Empresa de software precisa de DPO? Quando a LGPD dispensa?
Uma empresa de software precisa de DPO — na LGPD, o "encarregado pelo tratamento de dados pessoais" — sempre que for controladora de dados e não puder ser tratada como agente de pequeno porte. A dispensa alcança microempresas e empresas de pequeno porte e startups com receita de até R$ 16 milhões, desde que não façam tratamento de alto risco; nos dados que a empresa trata só em nome dos clientes, a indicação é facultativa. Quem fica dispensado continua obrigado a manter um canal de atendimento ao titular dos dados.
A análise considera as normas vigentes em 29 de outubro de 2026.
O que o encarregado faz e o que a lei exige dele?
O encarregado é o canal entre a empresa, os titulares dos dados e a ANPD, hoje Agência Nacional de Proteção de Dados. Recebe reclamações, responde às comunicações da Agência e orienta a equipe sobre proteção de dados (LGPD, art. 41, §2º). Quem é obrigado a indicá-lo é o controlador, que deve divulgar a identidade e o contato do encarregado, de preferência no próprio site (art. 41, caput e §1º).
O Regulamento do encarregado (Resolução CD/ANPD n. 18/2024) detalha o restante. A indicação se faz por ato formal — documento escrito, datado e assinado (art. 3º). Nome e contato ficam em local de destaque no site (art. 9º). O encarregado pode ser empregado, pessoa externa ou uma empresa (art. 12), e não precisa de certificação (art. 14). O custo, portanto, está menos na contratação e mais na governança.
Sua empresa é controladora ou operadora dos dados?
Controlador é quem decide sobre o tratamento; operador é quem trata os dados em nome do controlador (LGPD, art. 5º, VI e VII), seguindo as instruções dele (art. 39). Se a sua empresa fornece um SaaS B2B, a empresa cliente lança dados no sistema — vendas, pacientes, alunos — e decide sobre esses dados, sendo, portanto, controladora. Esses dados são de titularidade dos próprios pacientes, alunos etc. A sua empresa de software, nesse cenário, é a operadora.
Mas toda empresa é controladora de alguma coisa: dados dos próprios empregados, dos leads do CRM, dos usuários que acessam a plataforma, quando usados para finalidades da própria empresa. A pergunta útil não é "sou controladora ou operadora?", e sim "sou controladora de quais dados?".
Nos fluxos em que atua só como operadora, a indicação de encarregado é facultativa e conta como boa prática de governança (Res. CD/ANPD n. 18/2024, art. 6º). Contudo, se a empresa decide usar os dados dos clientes para fins próprios — treinar um modelo, montar benchmarks de mercado —, passa a decidir sobre aquele tratamento, que é exatamente a definição de controlador. E o operador que descumpre as instruções do controlador responde como se fosse ele (LGPD, art. 42, §1º, I).
Quando a empresa de software é "de pequeno porte"?
O regulamento para agentes de pequeno porte (Resolução CD/ANPD n. 2/2022) dispensa esses agentes de indicar encarregado (art. 11). O teto de receita bruta é o da empresa de pequeno porte, R$ 4,8 milhões, ou, no caso de startups, R$ 16 milhões no ano anterior (art. 3º, II).
O enquadramento como startup tem requisitos próprios. Além da receita, a empresa precisa ter até dez anos de CNPJ e declarar, no contrato social ou em alteração, que usa modelo de negócios inovador — ou estar no Inova Simples (LC n. 182/2021, art. 4º, §1º).
Há ainda o grupo econômico: se a receita somada das empresas do grupo ultrapassar o teto, ninguém se beneficia (Res. CD/ANPD n. 2/2022, art. 3º, III). É a mesma lógica de receita global que já derruba empresas do Simples quando os sócios têm outros negócios.
O que é tratamento de alto risco para quem faz software?
O tratamento é de alto risco quando reúne, ao mesmo tempo, um critério geral e um específico (Res. CD/ANPD n. 2/2022, art. 4º):
| Critério geral | Critério específico |
|---|---|
| Tratamento em larga escala: muitos titulares, considerando, ainda, grande volume, longa duração, alta frequência ou ampla extensão geográfica | Uso de tecnologias emergentes ou inovadoras |
| Tratamento que possa afetar significativamente direitos, como impedir o uso de um serviço ou causar discriminação ou fraude | Vigilância de áreas acessíveis ao público |
| Decisões tomadas unicamente por tratamento automatizado | |
| Dados sensíveis ou de crianças, adolescentes e idosos |
Traduzindo para produtos comuns: prontuário eletrônico para clínicas (dados de saúde, que são sensíveis), sistema de gestão escolar (dados de crianças), software de RH com triagem automática de candidatos (decisão automatizada), plataforma com biometria ou IA aplicada a pessoas (tecnologia inovadora).
Esses produtos tendem a cruzar a linha. Na leitura literal, conta também o tratamento feito como operadora, porque a norma fala do agente de tratamento, que por definição o inclui, de alto risco. Quem cai no alto risco perde quase todo o regime simplificado, não só a dispensa do encarregado.
Exemplo: duas empresas de software (caso hipotético)
A Beta Sistemas vende ERP para o varejo, está no Simples e faturou R$ 3,2 milhões. Trata os dados de vendas dos clientes como operadora e é controladora só dos dados da equipe e dos leads. Não usa dados sensíveis nem decisão automatizada. É de pequeno porte: está dispensada de indicar encarregado, mas precisa do canal de atendimento ao titular.
A Gama Saúde oferece prontuário eletrônico para clínicas. Saiu do Simples, faturou R$ 7 milhões, tem seis anos de CNPJ e o contrato social declara modelo de negócios inovador. Pela receita, seria startup. Mas trata dados de saúde de centenas de milhares de pacientes — dado sensível em larga escala, alto risco. Perde o regime simplificado.
O que está em jogo para a Gama: a multa simples da LGPD vai até 2% do faturamento, limitada a R$ 50 milhões por infração (LGPD, art. 52, II), o que daria à Gama um teto teórico de cerca de R$ 140 mil por infração. A adoção de boas práticas e governança é critério expresso na dosimetria (art. 52, §1º, IX). As sanções recaem sobre a empresa; alcançar o patrimônio dos sócios depende de outras regras, como a desconsideração da personalidade jurídica.
Destaque-se que a nomeação de um DPO/encarregado pode ser exigida não pela lei, mas pelo contexto negocial da empresa. É possível que clientes, investidores, procedimentos de due diligence exijam-no mesmo que a lei o dispense. Da mesma maneira, se a sua empresa oferece produtos ou serviços na União Europeia deve atender às disposições da GDPR (General Data Protection Regulation), que pode conflitar com as políticas simplificadas para agentes de tratamento de pequeno porte.
Se a empresa for dispensada, o que continua obrigatório?
A dispensa é do encarregado, não da LGPD. O agente de pequeno porte precisa manter um canal de comunicação com o titular. Continua obrigado a registrar as operações de tratamento (LGPD, art. 37), ainda que de forma simplificada, e a adotar medidas essenciais de segurança da informação (Res. CD/ANPD n. 2/2022, art. 12), com política de segurança que pode ser simplificada (art. 13). E a ANPD pode, diante das circunstâncias, exigir o cumprimento das obrigações dispensadas (art. 16).
Indicar encarregado sem estar obrigado não é desperdício: a própria norma trata a indicação voluntária como boa prática (Res. CD/ANPD n. 2/2022, art. 11, §2º).
Próximo passo
Confira a receita do ano anterior da empresa, a do grupo e, se a empresa se apoia no limite de startup, o contrato social. Passe os produtos pelos critérios de alto risco. Se a obrigação existir, indique o encarregado por ato formal e publique nome e contato no site; se não existir, documente o motivo da dispensa e mantenha o canal de atendimento funcionando.
Se a sua empresa quer revisar esse enquadramento antes de um contrato, de uma rodada de investimento ou de uma mudança de produto, procure um advogado que lhe auxilie com a análise do caso.
Perguntas frequentes
O sócio ou o CTO pode ser o encarregado?
Pode, porque o encarregado pode ser alguém do quadro da empresa (Res. CD/ANPD n. 18/2024, art. 12). Mas o regulamento aponta conflito de interesses quando o encarregado acumula a tomada de decisões estratégicas sobre o tratamento de dados (art. 19, §1º, II). Em empresa pequena, em que o sócio decide tudo, isso pede cuidado ou um encarregado externo.
Quanto tempo tenho para comunicar um vazamento à ANPD?
Três dias úteis, contados de quando o controlador sabe que o incidente afetou dados pessoais (Res. CD/ANPD n. 15/2024, art. 6º, caput e §1º). Agentes de pequeno porte têm o prazo em dobro (Res. CD/ANPD n. 2/2022, art. 14, II, e Res. CD/ANPD n. 15/2024, art. 6º, caput e §3º). O dever de comunicar é do controlador (LGPD, art. 48); se a sua empresa é a operadora, o cliente precisa saber a tempo de cumprir esse prazo, e vale fixar isso em contrato.
Meu software é usado por escolas. O ECA Digital muda alguma coisa?
Pode mudar, a depender do seu produto. A Lei n. 15.211/2025, em vigor desde 17 de março de 2026 (art. 41-A), aplica-se a produtos e serviços de tecnologia direcionados a crianças e adolescentes ou de acesso provável por eles (art. 1º). Um sistema escolar com área de acesso para alunos precisa ser avaliado por esses critérios. Independentemente disso, dados de crianças e adolescentes já são um dos critérios específicos de alto risco para a Resolução CD/ANPD n. 2/2022, bastando, assim, um critério geral para excluir do regime favorecido.
Indicar um encarregado só no papel resolve?
Não. A empresa deve dar ao encarregado meios, autonomia técnica e acesso direto aos sócios e às áreas de decisão (Res. CD/ANPD n. 18/2024, art. 10). E a responsabilidade pela conformidade continua sendo da empresa, não do encarregado (art. 11).
Notas e referências
BRASIL. Lei n. 13.709, de 14 de agosto de 2018 (Lei Geral de Proteção de Dados Pessoais), arts. 5º, 37, 39, 41, 42, 48 e 52. Disponível em: https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709compilado.htm. Acesso em: 29 out. 2026.
BRASIL. Lei Complementar n. 182, de 1º de junho de 2021, art. 4º. Disponível em: https://www.planalto.gov.br/ccivil_03/leis/lcp/lcp182.htm. Acesso em: 29 out. 2026.
BRASIL. Lei n. 15.211, de 17 de setembro de 2025 (Estatuto Digital da Criança e do Adolescente), arts. 1º e 41-A. Disponível em: https://www.planalto.gov.br/ccivil_03/_ato2023-2026/2025/lei/l15211.htm. Acesso em: 29 out. 2026.
AUTORIDADE NACIONAL DE PROTEÇÃO DE DADOS. Resolução CD/ANPD n. 2, de 27 de janeiro de 2022. Aprova o Regulamento de aplicação da LGPD para agentes de tratamento de pequeno porte. Disponível em: https://www.gov.br/anpd/pt-br/acesso-a-informacao/institucional/atos-normativos/regulamentacoes_anpd/resolucao-cd-anpd-no-2-de-27-de-janeiro-de-2022. Acesso em: 29 out. 2026.
AUTORIDADE NACIONAL DE PROTEÇÃO DE DADOS. Resolução CD/ANPD n. 15, de 24 de abril de 2024. Aprova o Regulamento de Comunicação de Incidente de Segurança. Diário Oficial da União, 26 abr. 2024. Disponível em: https://www.in.gov.br/en/web/dou/-/resolucao-cd/anpd-n-15-de-24-de-abril-de-2024-556243024. Acesso em: 29 out. 2026.
AUTORIDADE NACIONAL DE PROTEÇÃO DE DADOS. Resolução CD/ANPD n. 18, de 16 de julho de 2024. Aprova o Regulamento sobre a atuação do encarregado pelo tratamento de dados pessoais. Diário Oficial da União, 17 jul. 2024. Disponível em: https://www.in.gov.br/en/web/dou/-/resolucao-cd/anpd-n-18-de-16-de-julho-de-2024-572632074. Acesso em: 29 out. 2026.
Raul Dias da Cruz é advogado formado pela USP, fundador de escritório com foco em direito tributário e empresarial para pequenas e médias empresas de tecnologia.