Além do conflito de interesses: ANPD notifica 56 organizações e mira a função do DPO
No Dia Nacional da Proteção de Dados, a Agência fechou um ciclo de monitoramento sobre o encarregado e colocou 21 casos na fila da fiscalização.
A Agência Nacional de Proteção de Dados encerrou, no Dia Nacional da Proteção de Dados, um ciclo de monitoramento sobre a função do encarregado e notificou 56 organizações por falhas na indicação do DPO e no canal de atendimento aos titulares. Vinte e uma não responderam e podem virar processo sancionador. O marco coincide com dois anos da Resolução CD/ANPD 18, que definiu quando o acúmulo de cargos configura conflito de interesses e presumiu incompatível quem decide sobre o tratamento e ao mesmo tempo deveria fiscalizá-lo. Com a ANPD transformada em agência reguladora e o precedente europeu de multas por DPO sem independência, tratar a indicação como formalidade deixou de ser risco barato.
O Dia Nacional da Proteção de Dados, 17 de julho, marcou o encerramento de um ciclo de monitoramento da Agência Nacional de Proteção de Dados sobre a figura do encarregado pelo tratamento de dados pessoais, o DPO. A Agência notificou 56 organizações — 39 órgãos públicos e 17 empresas privadas — para verificar duas obrigações básicas da LGPD: a indicação do encarregado e a existência de um canal para atendimento aos titulares.
Dos 56 notificados, 27 cumpriram integralmente as solicitações, oito ainda têm pendências a corrigir e 21 sequer responderam. Esses últimos serão encaminhados à Coordenação-Geral de Fiscalização e Sanções, o que pode resultar na abertura de processos administrativos.
A exigência tem base no art. 41 da LGPD, que obriga o controlador a indicar o encarregado como canal de comunicação entre a empresa, os titulares de dados e a própria Agência. A ação chega exatamente dois anos depois da Resolução CD/ANPD nº 18, de 16 de julho de 2024, que tirou o encarregado da condição de figura genérica e o transformou em função regulamentada.
Resolução 18 definiu quando o acúmulo vira conflito
A Resolução CD/ANPD nº 18 introduziu um conceito próprio de conflito de interesses: a situação que possa comprometer, influenciar ou afetar, de maneira imprópria, a objetividade e o julgamento técnico do encarregado no desempenho de suas atribuições. O texto presume que há conflito de interesses quando a função do DPO é acumulada com outra que tenha competência para tomar decisões sobre o tratamento de dados em nome do agente.
É nesse ponto que os cargos de liderança com metas comerciais ou operacionais acendem o alerta. Quem chefia tecnologia, marketing, recursos humanos ou operações decide quanto dado coletar e para quê — e, como encarregado, precisaria fiscalizar a própria decisão. O DPO de marketing que persegue mais vendas, coletando mais dados, teria de frear a si mesmo para proteger a privacidade dos titulares. Essa autodefesa comercial anula a isenção técnica que a norma exige.
A Resolução impõe ao encarregado o dever de declarar ao agente de tratamento qualquer situação que configure conflito de interesses, respondendo pela veracidade da informação, e cobra autonomia técnica no exercício da função.
Terceirizar o DPO resolve um problema e cria outro
A mesma Resolução 18 reconheceu como prática válida a contratação de um encarregado externo, pessoa física ou jurídica — o chamado DPO as a service. Bastam requisitos formais: ato de indicação por escrito, divulgação pública da identidade e do contato, e capacidade de cumprir todas as atribuições legais.
O modelo terceirizado cresceu como resposta direta ao problema do acúmulo interno. Um encarregado de fora não responde à diretoria de tecnologia nem à de marketing, o que reduz a chance de que a defesa da privacidade esbarre em uma meta comercial da própria casa.
A solução, porém, trouxe novos alertas. Consultorias apontam risco de conformidade padronizada, com políticas de prateleira que não conversam com a realidade da empresa, e de esvaziamento operacional, quando a indicação vira mera formalidade para preencher um campo no site. Modelos híbridos — ponto focal interno apoiado por consultoria externa — têm se mostrado mais consistentes do que a simples delegação a um terceiro.
ANPD vira agência e ganha músculo sancionador
A capacidade de cobrança por trás do monitoramento mudou de patamar em 2026. A Lei nº 15.352, sancionada em 25 de fevereiro de 2026 a partir da conversão da Medida Provisória nº 1.317/2025, transformou a ANPD em agência reguladora, com autonomia funcional, técnica, decisória, administrativa e financeira e patrimônio próprio.
A norma criou 200 cargos de especialista em regulação de proteção de dados, a serem preenchidos por concurso público, dando à Agência um corpo técnico permanente. O reforço institucional amplia a estrutura de fiscalização e o poder de requisição, e retira da ANPD a imagem de órgão voltado só à orientação.
Para quem trata a indicação do encarregado como formalidade, o cálculo de risco fica diferente: a estrutura que apura o descumprimento do art. 41 e a existência de conflito de interesses passou a ser maior e mais bem aparelhada do que na primeira leva de notificações, em 2024.
Europa já multa por DPO sem independência
O caminho que a ANPD sinaliza tem precedente do outro lado do Atlântico. Em 10 de março de 2025, a autoridade de proteção de dados da Noruega, a Datatilsynet, aplicou à Telenor ASA multa de 4 milhões de coroas norueguesas, cerca de US$ 380 mil, por deficiências na organização do encarregado: a empresa deixou o DPO sem linha de reporte direto à alta administração por quase um ano e não tratou o conflito de interesses com o papel de advogado interno acumulado pela mesma pessoa.
O caso norueguês não foi isolado. Ao longo de 2025, autoridades europeias multaram organizações por nomear como DPO quem decide sobre o tratamento: na Áustria, um laboratório foi multado em 5 mil euros por indicar o diretor-gerente; na Croácia, decisões chegaram a 12 mil e 40 mil euros contra empresas que colocaram dirigentes na função.
A leitura que atravessa essas decisões é a mesma da Resolução 18: cargo de comando e supervisão da privacidade não cabem na mesma cadeira.
O que a Agência sinaliza para 2026 e 2027
O monitoramento do encarregado é a porta de entrada de um ciclo de fiscalização mais amplo. O Mapa de Temas Prioritários para o biênio 2026-2027 concentra a atuação da ANPD em direitos dos titulares, com enfoque no tratamento de dados biométricos, de saúde e financeiros e no uso de dados pessoais para publicidade comercial direcionada.
A Agenda Regulatória 2025-2026, aprovada pela Resolução nº 23/2024, mantém em construção normas sobre Relatório de Impacto à Proteção de Dados (RIPD), inteligência artificial, anonimização e tratamento de alto risco — documentos técnicos e consultas que tendem a virar exigência de processo e prova de conformidade.
É o encarregado quem responde operacionalmente por essa agenda. Quando a próxima fiscalização olhar para dados sensíveis ou decisão automatizada, a pergunta anterior — se a pessoa que ocupa a função tem autonomia e está livre de conflito de interesses — decide se a empresa tem quem defenda a privacidade ou apenas um nome no rodapé do site.
Na data de 2 de agosto de 2026, momento da publicação desta notícia compilada, todos os links estavam disponíveis. Não nos responsabilizamos nem controlamos eventuais alterações, remoções das URLs ou modificações no conteúdo das fontes consultadas.
