurídico terminou com uma pergunta que ficou no ar: “a gente precisa mesmo de um DPO?”. Em dezembro de 2024, a ANPD respondeu por você, fiscalizando 20 empresas de grande porte por não ter encarregado nomeado ou canal funcional para os titulares de dados. A resposta é sim. A pergunta que mais ouço de gestores nessa situação é se DPO terceirizado vale a pena ou se é melhor internalizar.
São modelos com custos, riscos e lógicas operacionais muito diferentes. A diferença entre eles pode chegar a seis dígitos por ano. Este artigo dá os critérios para você decidir, sem depender de proposta de fornecedor para entender o que faz sentido para o seu negócio.
Pontos principais
- Em 13/12/2024, a ANPD notificou 20 grandes empresas (TikTok, Uber, Vivo, Telegram, Dell, Serasa, entre outras) por falta de DPO ou canal de comunicação eficaz — multa de até R$ 50 milhões por infração (LGPD, art. 52).
- Nos termos do art. 41 da LGPD, todo controlador de dados pessoais deve indicar um encarregado, sem exceção de porte ou setor.
- DPO interno custa entre R$ 96.000 e R$ 240.000 por ano para empresas médias (Together Privacy, dez/2025); um perfil sênior dedicado, calculado a partir do salário de referência da Vagas.com (fev/2025), pode chegar a R$ 400.000-425.000/ano.
- DPOaaS (terceirizado) custa entre R$ 2.500 e R$ 15.000 por mês — R$ 30.000 a R$ 180.000/ano — com redução de 50% a 70% frente ao DPO interno (Lirolla e Datacom Soluções, jan/2026).
- A Resolução CD/ANPD nº 18/2024 permite DPO pessoa jurídica (art. 5º), mas a responsabilidade pela conformidade continua sendo da empresa contratante.
13 de dezembro de 2024: a ANPD mostrou que não é conversa teórica
Em 13 de dezembro de 2024, a Autoridade Nacional de Proteção de Dados publicou a instauração de processo de fiscalização contra 20 empresas de grande porte. O motivo: ausência de Encarregado pelo tratamento de dados pessoais indicado nos termos do art. 41 da LGPD, ou canal de comunicação com titulares que funcionasse de fato.
As empresas notificadas em 13/12/2024
ByteDance (TikTok), Telegram, Tinder, Uber, Vivo, X (antigo Twitter), Dell, Latam, Serasa, entre outras – 20 ao todo, dos setores de tecnologia, telefonia, transporte, varejo e serviços financeiros.
“A ausência de um Encarregado ou de canal de comunicação eficaz impede que os titulares de dados exerçam seus direitos”, declarou Camila Falchetto Romero, Chefe da Divisão de Monitoramento da ANPD.
As sanções previstas no art. 52 da LGPD incluem multa simples de até 2% do faturamento, com limite de R$ 50 milhões por infração, advertência e publicização da infração. Dependendo do setor, essa exposição pública pesa mais do que a multa financeira.
Em maio de 2026, todas as 20 empresas notificadas em dezembro de 2024 ajustaram suas condutas, segundo cobertura da Macher Tecnologia (fevereiro de 2026). A ANPD ainda não aplicou multa por essa infração específica, tendo privilegiado notificação e adequação. Mas o sinal foi inequívoco: monitoramento ativo, lista pública e processo formal.
O sinal não é isolado. A Resolução CD/ANPD nº 23/2024 fixou as diretrizes da autoridade para 2025 e colocou a garantia de direitos dos titulares de dados no centro do Mapa de Temas Prioritários 2024-2025 da ANPD. Na prática, o canal de comunicação que o encarregado opera é o principal mecanismo pelo qual esse direito se exerce e foi exatamente isso que a fiscalização de dezembro de 2024 cobrou.
Este artigo cobre o que vem depois: quem realmente é obrigado, o que a ANPD espera de um DPO de verdade, os custos e armadilhas de cada modelo e a matriz de decisão em 4 perguntas para você definir o caminho.
Quem é obrigado a ter DPO (e quem ainda finge que não é)
Nos termos do art. 5º, inciso VIII, da LGPD, o encarregado de dados (DPO) é a pessoa indicada pelo controlador para atuar como canal de comunicação entre o controlador, os titulares dos dados e a ANPD. O art. 41 vai além da definição: todo controlador deve indicar encarregado de dados pelo tratamento de dados pessoais. A lei não faz ressalva de porte, faturamento ou setor. A obrigação se aplica a qualquer empresa que trate dados pessoais como controladora. A Resolução CD/ANPD 18/2024 confirmou essa leitura. Para entender o conjunto completo de obrigações da lei, veja o guia operacional de LGPD.
A exceção existe, mas é mais estreita do que parece
A Resolução CD/ANPD 02/2022 criou regime simplificado para Agentes de Tratamento de Pequeno Porte: microempresas, EPP (Lei Complementar 123/2006), startups (Lei Complementar 182/2021) e pessoas jurídicas de direito privado sem fins lucrativos. Nesse regime, a nomeação formal de encarregado pode ser dispensada, desde que a empresa não realize tratamento de alto risco.
O problema está na definição de alto risco. Ela inclui: tratamento em larga escala, dados sensíveis, dados de crianças ou adolescentes e uso de tecnologias emergentes com impacto a direitos fundamentais. Na prática, a maioria das PMEs que opera com e-commerce, gerencia funcionários CLT ou usa CRM e ferramentas de marketing SaaS não se enquadra em baixo risco. A dispensa formal é exceção, não regra.
Os três perfis que ignoram a obrigação
Empresas tradicionais médias que não percebem que tratam dados pessoais: clínica médica, escola particular, escritório de contabilidade, imobiliária. Elas tratam, controlam e a obrigação se aplica.
Empresas digitais que terceirizam tudo para SaaS e acreditam que o tratamento é problema do fornecedor. Não é. Quem coleta dados do cliente é controladora, independentemente de qual plataforma usa.
Empresas grandes que nomearam DPO de forma informal, com e-mail genérico do jurídico, sem publicação no site e sem canal funcional. A ANPD verificou exatamente isso em dezembro de 2024.
O que a fiscalização de dezembro de 2024 ensinou
Primeiro: nomeação interna não basta. Identidade e contato do encarregado precisam ser divulgados publicamente, em local de destaque e fácil acesso no site (art. 9º da Resolução 18/2024).
Segundo: canal genérico não basta. O canal precisa atender os titulares efetivamente, dentro de prazo razoável.
Terceiro: a ANPD monitora ativamente. O processo de dezembro de 2024 não foi uma reclamação de titular. Foi resultado de um Ciclo de Monitoramento da própria autoridade.
O que a ANPD espera do DPO de verdade
Empresa que pensa em DPO como caixa de e-mail para reclamações está descumprindo o regulamento. O art. 41 da LGPD lista as atribuições mínimas. A Resolução CD/ANPD 18/2024 expandiu para um conjunto operacional mais completo. São 7 atribuições que o encarregado precisa exercer de verdade.
- Aceitar reclamações e comunicações dos titulares e adotar providências cabíveis (art. 41, II, a).
- Receber comunicações da ANPD e adotar providências (art. 41, II, b).
- Orientar funcionários e contratados sobre práticas de proteção de dados (art. 41, II, c).
- Registrar e comunicar incidentes de segurança, nos termos do art. 48 da LGPD.
- Apoiar o registro das operações de tratamento e a elaboração do Relatório de Impacto à Proteção de Dados Pessoais (RIPD).
- Implementar mecanismos internos de supervisão e mitigação de riscos de privacidade.
- Apoiar o desenvolvimento de produtos e serviços com privacidade embutida desde o projeto e por padrão.
Quando a empresa também usa IA em processos internos, o DPO frequentemente precisa estar alinhado à governança de IA, especialmente onde há decisão automatizada. Isso impacta diretamente como montar auditoria interna de sistemas de IA.
O PL 2338/2023, que tramita no Congresso Nacional como marco regulatório da inteligência artificial no Brasil, segue lógica semelhante de governança baseada em risco. Empresas que já têm um encarregado em operação real largam na frente quando essa regulação entrar em vigor: o canal de comunicação com titulares, o registro de operações de tratamento e a cultura de avaliação de impacto já existem — falta estender esse processo para sistemas de IA. Entenda o que muda com o marco regulatório da IA no Brasil.
O perfil que o regulamento exige
- Competência técnica e jurídica. O art. 14 não exige certificação específica, mas exige conhecimento real sobre legislação de dados, segurança da informação e o modelo de negócio da organização.
- Comunicação em português. O encarregado precisa se comunicar com clareza com titulares e com a ANPD em português. DPO global sem representante local que atenda esse requisito não está em conformidade.
- Ausência de conflito de interesse. O art. 20 da Resolução 18/2024 é explícito: CMO, CIO que decide implementações e diretor comercial têm conflito potencial. Compliance, jurídico ou função dedicada são os perfis típicos sem conflito.
- Disponibilidade efetiva. O acúmulo de função é permitido (art. 19), mas nomear alguém sobrecarregado que não terá tempo real para a função é a armadilha mais comum, e a que a fiscalização mais busca.
A obrigação de publicação é inegociável. O art. 9º da Resolução 18/2024 determina que identidade e contato do encarregado estejam no site da empresa, em local de destaque e fácil acesso. Quando o DPO é pessoa jurídica, é necessário indicar também o nome da pessoa natural responsável.
DPO interno: vantagens, custos reais e armadilhas
As vantagens reais
Conhecimento profundo do negócio. DPO interno entende cultura, fornecedores, processos e decisões históricas. Quando um tratamento precisa ser ajustado, a solução proposta funciona porque respeita a realidade operacional da empresa.
Disponibilidade durante o expediente. Incidente às 17h, decisão antes das 18h: DPO interno está lá. DPOaaS em plantão pode demorar mais, especialmente fora do horário comercial.
Integração com governança corporativa. Comitê de risco, auditoria interna, reuniões de conselho. DPO interno participa nativamente, sem logística de acionamento externo.
Os custos reais
O salário médio de um encarregado de dados qualificado chegou a R$ 19.689 por mês, segundo levantamento da Vagas.com de fevereiro de 2025 valor de referência para um perfil sênior dedicado, antes dos encargos.
Encargos CLT no Brasil somam tipicamente entre 70% e 80% sobre o salário-base: INSS patronal, FGTS, férias, 13º, PIS, vale-transporte e vale-refeição. Aplicando esse percentual ao salário da Vagas.com, o custo mensal de um DPO sênior dedicado fica entre R$ 33.500 e R$ 35.400 , entre R$ 400.000 e R$ 425.000 por ano, faixa que se aproxima do Cenário C descrito mais adiante, típico de empresas grandes ou multinacionais.
Para a maioria das médias empresas, o perfil contratado é menos sênior ou atua em regime de acúmulo parcial. Nesse cenário, o custo total mensal — já incluindo encargos fica entre R$ 8.000 e R$ 20.000, segundo análise da Together Privacy de dezembro de 2025. Isso representa R$ 96.000 a R$ 240.000 por ano, antes de capacitação e é essa segunda faixa que serve de referência na matriz de decisão da seção final.
Certificações reconhecidas (EXIN, IAPP, DPO Brasil) custam de R$ 3.000 a R$ 15.000 por curso. Atualização contínua adiciona R$ 5.000 a R$ 15.000 anuais. Em um campo que muda a cada semestre, isso não é opcional.
O que eu observo com frequência é que esse custo surpreende o gestor não pelo valor em si, mas por aparecer de uma vez no orçamento anual. Com DPOaaS, o mesmo custo fica diluído mensalmente e passa pelas aprovações trimestrais com muito menos atrito. Isso influencia a decisão mais do que deveria, mas é a realidade do processo de aprovação na maioria das médias empresas.
As armadilhas mais comuns
Nomeação por acúmulo sem capacidade real. “O gerente jurídico vai acumular a função de DPO”, sem redução de outras responsabilidades. Resultado: DPO formal, operação zero. Risco regulatório alto, proteção real nenhuma.
Conflito de interesse ignorado. CMO como DPO, CIO que decide implementações como DPO, head de produto como DPO: todos têm conflito potencial com o art. 20 da Resolução 18/2024. Não é detalhe. É o tipo de estrutura que a ANPD questiona diretamente.
Dependência de uma pessoa só. DPO interno que sai ou tira licença prolongada deixa a empresa sem encarregado. O art. 4º da Resolução 18/2024 exige indicação de substituto, mas isso é frequentemente ignorado na prática.
Capacitação fora do orçamento. Sem investimento em atualização, o DPO interno fica defasado em dois anos. O custo de não atualizar é o compliance que deixa de funcionar.
DPO terceirizado (DPOaaS): vantagens, custos reais e armadilhas
O que é DPOaaS e se é permitido
DPO as a Service é a contratação, por contrato B2B, de pessoa jurídica especializada para exercer a função de encarregado. O art. 5º da Resolução CD/ANPD 18/2024 expressamente permite, desde que a empresa indique também o nome da pessoa natural responsável dentro dessa pessoa jurídica. Não é brecha: é opção regulamentada. Análises recentes da Confidata e da DPOnet (2025-2026) confirmam essa leitura: o mercado de DPOaaS no Brasil amadureceu junto com a regulamentação, e a contratação de pessoa jurídica deixou de ser modelo alternativo para se tornar opção corrente entre médias empresas.
As vantagens reais
Custo significativamente menor. Análises de mercado em 2025 e 2026 estimam redução de 50% a 70% em relação ao DPO interno qualificado. A faixa de mercado típica vai de R$ 2.500 a R$ 15.000 mensais, conforme escopo e porte da empresa.
Equipe multidisciplinar pelo custo de um profissional. Em vez de uma pessoa, contrata-se uma estrutura: advogado especialista em LGPD, profissional de segurança da informação e suporte de atendimento a titulares. Cobertura mais ampla, custo proporcional menor.
Atualização contínua incluída no contrato. Empresas de DPOaaS acompanham resoluções da ANPD, decisões e casos públicos como parte do serviço. O custo de atualização não é despesa adicional da contratante.
Independência estrutural. O DPOaaS não responde ao CMO, ao CIO, ao diretor comercial. O conflito de interesse estrutural, um dos pontos mais fiscalizados pela ANPD, é menor por design.
Os custos reais
A faixa típica de mercado em 2026 vai de R$ 2.500 a R$ 15.000 mensais. Um parâmetro mais granular: custo horário médio de cerca de R$ 390 em planos para PMEs, equivalente a 40 horas mensais de dedicação (Lirolla, janeiro de 2026; Datacom Soluções, janeiro de 2026) em contratos de maior dedicação, esse cálculo pode ultrapassar ligeiramente o teto de R$ 15.000 mensais citado acima.
Um ponto que gera confusão na negociação: DPOaaS é OPEX, ou seja, despesa operacional recorrente. Implementação inicial de adequação à LGPD é frequentemente CAPEX separado, contratado da mesma consultoria mas em projeto distinto. Manter essas linhas separadas facilita a aprovação orçamentária. Segundo a The Big Insights (dezembro de 2025), essa distinção é o ponto que mais gera conflito na hora de contratar.
As armadilhas mais comuns
Contratar sem ponto de contato interno. Mesmo terceirizado, alguém na empresa precisa operacionalizar o que o encarregado recomenda. Sem esse elo interno, o serviço vira relatório que ninguém aplica.
O que eu vejo com mais frequência é a empresa contratar DPOaaS barato e descobrir, meses depois, que tem um documento de conformidade chegando todo mês, mas nenhum processo realmente implementado. A pergunta certa a fazer ao fornecedor não é o preço: é quem vai atender a sua empresa se chegar uma intimação da ANPD às 16h30 de uma sexta-feira.
DPO genérico sem personalização. Há DPOaaS com um profissional atendendo dezenas de clientes com dedicação mínima. Peça referências e conheça quem vai exercer a função no dia a dia, antes de assinar.
Cobertura idiomática insuficiente. A Resolução 18/2024 exige comunicação em português com titulares e com a ANPD (art. 14). Consultoria global com DPO sem fluência em português não atende o regulamento.
Saída sem cláusula de portabilidade. Quando a empresa decide trocar de DPOaaS, histórico de incidentes, registros de tratamento e comunicações com a ANPD precisam ser transferidos. Sem cláusula de portabilidade no contrato, essa transição pode ser muito difícil. O mesmo princípio se aplica às cláusulas contratuais com fornecedor de IA.
Como decidir: se DPO terceirizado vale a pena para a sua empresa
A decisão entre DPO interno e DPOaaS não é preferência. É função de quatro variáveis operacionais. Responda honestamente antes de abrir qualquer proposta.
| Pergunta | Favorece DPO interno | Favorece DPOaaS |
|---|---|---|
| Volume e complexidade do tratamento | Alto volume, dados sensíveis em escala, decisões automatizadas, operações internacionais | Volume moderado, tratamento dentro de padrões setoriais, sem decisão automatizada crítica |
| Maturidade do compliance interno | Comitê de privacidade ativo, jurídico estruturado, área de segurança da informação madura | Compliance ainda em estruturação, equipe enxuta, sem área dedicada |
| Orçamento sustentável para 24 a 36 meses | R$ 200.000 ou mais por ano disponível com folga | Entre R$ 30.000 e R$ 150.000 por ano, com necessidade de previsibilidade |
| Setor regulado com fiscalização específica | Banco ou seguradora (Bacen), saúde (ANS), telecom (Anatel), listada com escrutínio CVM | Setor sem fiscalização adicional além da ANPD |
Os três cenários típicos em 2026
Cenário A: PME com tratamento padrão (vendas, marketing, RH). DPOaaS é a resposta operacional. Custo estimado de R$ 30.000 a R$ 80.000 por ano. Nomeação efetiva e publicação no site em 30 a 60 dias. Cobertura LGPD completa.
Cenário B: empresa média em setor regulado (saúde, finanças, telecom) ou com dados sensíveis em escala. Modelo híbrido costuma ser a escolha mais eficiente: DPO interno em acúmulo com compliance, com DPOaaS como apoio especializado para casos complexos e atualização técnica. Custo combinado estimado entre R$ 100.000 e R$ 200.000 por ano.
Cenário C: empresa grande, listada ou multinacional. DPO interno em função dedicada, possivelmente com analista de privacidade e suporte jurídico. Custo estimado entre R$ 250.000 e R$ 600.000 por ano, podendo ser complementado com consultoria especializada em projetos pontuais.
0 100 200 300 400 500 600 R$ mil por ano Cenário A · PME R$ 30k – R$ 80k Cenário B · híbrido R$ 100k – R$ 200k Cenário C · grande R$ 250k – R$ 600k Os três cenários de custo anual de DPO em 2026, conforme porte e setor. Cenário A: PME com tratamento padrão (DPOaaS). Cenário B: empresa média em setor regulado (modelo híbrido). Cenário C: empresa grande, listada ou multinacional (DPO interno dedicado). Estimativas Mabex com base em Together Privacy, Lirolla e Datacom Soluções (2025-2026).
Depois de acompanhar esse movimento desde que a LGPD entrou em vigor, posso dizer que a maioria das PMEs se encaixa no Cenário A e fica parada por acreditar que precisa de algo mais sofisticado do que realmente precisa. O Cenário A não é solução provisória: para o porte e volume de dados típicos de uma PME, é a estrutura adequada.
Quatro sinais de que sua empresa está pronta para decidir
- Mapeamento parcial dos processos de tratamento de dados, mesmo que rascunhado.
- Estimativa do volume mensal de solicitações de titulares, mesmo que a estimativa atual seja zero.
- Orçamento aprovado para 12 meses, não “em aprovação”.
- Patrocínio executivo claro: um C-level que responde pela existência e operação do DPO.
Sem esses quatro elementos, a escolha certa no modelo errado de maturidade vai resultar em remediação cara em 18 a 24 meses.
A responsabilidade é da empresa, independente do modelo escolhido
O ponto central da Resolução CD/ANPD 18/2024 é este: o agente de tratamento, ou seja, a empresa, é o único responsável pela conformidade perante a ANPD. Terceirizar o DPO não terceiriza a responsabilidade. Internalizar sem capacidade real também não isenta. O modelo é meio, não fim.
O caminho operacional a partir daqui tem cinco passos.
Primeiro: verificar se a empresa é controladora obrigada. Na quase totalidade dos casos, é.
Segundo: responder honestamente às 4 perguntas da matriz acima.
Terceiro: qualificar 2 ou 3 candidatos no modelo escolhido. Entrevista de profundidade para DPO interno; portfólio e checagem de referências para DPOaaS.
Quarto: formalizar a nomeação e publicar identidade e contato do encarregado no site, conforme o art. 9º da Resolução CD/ANPD 18/2024.
Quinto: operar. Incidente, RIPD e comunicação com a ANPD não esperam o DPO ficar pronto. Saiba o que fazer quando a ANPD bate na porta antes de precisar descobrir na prática.
Empresa que tem DPO em 2026 não está adiantada: está no mínimo necessário. Empresa que ainda não tem está no terço final de tolerância regulatória. O próximo ciclo de fiscalização da ANPD provavelmente alcança porte médio, não só grande. E a multa de R$ 50 milhões por infração prevista no art. 52 da LGPD deixou de ser hipótese teórica em dezembro de 2024.
No fim, o DPO não existe para proteger a empresa da ANPD — existe para que uma pessoa real consiga saber o que uma empresa sabe sobre ela, corrigir um dado errado ou pedir a exclusão de um cadastro. A multa é a consequência de não ter esse canal funcionando. O direito é o motivo de ele precisar existir.
