DPO terceirizado e RIPD: quando contratar

O DPO terceirizado — o Encarregado pela proteção de dados contratado como serviço externo — faz sentido quando a organização precisa cumprir o artigo 41 da LGPD sem manter um profissional dedicado internamente. Ele conduz a interlocução com a ANPD e os titulares, orienta o programa de privacidade e apoia a elaboração do RIPD quando o tratamento de dados exige.

A maioria das empresas descobre que precisa de um Encarregado depois que já está tratando dados pessoais em escala — quando um titular exerce um direito, quando um cliente corporativo pede a política de privacidade em uma due diligence, ou quando um incidente obriga a notificação à autoridade. Nesse momento, a pergunta deixa de ser "preciso de um DPO?" e passa a ser "consigo sustentar esse papel internamente ou faz mais sentido contratá-lo como serviço?". Este texto responde às duas.

O que faz um Encarregado pela proteção de dados segundo a LGPD?

O Encarregado é a pessoa indicada pelo controlador e pelo operador para atuar como canal de comunicação entre a organização, os titulares dos dados e a Autoridade Nacional de Proteção de Dados (ANPD). O papel está previsto no artigo 41 da Lei nº 13.709/2018 (LGPD), e o termo "DPO" (Data Protection Officer), herdado do GDPR europeu, é usado no mercado como sinônimo de Encarregado.

As atribuições definidas na lei são objetivas:

• Receber reclamações e comunicações dos titulares, prestar esclarecimentos e adotar providências sobre os pedidos de exercício de direitos.
• Receber comunicações da ANPD e adotar as providências decorrentes.
• Orientar funcionários e contratados da organização sobre as práticas a serem tomadas em relação à proteção de dados pessoais.
• Executar as demais atribuições determinadas pelo controlador ou estabelecidas em normas complementares.

Na prática, o papel vai além do texto da lei. Um Encarregado atuante mantém o inventário de tratamento de dados atualizado, revisa contratos com operadores, participa da resposta a incidentes, avalia a necessidade de RIPD para novos projetos e sustenta a interlocução técnica quando a ANPD ou um cliente corporativo faz uma pergunta difícil. É um papel de governança contínua, não de um documento assinado uma vez por ano.

Quando contratar um DPO terceirizado em vez de um interno?

O modelo terceirizado costuma ser a escolha mais racional nos cenários abaixo. Nenhum deles é exclusivo — muitas organizações combinam mais de um:

• Volume de tratamento moderado, sem carga para um cargo integral. A organização trata dados pessoais de forma relevante, mas não a ponto de justificar um profissional sênior dedicado só a privacidade.
• Ausência de maturidade interna em proteção de dados. Não há, no quadro atual, alguém com o conjunto de conhecimento jurídico, técnico e de processos que o papel exige — e formar essa competência internamente levaria tempo demais.
• Necessidade de independência e imparcialidade. Um Encarregado interno subordinado à área que decide sobre os tratamentos pode ter conflito de interesse. O modelo externo reduz essa tensão.
• Startups e empresas em crescimento acelerado. O tratamento de dados muda a cada trimestre, e um serviço externo escala junto sem o custo fixo de uma contratação.
• Grupos com múltiplas entidades. Um mesmo Encarregado externo pode coordenar o programa de privacidade de várias empresas do grupo, com visão consistente.
• Exigência contratual ou regulatória imediata. Um cliente, um edital ou um regulador pede o nome e o contato do Encarregado agora, e a organização precisa endereçar o requisito sem esperar um processo seletivo.

O ponto que une esses cenários é a relação entre custo e continuidade. Manter um Encarregado interno competente exige salário, atualização constante e a garantia de cobertura quando essa pessoa sai de férias, adoece ou pede demissão. O modelo terceirizado transforma esse custo fixo em um serviço com nível de atendimento acordado e continuidade contratada — sem depender de uma única pessoa.

DPO interno, terceirizado ou híbrido: qual modelo escolher?

Não existe resposta única. A tabela abaixo compara os três modelos nos critérios que mais pesam na decisão:

O modelo híbrido — um ponto focal interno apoiado por um Encarregado externo — tende a funcionar bem em organizações que querem manter o conhecimento do negócio dentro de casa sem abrir mão da amplitude técnica e da imparcialidade que o serviço externo oferece. Já a decisão entre interno puro e terceirizado depende, no fim, do volume de tratamento e da maturidade que a organização consegue sustentar sem depender de uma única contratação.

O que é o RIPD e quando ele é obrigatório?

O RIPD — Relatório de Impacto à Proteção de Dados Pessoais — é o documento que descreve os processos de tratamento de dados que podem gerar risco às liberdades civis e aos direitos fundamentais dos titulares, junto com as medidas, salvaguardas e mecanismos de mitigação desse risco. A definição está no artigo 5º, inciso XVII, da LGPD.

A lei não fixa uma lista fechada de situações em que o RIPD é obrigatório, mas dá dois sinais claros. O artigo 38 estabelece que a ANPD pode determinar ao controlador que elabore o relatório, inclusive de dados sensíveis, referente a suas operações de tratamento. E o artigo 10, quando trata do legítimo interesse como base legal, prevê que a autoridade pode solicitar o RIPD quando o tratamento se fundamentar nesse interesse.

Na prática, a orientação de mercado — alinhada ao que se observa em programas maduros de privacidade — é elaborar o RIPD sempre que o tratamento apresentar risco elevado aos titulares. Os gatilhos típicos são:

• Tratamento de dados pessoais sensíveis em escala (saúde, biometria, dados de crianças e adolescentes, entre outros).
• Uso de novas tecnologias ou de decisões automatizadas com efeitos relevantes sobre os titulares.
• Monitoramento sistemático de pessoas ou de áreas de acesso público.
• Combinação de bases de dados de origens diferentes de forma não esperada pelo titular.
• Tratamento fundamentado em legítimo interesse que envolva volume significativo ou dados de perfil comportamental.

Elaborar o RIPD antes de a ANPD pedir não é apenas uma formalidade defensiva. É a forma de demonstrar accountability — o princípio da responsabilização e prestação de contas previsto na própria LGPD — e de identificar riscos antes de eles se materializarem em um incidente.

Como se estrutura um RIPD?

Um RIPD consistente segue uma sequência lógica, do mapeamento do tratamento até o plano de tratamento do risco. As fases essenciais são:

1. Descrição do tratamento. Finalidade, natureza dos dados, categorias de titulares, base legal, fluxo de dados de ponta a ponta e agentes envolvidos (controlador, operadores, subcontratados).
2. Avaliação da necessidade e da proporcionalidade. Verificar se o tratamento é adequado à finalidade, se coleta apenas o necessário (minimização) e se há base legal sólida para cada etapa.
3. Identificação dos riscos aos titulares. Levantar as ameaças à confidencialidade, integridade e disponibilidade dos dados, e os possíveis danos às liberdades e aos direitos fundamentais dos titulares.
4. Avaliação do risco. Estimar probabilidade e impacto de cada cenário, priorizando o que exige atenção imediata.
5. Medidas de mitigação. Definir os controles técnicos e organizacionais que reduzem cada risco a um nível aceitável — criptografia, controle de acesso, anonimização, revisão contratual, entre outros.
6. Risco residual e decisão. Registrar o risco que permanece após as medidas e a decisão de prosseguir, ajustar ou não realizar o tratamento.
7. Revisão periódica. O RIPD é um documento vivo: deve ser revisitado quando o tratamento muda, quando surgem novas tecnologias ou quando um incidente revela um risco não previsto.

A qualidade do RIPD depende diretamente da qualidade da avaliação de risco técnica que o sustenta. Um relatório que descreve medidas de segurança que nunca foram testadas oferece uma falsa sensação de conformidade. É por isso que a elaboração do RIPD ganha muito quando é acompanhada de evidência real sobre a eficácia dos controles — o tipo de evidência que um teste de invasão em aplicações e API, um pentest de rede ou um pentest de cloud produz. O documento deixa de ser uma declaração de intenções e passa a refletir o risco que realmente existe.

Como a Berghem executa

A Berghem opera o papel de Encarregado pela proteção de dados como serviço (DPO terceirizado) combinando a interlocução formal exigida pela LGPD com a profundidade técnica que a proteção de dados de fato requer. Assumimos o contato com titulares e com a ANPD, mantemos o inventário de tratamento atualizado, revisamos contratos com operadores e conduzimos a elaboração e a revisão dos RIPD dos tratamentos de maior risco.

O diferencial está na integração entre governança e segurança ofensiva. O mesmo trabalho que sustenta o programa de adequação à LGPD se conecta com a verificação prática dos controles, para que as medidas descritas nos documentos sejam as que realmente funcionam. Organizações com obrigações regulatórias adicionais — como as normas do BACEN e do CMN sobre segurança cibernética, a ISO/IEC 27001 ou a governança de IA sob a ISO/IEC 42001 — encontram um programa de privacidade que conversa com esses arcabouços em vez de duplicá-los.

Como empresa de segurança da informação em São Paulo, atendemos empresas de diferentes portes, ajustando o modelo — terceirizado ou híbrido — ao volume de tratamento, à maturidade interna e ao calendário regulatório de cada operação.

A Berghem é uma empresa de pentest brasileira, sediada em São Paulo, que executa testes de invasão manuais orientados por objetivo adversarial.

Perguntas frequentes

Toda empresa é obrigada a ter um Encarregado (DPO)?

A LGPD determina, no artigo 41, que o controlador indique um Encarregado. A ANPD, por meio de norma complementar, dispensou o agente de pequeno porte da indicação obrigatória, mas exige que ele mantenha um canal de comunicação com os titulares. Mesmo dispensadas, muitas pequenas empresas indicam um Encarregado por exigência de clientes ou por boa prática.

Um DPO terceirizado atende plenamente à exigência da LGPD?

Sim. A LGPD não exige que o Encarregado seja empregado da organização — o papel pode ser exercido por pessoa jurídica ou por profissional externo contratado. O que a lei requer é que a identidade e o contato do Encarregado sejam divulgados publicamente, de forma clara, e que ele exerça efetivamente as atribuições do artigo 41.

O RIPD é obrigatório para todas as operações de tratamento?

Não. A LGPD não impõe o RIPD para todo tratamento, mas prevê que a ANPD pode determinar sua elaboração, especialmente para dados sensíveis e para tratamentos baseados em legítimo interesse. A prática recomendada é produzir o RIPD sempre que o tratamento apresentar risco elevado aos titulares, como forma de demonstrar responsabilização.