O encarregado de dados: de cargo a estrutura de governança

Em 2023, a autoridade belga de proteção de dados multou uma empresa em 50 mil euros por um motivo específico: ela havia nomeado, como encarregado de dados, a mesma pessoa que já ocupava a chefia de compliance, auditoria e gestão de riscos. Não havia vazamento, nem reclamação de titular. A infração foi estrutural — o encarregado não tinha como fiscalizar decisões que ele próprio, em outro cargo, ajudava a tomar.

A Resolução CD/ANPD nº 18/2024 trouxe essa mesma lógica para o Brasil. O artigo 18 exige que o encarregado atue com autonomia técnica e objetividade, sem influências que comprometam sua imparcialidade — o que inclui, na prática, avaliar com cuidado o acúmulo de outras funções na mesma pessoa.

O ponto central da resolução não é burocrático. É este: um encarregado só cumpre sua função se puder emitir um parecer desfavorável sem risco pessoal. Se a nomeação existe apenas no papel, e a pessoa nomeada depende de quem ela deveria fiscalizar, a empresa tem um nome no organograma — não uma estrutura de governança.

A resolução também formaliza o que antes ficava a critério de cada empresa: qualificação do encarregado proporcional ao volume e ao risco do tratamento de dados realizado (art. 7º); divulgação pública e atualizada de sua identidade e canal de contato, em local de fácil acesso (arts. 8º e 9º); e a figura do encarregado adjunto, para garantir continuidade quando o titular da função estiver ausente.

Isso não é exigência teórica. Em dezembro de 2024, a ANPD abriu processo de fiscalização contra vinte empresas de grande porte justamente por ausência de encarregado nomeado e de canal de comunicação adequado.

A pergunta que resta para cada comitê de compliance não é "temos um encarregado nomeado?". É: nosso encarregado tem autonomia real para discordar — e a organização sobrevive, sem lacuna, se essa pessoa sair amanhã?