DPO as a Service: o encarregado de dados terceirizado

O pedido chega por e-mail, num sábado, para o endereço que estava no rodapé da política de privacidade: um cliente quer saber quais dados a empresa tem sobre ele e por que o atendimento automático negou o parcelamento pedido. O endereço é de uma pessoa que saiu da empresa em março. Ninguém responde, e a próxima mensagem do cliente vai para a ANPD.

Em geral, a empresa nomeou um encarregado só para cumprir a exigência e nunca deu a ele tempo, acesso ou substituto. É essa lacuna que o DPO as a Service, o encarregado de dados terceirizado, tenta fechar.

Contratar um DPO as a Service resolve a falta de gente e de método. A responsabilidade pelo tratamento continua inteira com a empresa, e o serviço só funciona se o encarregado externo tiver acesso à diretoria e informação para trabalhar.

O que a LGPD e a ANPD exigem do encarregado

O art. 41 da LGPD manda o controlador indicar um encarregado e divulgar publicamente a identidade e o contato dele, de preferência no site. A lei lista quatro atividades: receber reclamações e comunicações dos titulares, receber comunicações da ANPD e tomar providências, orientar funcionários e contratados sobre proteção de dados e executar outras atribuições definidas pelo controlador ou por norma complementar.

A norma complementar veio com a Resolução CD/ANPD nº 18, de 16 de julho de 2024, publicada no Diário Oficial no dia seguinte.

Quem pode ser encarregado

O art. 12 admite pessoa natural, do quadro da empresa ou externa a ela, ou pessoa jurídica, e é essa abertura que sustenta o DPO as a Service. O art. 14 dispensa certificação ou formação específica, e o art. 13 pede comunicação com titular e ANPD em língua portuguesa, detalhe que pesa na escolha de fornecedor estrangeiro.

Formalidade, substituto e publicidade

A indicação precisa ser feita por ato formal, definido no art. 3º como documento escrito, datado e assinado. O art. 4º exige substituto formalmente designado para ausência, impedimento e vacância, e diz que essas situações não podem atrapalhar o atendimento ao titular nem a comunicação com a ANPD. Num DPO as a Service, o substituto costuma ser outro profissional do fornecedor, e o contrato deve nomeá-lo.

Os arts. 8º e 9º pedem identidade e contato atualizados, em local de destaque e de fácil acesso no site.

Conflito de interesse

Pelos arts. 18 a 21, o encarregado pode acumular funções desde que consiga cumprir todas e não haja conflito, e o art. 19 aponta o conflito típico: juntar a função com a tomada de decisão estratégica sobre o tratamento. Isso pesa contra nomear o diretor de TI, o de marketing ou o dono da empresa, que decidem quais dados coletar. A análise é caso a caso, e o conflito pode gerar sanção pelo art. 52 da LGPD.

O que a empresa deve ao encarregado

O art. 10 lista deveres do agente de tratamento que costumam ser esquecidos: prover os meios necessários, pedir orientação ao encarregado nas decisões estratégicas, garantir autonomia técnica, assegurar ao titular meios rápidos e eficazes de exercer direitos e dar acesso direto à alta direção. Se o DPO as a Service só fala com o analista de compras, a empresa não está cumprindo o art. 10.

Agente de pequeno porte

A Resolução CD/ANPD nº 2/2022, art. 11, dispensa o agente de pequeno porte de indicar encarregado, mas exige um canal de comunicação com o titular. A dispensa não vale para quem faz tratamento de alto risco, nem para quem passa dos limites de receita da norma ou integra grupo econômico que passa. Alto risco, pelo art. 4º, combina um critério geral (larga escala ou impacto significativo em direitos) com um específico, e a lista de específicos inclui tecnologia emergente e decisão unicamente automatizada. Uma startup com atendimento por IA em larga escala pode estar fora da dispensa sem perceber. As demais regras para empresas menores estão em LGPD para PMEs.

O que um DPO as a Service entrega

O art. 16 da resolução lista onde o encarregado deve assessorar, de incidente e relatório de impacto a contratos, transferência internacional e privacidade desde a concepção. Um contrato sério de DPO as a Service transforma essa lista em entregáveis:

• Canal com o titular: caixa de entrada monitorada, prazo interno de resposta e fluxo para os direitos do art. 18 (confirmação, acesso, correção, eliminação, portabilidade, informação sobre compartilhamento, revogação de consentimento).
• Interlocução com a ANPD: receber ofício, encaminhar internamente, preparar resposta e indicar quem representa a empresa, como prevê o parágrafo único do art. 15.
• Orientação contínua: parecer sobre projeto novo, contrato com operador e campanha de marketing.
• Inventário de dados (ROPA): o registro das operações exigido pelo art. 37 da LGPD, atualizado a cada projeto novo.
• RIPD: o relatório de impacto do art. 38, que precisa descrever no mínimo os tipos de dados, a metodologia de coleta e de segurança e as medidas de mitigação.
• Treinamento: o "orientar funcionários e contratados" da lei, com registro de quem fez.
• Apoio em incidente: avaliação de risco, minuta da comunicação e registro.

O último item tem prazo curto. A Resolução CD/ANPD nº 15/2024 dá três dias úteis, contados do conhecimento de que o incidente afetou dados pessoais, para comunicar à ANPD e aos titulares quando houver risco ou dano relevante (arts. 6º e 9º). O registro do incidente precisa ser guardado por pelo menos cinco anos (art. 10), e para agente de pequeno porte os prazos contam em dobro. Por isso o DPO externo precisa estar no plano de resposta a incidentes com nome, telefone e papel definido.

O que o serviço não transfere

É aqui que mais vejo contrato de DPO as a Service mal entendido. O art. 11 da Resolução 18 diz que o agente de tratamento é o responsável pela conformidade, e o art. 17 diz que o encarregado não responde perante a ANPD pela conformidade do tratamento feito pelo controlador.

A empresa continua decidindo base legal, finalidade e retenção, e continua respondendo pela sanção. O fornecedor responde pelo serviço que prestou, nos termos do contrato. Se o DPO externo recomendou não usar a base de clientes para treinar um modelo e a empresa usou mesmo assim, a recomendação registrada protege o encarregado.

A segurança da informação também fica fora. O encarregado orienta sobre medidas de segurança; implantar controle e responder a alerta é outra função, explicada em o que é SOC as a Service e, no nível de gestão, em o que é vCISO.

Interno, terceirizado ou comitê

O comitê ajuda a dar contexto e aprovar decisões, mas não tem a identidade publicada nem o substituto designado que a Resolução 18 pede do encarregado.

Minha leitura de quem implanta: o modelo terceirizado funciona melhor em empresa de 100 a 1.000 funcionários, onde o volume não justifica um especialista dedicado e o risco não permite deixar a função com quem já tem outro cargo. Acima disso, o caminho costuma ser um DPO interno com apoio externo para RIPD e incidente. Abaixo, confira primeiro se a dispensa de pequeno porte se aplica.

Atendimento com IA e LGPD

O bot de atendimento conversa com milhares de pessoas, grava as conversas e às vezes decide sozinho. Os pontos abaixo precisam estar cobertos antes de ir para produção.

Base legal e finalidade

Atendimento a cliente costuma se apoiar em execução de contrato ou legítimo interesse. O problema começa no reuso: treinar modelo ou alimentar campanha com as conversas é outra finalidade, que pede base própria e transparência no aviso de privacidade.

Minimização e transcrições

O art. 6º, III, da LGPD pede o mínimo necessário. Num chat, o cliente digita CPF, número de cartão, laudo médico e senha sem ninguém pedir. O projeto precisa de mascaramento na entrada, prazo curto de retenção das transcrições e regra clara sobre o que o fornecedor do modelo pode guardar.

Direitos do titular e decisão automatizada

O cliente pode pedir acesso às próprias conversas, e a empresa precisa conseguir achá-las por titular. O ponto mais sensível é o art. 20 da LGPD: o titular tem direito de pedir revisão de decisão tomada unicamente com base em tratamento automatizado que afete seus interesses, inclusive perfil de consumo e de crédito, e o controlador deve informar os critérios usados quando solicitado. Se o bot nega parcelamento, cancela pedido ou classifica cliente como fraude, é preciso um caminho de revisão e um registro do critério.

O RIPD do projeto

O RIPD do atendimento com IA deveria responder, no mínimo: quais dados entram na conversa, onde ficam as transcrições e por quanto tempo, quem é operador (plataforma, provedor do modelo, integrador), se há transferência internacional, quais decisões o bot toma sozinho e quais riscos de segurança foram tratados. Aí entram injeção de prompt e o golpe pelo canal de atendimento, que viram incidente de dados quando o bot tem acesso ao cadastro do cliente. A parte técnica está detalhada em segurança de IA no atendimento.

Por onde começar

1. Confira a situação atual. Existe ato formal de indicação e substituto? O contato no site funciona? Mande um e-mail de teste hoje.
2. Verifique se a dispensa se aplica. Pequeno porte com tratamento de alto risco (art. 4º da Resolução 2/2022) não está dispensado, e quem está dispensado mantém o canal com o titular.
3. Defina o modelo. Interno, terceirizado ou híbrido, com a tabela acima e uma checagem de conflito de interesse em quem você pensa nomear.
4. Se terceirizar, escreva o contrato pelo art. 16. Escopo por entregável, SLA de resposta ao titular e em incidente, substituto incluído, acesso garantido à diretoria e regra de confidencialidade.
5. Coloque o encarregado no plano de incidente. Com papel, contato e o prazo de três dias úteis escrito.
6. Comece o inventário pelos projetos de IA. São os tratamentos que mais mudam. Uma política de uso de IA na empresa ajuda a saber quais existem.

O DPO as a Service que funciona recebe o pedido do titular no fim de semana, sabe a quem perguntar na segunda e tem acesso à diretoria para dizer que um projeto precisa de RIPD antes de ir ao ar.