Texto da norma
**Designar um Encarregado de Dados (DPO)**, responsável por atuar como canal de comunicação entre o controlador, os titulares e a Autoridade Nacional de Proteção de Dados (ANPD), garantindo o cumprimento das disposições desta Lei. **Estabelecer e divulgar publicamente** as informações de contato do Encarregado, assegurando acessibilidade aos titulares de dados e à ANPD, sem prejuízo de outras formas de comunicação previstas em regulamentação específica. **Manter registros atualizados** das atividades de tratamento de dados pessoais, sob responsabilidade do Encarregado, que também deve orientar os funcionários e contratados sobre práticas de proteção de dados e monitorar o cumprimento da LGPD e das políticas internas. LGPD, cláusula 7 · texto integral oficial em ANPD — Autoridade Nacional de Proteção de Dados.
Guia do Benjamin · IA do facilita.ia
O que isso quer dizer na prática?
A LGPD exige que a empresa nomeie uma pessoa responsável (o Encarregado de Dados, ou DPO) para ser o ponto de contato entre a empresa, os clientes/funcionários (donos dos dados) e o órgão fiscalizador (ANPD). Essa pessoa cuida de três coisas: 1) garantir que a empresa siga as regras da LGPD, 2) treinar os times sobre como lidar com dados pessoais (ex.: não vazar planilhas de RH) e 3) manter registros atualizados de como a empresa usa esses dados (ex.: para que serve a base de clientes do comercial).
Como atender (passo a passo)
- Nomear o Encarregado (DPO):
- Escolher alguém da empresa (ou contratar terceiro) com conhecimento em proteção de dados. Pode ser um funcionário do jurídico, compliance ou TI, desde que tenha autoridade para tomar decisões.
- Exemplo: Se a empresa é pequena, o próprio gerente de TI pode acumular o papel, mas precisa ter tempo para isso.
- Divulgar os contatos do DPO:
- Colocar as informações do Encarregado (e-mail, telefone, endereço) em lugares visíveis:
- Site da empresa (rodapé ou página "Privacidade").
- Contratos com clientes/fornecedores.
- Assinatura de e-mails do setor que lida com dados (ex.: RH, comercial).
- Exemplo: No site, criar um link "Fale com o Encarregado de Dados" na política de privacidade.
- Manter registros das atividades de tratamento:
- Criar uma planilha ou sistema listando:
- Quais dados a empresa coleta (ex.: CPF de clientes, endereço de funcionários).
- Para que usa (ex.: cobrança, folha de pagamento).
- Onde armazena (ex.: nuvem, servidor local).
- Quem tem acesso (ex.: apenas o financeiro).
- Exemplo: Usar uma ferramenta simples como Google Sheets ou um software de compliance (ex.: Privacy Tools).
- Treinar os times:
- O DPO deve fazer reuniões ou treinamentos rápidos (presenciais ou por e-mail) explicando:
- O que é dado pessoal (até e-mail de funcionário conta).
- Como evitar vazamentos (ex.: não enviar planilha com CPFs por WhatsApp).
- Para quem recorrer em caso de dúvida (o próprio DPO).
- Exemplo: Mandar um checklist mensal para os gestores: "Vocês estão guardando dados de clientes com senha?".
- Monitorar e corrigir falhas:
- O DPO deve fiscalizar se os times estão seguindo as regras (ex.: auditorias internas trimestrais).
- Se encontrar erro (ex.: funcionário salvou dados em pasta pública), corrigir na hora e registrar a ação.
O que auditor procura como evidência
- Documento de nomeação do DPO: E-mail ou portaria interna designando a pessoa (com data e assinatura da direção).
- Registro de atividades de tratamento: Planilha ou print de sistema mostrando quais dados a empresa tem e como usa.
- Comprovação de treinamentos: Lista de presença de reuniões, e-mails de orientação ou prints de treinamentos online.
- Contato do DPO divulgado: Print do site, contrato ou e-mail com as informações do Encarregado.
- Registros de ações corretivas: Exemplo: "Em 10/05, descobrimos que o comercial salvava dados em pasta aberta; movemos para área restrita e treinamos a equipe".
Erros comuns
- Escolher um DPO "de fachada": Nomear alguém sem autoridade ou tempo para agir. Risco: A ANPD multa se o DPO não resolver problemas.
- Não atualizar os registros: Ter a planilha de dados desatualizada (ex.: esquecer de incluir um novo sistema de CRM). Risco: Em auditoria, parece que a empresa não controla seus dados.
- Deixar o contato do DPO escondido: Colocar o e-mail em um PDF perdido no site. Risco: Cliente ou ANPD não conseguem reportar problemas, e a empresa é penalizada.
- Treinar só uma vez: Fazer um treinamento em 2022 e nunca mais falar no assunto. Risco: Funcionários novos ou esquecidos cometem erros (ex.: vazar dados por descuido).
Requisitos compostos desta cláusula
DPO — designação formal + atividades documentadas
- DPO designado formalmente (mín. 1 evidência)
- Atividades do DPO documentadas (mín. 1 evidência)
Artefatos sugeridos para evidência auditável
Tipos de documento, processo, registro ou indicador que tipicamente sustentam essa cláusula em auditoria. Cada um é gerado e rastreado dentro do facilita.ia.
| Tipo | Artefato | Por quê |
|---|---|---|
| Document | Política de Proteção de Dados Pessoais | Estabelece diretrizes para o tratamento de dados e designa o Encarregado de Dados (DPO). |
| Business Process | Processo de Comunicação com Titulares de Dados | Define o fluxo de comunicação entre o DPO, titulares de dados e a ANPD. |
| Evidence | Registro de Atividades de Tratamento de Dados | Comprova a manutenção de registros atualizados das atividades de tratamento de dados pessoais. |
| Kpi | Indicador de Conformidade com a LGPD | Monitora o cumprimento da LGPD e das políticas internas de proteção de dados. |
| Audit | Auditoria Interna de Proteção de Dados | Avalia a eficácia das práticas de proteção de dados e a atuação do DPO. |
Como o facilita.ia aplica essa cláusula ao contexto da sua empresa
O Benjamin contextualiza esta orientação para a sua operação, cruza a evidência com outras normas via Cross Intelligence e mantém o rastreamento auditável.
Diagnóstico gratuito Ver comparativos