DPO interno ou terceirizado: como escolher o modelo mais adequado para sua empresa?

O gerente de TI foi indicado como Encarregado em 2021, durante o projeto de adequação à LGPD. Desde então, as solicitações de titulares se acumulam na caixa de e-mail dele, o inventário de dados não foi atualizado e um cliente acaba de enviar um questionário perguntando quem responde pela privacidade na empresa e com que dedicação. A diretoria percebe que precisa reorganizar a função e fica entre duas opções: nomear outra pessoa da casa ou contratar um DPO externo.

A resposta curta é que nenhum dos dois modelos é melhor em todas as situações. O DPO interno tende a funcionar bem quando a empresa tem alguém com tempo, preparo e independência para a função. O terceirizado tende a fazer mais sentido quando falta essa pessoa, quando o volume de demandas é variável ou quando a independência é difícil de garantir internamente. Muitas organizações acabam em um modelo híbrido, com um ponto focal interno e apoio especializado externo.

O que define a escolha são alguns critérios objetivos, apresentados a seguir.

Antes de escolher: o que a empresa precisa do Encarregado

A LGPD exige que o controlador indique um Encarregado (art. 41), e a Resolução CD/ANPD nº 18/2024 detalha como essa função deve ser exercida. A norma permite que o Encarregado seja uma pessoa física ou jurídica, integrante da organização ou externa a ela. Agentes de tratamento de pequeno porte podem ser dispensados da indicação, conforme a Resolução CD/ANPD nº 2/2022, salvo exceções como o tratamento de alto risco, e ainda assim precisam manter um canal de comunicação com os titulares.

Vale separar duas coisas. A designação formal resolve a exigência de ter um nome indicado. A governança de privacidade exige mais do que isso:

• tempo dedicado para atender titulares e acompanhar demandas;
• acesso à alta direção e às áreas que tratam dados;
• autonomia técnica para orientar e questionar decisões;
• apoio de jurídico, TI e segurança da informação;
• registros que mostrem o que foi feito.

A escolha do modelo deve garantir essas condições. A responsabilidade pela conformidade continua sendo da empresa, qualquer que seja o formato adotado.

1. DPO interno: quando o modelo funciona bem

O DPO interno é um profissional da própria empresa, contratado para a função ou designado entre os colaboradores. Sua principal vantagem é conhecer o negócio de perto.

Pontos fortes

• Conhece sistemas, processos, fornecedores e pessoas.
• Percebe mudanças na operação com rapidez.
• Participa do dia a dia das áreas e de projetos desde o início.
• Facilita a construção de uma cultura de privacidade.

Limitações e cuidados

• Quando acumula outra função, costuma ter pouco tempo para a privacidade.
• Pode haver conflito de interesses se ele decidir sobre os mesmos tratamentos que deveria avaliar, como acontece com gestores de TI, marketing ou RH.
• A função fica dependente de uma única pessoa em férias, licenças ou desligamentos.
• Exige investimento contínuo em capacitação.

A Resolução 18/2024 permite o acúmulo de funções, desde que não gere conflito de interesses. Esse é o ponto que mais exige atenção no modelo interno.

2. DPO terceirizado: o que esperar do modelo

No DPO terceirizado, também chamado de DPO as a service, uma consultoria ou um profissional externo assume formalmente a função de Encarregado.

Pontos fortes

• Traz experiência acumulada em diferentes empresas e setores.
• Costuma contar com uma equipe de apoio em direito, segurança e governança.
• A distância das áreas operacionais favorece a independência.
• A continuidade não depende de uma única pessoa.

Limitações e cuidados

• Precisa de tempo e informação para entender o negócio.
• Depende de um ponto focal interno para receber dados atualizados.
• A disponibilidade e os prazos de resposta precisam estar definidos em contrato.
• A qualidade varia muito entre fornecedores.

3. Comparação prática entre os dois modelos

Critério	DPO interno	DPO terceirizado
Conhecimento do negócio	Imediato, pela convivência com as áreas	Construído com integração e ponto focal interno
Especialização	Depende da formação de uma pessoa	Acesso a equipe com experiências variadas
Independência	Exige cuidado com acúmulo de funções	Favorecida pela posição externa, desde que haja acesso às informações
Continuidade	Vulnerável a férias, licenças e saídas	Garantida pela estrutura do fornecedor, conforme contrato
Capacidade de resposta	Rápida para demandas do dia a dia	Definida por prazos acordados
Custo	Salário, encargos e capacitação	Valor do contrato, que varia com escopo e volume
Tende a ser mais adequado quando	Há volume constante, profissional preparado e sem conflito de interesses	Falta estrutura interna, a demanda oscila ou a independência é difícil de garantir

A tabela mostra tendências. Um profissional interno experiente pode ser altamente especializado, e um externo bem integrado pode conhecer o negócio em profundidade. O desenho de cada arranjo pesa mais do que o rótulo.

4. Sinais de que o modelo atual precisa ser revisto

Alguns sintomas indicam que a função de Encarregado não está funcionando:

• solicitações de titulares respondidas fora do prazo ou sem resposta;
• inventário de dados e políticas desatualizados;
• novos projetos lançados sem análise de privacidade;
• incidentes tratados sem procedimento definido;
• ausência de relatórios para a diretoria;
• todo o conhecimento concentrado em uma pessoa.

Quando dois ou três desses sinais aparecem juntos, é hora de reavaliar o modelo.

5. Critérios para decidir

Algumas perguntas ajudam a orientar a escolha:

• Porte e volume: quantos titulares, sistemas e fornecedores envolvem dados pessoais?
• Complexidade e risco: a empresa trata dados sensíveis, de crianças ou em grande escala?
• Maturidade: o programa de privacidade já está estruturado ou ainda está em construção?
• Capacidade interna: existe alguém com tempo, preparo e sem conflito de interesses?
• Recursos: qual orçamento a empresa consegue manter de forma contínua?
• Necessidades específicas: clientes, auditorias ou o setor de atuação exigem um nível maior de especialização?

Empresas com operação complexa e equipe de privacidade estruturada tendem a manter um DPO interno, muitas vezes com apoio externo em temas específicos. Empresas sem essa estrutura costumam encontrar no modelo terceirizado ou híbrido uma alternativa mais viável.

6. Como estruturar a contratação de um DPO externo

Se a escolha for pela terceirização, o contrato precisa deixar claro como a função será exercida:

• Escopo: quais atividades o Encarregado externo assume e quais ficam com a empresa.
• Responsabilidades: quem decide, quem executa e quem aprova cada tipo de medida.
• Ponto focal interno: um profissional que conecta o DPO às áreas e mantém as informações atualizadas.
• Atividades recorrentes: atendimento a titulares, revisão do inventário, análise de novos projetos, treinamentos e apoio em incidentes.
• Indicadores: prazo de resposta aos titulares, incidentes tratados, projetos avaliados e relatórios periódicos à diretoria.

Com esses pontos definidos, o modelo externo passa a funcionar integrado à rotina da empresa.

Qual modelo faz sentido para a sua realidade

A decisão entre DPO interno ou terceirizado depende da forma como a empresa trata dados, da estrutura disponível e do nível de independência que a função exige. O mais importante é que o Encarregado tenha tempo, acesso, autonomia e registros que sustentem o programa de privacidade.

Avalie com os especialistas do Grupo GEP qual modelo de atuação de DPO é mais adequado à estrutura e às necessidades da sua organização.