O DPO como guardião da arquitetura informacional: proteção de dados, inteligência artificial e responsabilidade institucional no Brasil

Durante muito tempo, a figura do DPO — ou, na terminologia da LGPD, do encarregado pelo tratamento de dados pessoais — foi compreendida de maneira limitada.

Em muitas organizações, ele ainda é visto como o “responsável pela LGPD”, o profissional que responde e-mails de titulares, revisa políticas de privacidade, acompanha incidentes de segurança e orienta setores internos sobre proteção de dados.

Tudo isso é importante.

Mas é insuficiente.

Em uma sociedade cada vez mais mediada por dados, plataformas digitais, inteligência artificial, automação decisória, sistemas preditivos e fornecedores tecnológicos, o DPO não pode ser tratado como uma figura meramente burocrática de conformidade.

Sua função precisa ser compreendida de forma mais ampla.

O DPO atua no ponto em que dados pessoais deixam de ser simples registros administrativos e passam a integrar arquiteturas de decisão, consumo, vigilância, ranqueamento, crédito, saúde, educação, segurança, acesso a serviços, políticas públicas e influência comportamental.

Em outras palavras: o DPO está situado no centro de uma das disputas institucionais mais importantes do nosso tempo.

A disputa pelo controle da arquitetura informacional que antecede a decisão humana.

1. O DPO não protege apenas dados

A proteção de dados pessoais não deve ser reduzida à ideia de sigilo, segurança cibernética ou consentimento formal.

Dados pessoais não são apenas informações armazenadas em sistemas.

São fragmentos de identidade.

São rastros de comportamento.

São sinais de vulnerabilidade.

São indicadores de consumo, saúde, localização, renda, preferência, risco, desejo, medo, urgência, dependência e exposição.

Quando organizados em escala, esses dados permitem construir perfis, prever condutas, automatizar decisões, personalizar ofertas, classificar usuários, direcionar publicidade, modular preços, organizar filas, priorizar atendimentos, negar acessos, sugerir escolhas e influenciar comportamentos.

Por isso, o DPO não protege apenas dados.

Ele protege as condições informacionais mínimas para que pessoas não sejam convertidas silenciosamente em perfis manipuláveis, riscos comerciais, alvos preditivos ou objetos de decisões opacas.

Essa é uma mudança de perspectiva essencial.

O dado pessoal deixou de ser apenas objeto de armazenamento.

Tornou-se infraestrutura de decisão.

E, se os dados organizam decisões, o DPO deve ser compreendido como agente de governança da decisão.

2. Da privacidade à governança institucional

A LGPD consolidou no Brasil uma cultura jurídica de proteção de dados pessoais. Mas a maturidade institucional exige ir além do cumprimento formal da lei.

Não basta nomear um encarregado.

Não basta publicar uma política de privacidade.

Não basta criar um canal de contato.

Não basta declarar bases legais genéricas.

Não basta afirmar que a organização “cumpre a LGPD”.

A pergunta relevante é mais profunda:

a organização sabe como seus dados circulam, quem os acessa, com qual finalidade, por quanto tempo, com quais riscos, por meio de quais fornecedores, sob quais contratos, com quais mecanismos de auditoria e com quais impactos sobre os titulares?

Se a resposta for negativa, o DPO é apenas símbolo.

E um DPO simbólico não governa risco.

A proteção de dados precisa ser tratada como parte da governança institucional. Ela atravessa o jurídico, a tecnologia, a segurança da informação, o compliance, a gestão de riscos, a auditoria, os contratos, a comunicação, os recursos humanos, o atendimento ao cliente, a saúde, a educação e a administração pública.

O DPO ocupa exatamente essa zona de interseção.

Por isso, sua relevância não está apenas no conhecimento jurídico. Está também na capacidade de articular áreas, identificar riscos, provocar decisões, documentar responsabilidades e impedir que a organização transforme dados pessoais em zonas invisíveis de vulnerabilidade.

3. O DPO nas instituições públicas

Nas instituições públicas, a relevância do DPO é ainda mais sensível.

O Estado trata dados em escala ampla: saúde, educação, segurança, assistência social, tributos, previdência, benefícios, prontuários, cadastros, processos administrativos, processos judiciais, políticas públicas, sistemas de controle, contratações e serviços digitais.

Diferentemente de muitas relações privadas, o cidadão nem sempre escolhe se relacionar com o Estado.

Ele precisa do serviço público.

Ele depende do cadastro.

Ele depende do benefício.

Ele depende do atendimento.

Ele depende da escola.

Ele depende do hospital.

Ele depende do processo administrativo.

Ele depende da decisão estatal.

Por isso, quando uma instituição pública trata dados de modo inadequado, o risco não é apenas patrimonial ou reputacional.

Pode haver exclusão de direitos, restrição de acesso, classificação indevida, exposição de dados sensíveis, discriminação, barreira burocrática, erro em benefício social, vazamento de prontuário, dependência tecnológica de fornecedor privado ou decisão automatizada sem transparência suficiente.

Nesse contexto, o DPO não deve ser tratado como simples canal formal entre órgão público, titular e ANPD.

Ele deve funcionar como sensor institucional de risco.

Sua atuação precisa alcançar o ciclo completo do tratamento de dados: planejamento, finalidade, base legal, segurança, compartilhamento, contratação de operadores, transferência internacional, resposta a incidentes, avaliação de impacto e revisão de processos internos.

Em instituições públicas, o DPO tem uma função democrática.

Ele ajuda a impedir que o cidadão se torne invisível dentro de sistemas que o classificam, processam, ranqueiam ou excluem sem explicação compreensível.

4. O DPO nas instituições privadas

No setor privado, o DPO também ocupa posição estratégica.

Empresas tratam dados para vender, segmentar, precificar, monitorar, personalizar, ranquear, conceder crédito, negar crédito, avaliar risco, automatizar atendimento, treinar sistemas, direcionar publicidade, medir produtividade, contratar funcionários, gerenciar clientes, controlar fornecedores e estruturar modelos de negócio.

A economia digital não opera apenas sobre produtos ou serviços.

Opera sobre dados.

E, muitas vezes, opera sobre a transformação de dados em poder preditivo.

Quanto mais uma empresa conhece o comportamento de um usuário, mais consegue antecipar necessidades, fragilidades, impulsos, horários de exposição, momentos de vulnerabilidade e padrões de decisão.

Isso pode ser legítimo quando há finalidade clara, proporcionalidade, transparência, segurança, base legal adequada e respeito aos direitos dos titulares.

Mas também pode se tornar abusivo.

O mesmo dado que permite melhorar um serviço pode ser usado para explorar vulnerabilidades.

O mesmo perfil que permite personalização pode produzir manipulação.

O mesmo algoritmo que melhora eficiência pode gerar discriminação.

O mesmo sistema que reduz custo pode enfraquecer o controle humano.

O DPO, nesse cenário, deve ser mais do que um consultor de conformidade.

Ele deve ser uma instância de questionamento institucional:

por que esse dado é necessário?

qual é a finalidade real do tratamento?

há coleta excessiva?

há uso secundário incompatível?

há perfilamento?

há decisão automatizada?

há risco para grupos vulneráveis?

há compartilhamento com terceiros?

há fornecedores sem controle adequado?

há uso de IA sobre dados pessoais?

há titulares que sequer compreendem os efeitos do tratamento?

Essas perguntas não são detalhes administrativos.

São perguntas sobre responsabilidade.

5. Dados, vulnerabilidade e monetização

Em mercados digitais, a vulnerabilidade só se torna economicamente explorável quando antes se torna mensurável.

E ela se torna mensurável por meio de dados.

Dados podem indicar fragilidade financeira, idade, doença, dependência, impulsividade, localização, endividamento, padrão de consumo, urgência emocional, baixa escolaridade, medo, solidão, compulsão, repetição comportamental e exposição a estímulos persuasivos.

Quando essas informações são utilizadas para ofertar produtos, direcionar publicidade, induzir consumo, modular preços ou explorar assimetrias, o tratamento de dados deixa de ser mera operação técnica.

Passa a integrar uma arquitetura de captura.

Esse ponto é decisivo.

O problema contemporâneo não é apenas o vazamento de dados.

É o uso de dados para construir ambientes decisórios nos quais a pessoa acredita escolher livremente, mas decide dentro de um campo previamente organizado para influenciar sua conduta.

Nesse sentido, o DPO se conecta diretamente à proteção da autonomia decisória.

Ele atua no ponto em que dados pessoais podem ser convertidos em perfil, perfil em predição, predição em influência, influência em decisão condicionada e decisão condicionada em exploração econômica.

Esse encadeamento precisa ser compreendido com seriedade.

Não se trata de demonizar tecnologia, marketing, automação ou inteligência artificial.

Trata-se de reconhecer que dados pessoais são matéria-prima de poder.

E todo poder precisa de governança.

6. O DPO diante da inteligência artificial

A inteligência artificial intensifica a importância do DPO.

Sistemas de IA dependem de dados para treinar, ajustar, classificar, recomendar, priorizar, gerar respostas, reconhecer padrões, prever comportamentos e automatizar fluxos decisórios.

Quando dados pessoais entram nesses sistemas, surgem perguntas difíceis:

quais dados foram utilizados?

houve base legal adequada?

a finalidade era compatível?

há dados sensíveis?

há risco de discriminação?

há perfilamento?

há decisão automatizada?

há possibilidade de revisão humana?

há explicabilidade suficiente?

há auditoria?

há registro?

há controle sobre fornecedores?

há transferência internacional?

há proteção contra uso indevido?

há avaliação de impacto?

O DPO não precisa ser programador, cientista de dados ou engenheiro de machine learning.

Mas precisa ter autoridade institucional suficiente para formular as perguntas certas e exigir respostas verificáveis.

O risco da IA não está apenas no erro evidente.

Está também na confiança excessiva, na opacidade do processo, no deslocamento da responsabilidade e na normalização de decisões tecnicamente assistidas, mas juridicamente pouco compreendidas.

A IA pode apoiar a decisão humana.

Mas também pode reorganizar o ambiente em que essa decisão ocorre.

Por isso, o DPO deve participar das discussões sobre IA desde a concepção do projeto, e não apenas depois do incidente.

Proteção de dados desde a concepção não é frase ornamental.

É método de prevenção.

7. O risco do DPO decorativo

Um dos maiores riscos institucionais é a criação do DPO decorativo.

Aquele que existe no organograma, mas não influencia decisões.

Aquele que tem nome publicado, mas não tem recursos.

Aquele que recebe demandas, mas não é ouvido.

Aquele que responde titulares, mas não participa de contratações.

Aquele que assina políticas, mas não conhece os sistemas.

Aquele que acompanha incidentes, mas não participa da prevenção.

Aquele que aparece para cumprir requisito, mas não possui autonomia técnica mínima.

Esse modelo é perigoso.

Porque cria aparência de conformidade sem governança real.

A organização passa a acreditar que está protegida porque possui um encarregado indicado.

Mas a simples existência formal de um DPO não significa maturidade em proteção de dados.

O DPO precisa ter acesso à alta gestão, canais internos efetivos, capacidade de orientação, independência técnica, proteção contra conflitos de interesse, comunicação adequada com titulares, envolvimento em projetos relevantes e participação em decisões que envolvam tratamento de dados pessoais.

Sem isso, a função se esvazia.

E a conformidade vira teatro institucional.

8. O DPO e os fornecedores tecnológicos

Outro ponto crítico é a relação com fornecedores.

Muitas organizações públicas e privadas não controlam integralmente a infraestrutura que utilizam. Dependem de plataformas, softwares, nuvem, operadores, suboperadores, ferramentas de automação, sistemas de atendimento, soluções de segurança, aplicações de IA e prestadores de serviços tecnológicos.

Essa dependência cria riscos específicos.

Onde os dados estão armazenados?

Quem acessa?

Há subcontratados?

Há transferência internacional?

O contrato prevê confidencialidade?

Há cláusula de resposta a incidentes?

Há obrigação de exclusão ou devolução dos dados?

Há auditoria?

Há rastreabilidade?

Há reversibilidade?

Há portabilidade?

Há garantia de continuidade?

Há previsão sobre uso dos dados para treinamento de modelos?

Essas perguntas não são meramente técnicas.

São perguntas de soberania institucional.

Uma organização que não sabe onde seus dados estão, quem os trata e sob quais regras já perdeu parte do controle sobre sua própria capacidade decisória.

Aqui, o DPO se aproxima da governança estratégica.

Ele ajuda a revelar dependências invisíveis.

E dependências invisíveis costumam ser uma das formas mais sofisticadas de captura institucional.

9. DPO, setor público e contratações de tecnologia

Nas contratações públicas de tecnologia, a presença do DPO pode ser decisiva.

Quando o poder público contrata sistemas digitais, plataformas, armazenamento em nuvem, ferramentas de IA, softwares de gestão, soluções de saúde, educação, segurança ou atendimento ao cidadão, não está comprando apenas tecnologia.

Está contratando uma arquitetura de tratamento de dados.

Se o edital não prever adequadamente proteção de dados, segurança da informação, matriz de responsabilidade, controle sobre operadores, resposta a incidentes, reversibilidade, confidencialidade, transferência internacional, rastreabilidade e governança de IA, o risco público é incorporado ao contrato.

O problema aparece depois.

No vazamento.

Na dependência do fornecedor.

Na opacidade do algoritmo.

Na ausência de documentação.

Na dificuldade de migração.

Na impossibilidade de auditoria.

Na exposição de dados sensíveis.

Na transferência indevida de informações.

Na automação de decisões sem supervisão suficiente.

Por isso, em contratações públicas que envolvam tecnologia e dados pessoais, o DPO deve ser ouvido ainda na fase de planejamento.

A proteção de dados precisa entrar antes da assinatura do contrato.

Depois, muitas vezes, resta apenas administrar o dano.

10. A responsabilidade institucional pelo ambiente informacional

O Direito tradicionalmente se acostumou a olhar para o ato final.

O contrato assinado.

A decisão proferida.

O consentimento dado.

O cadastro preenchido.

O termo aceito.

A compra realizada.

O benefício negado.

A negativa de crédito.

A recomendação seguida.

Mas, em ambientes digitais, o ato final é apenas a superfície.

Antes dele existe uma arquitetura.

Uma sequência de escolhas técnicas, jurídicas, comerciais e organizacionais que define quais informações aparecem, quais alternativas são apresentadas, quais riscos são destacados, quais dados são coletados, quais perfis são construídos e quais decisões se tornam mais prováveis.

O DPO deve ajudar a instituição a enxergar essa arquitetura.

Porque a responsabilidade contemporânea não está apenas no dano final.

Está também no desenho do ambiente que tornou aquele dano provável.

Essa é uma das maiores mudanças jurídicas da era digital.

A responsabilidade passa a olhar menos apenas para o evento isolado e mais para a estrutura que o produziu.

11. O DPO como guardião da arquitetura informacional

A melhor forma de compreender o DPO hoje talvez seja esta:

o DPO é o guardião da arquitetura informacional da organização.

Não no sentido de controlar tudo sozinho.

Mas no sentido de ocupar uma posição de alerta, articulação e responsabilização.

Ele deve ajudar a instituição a saber:

quais dados trata;

por que trata;

com qual base legal;

com quais riscos;

por meio de quais sistemas;

com quais fornecedores;

com quais mecanismos de segurança;

com quais impactos sobre titulares;

com quais riscos para vulneráveis;

com quais medidas de mitigação;

com quais limites para automação;

com quais instrumentos de revisão;

com qual prestação de contas.

Essa função é estratégica para empresas.

É estratégica para órgãos públicos.

É estratégica para hospitais.

É estratégica para escolas.

É estratégica para escritórios de advocacia.

É estratégica para tribunais.

É estratégica para plataformas digitais.

É estratégica para qualquer organização que trate dados pessoais em escala relevante.

12. Conclusão

O DPO não é apenas o profissional da LGPD.

Não é apenas o canal de contato com titulares.

Não é apenas o responsável por políticas de privacidade.

Não é apenas o personagem que aparece depois do incidente.

Em instituições públicas e privadas, o DPO deve ser compreendido como figura de governança, prevenção e responsabilidade.

Sua relevância cresce justamente porque vivemos em uma sociedade na qual dados pessoais são usados para decidir, prever, influenciar, classificar, excluir, incluir, vender, proteger, vigiar, automatizar e administrar.

A pergunta central já não é apenas:

a organização cumpre formalmente a LGPD?

A pergunta mais importante passa a ser:

a organização governa adequadamente a arquitetura de dados que sustenta suas decisões?

Se a resposta for negativa, a proteção de dados será apenas aparência.

E aparência de conformidade não protege titulares, não reduz riscos, não sustenta confiança e não impede danos.

O futuro da proteção de dados no Brasil dependerá menos de discursos genéricos sobre inovação e mais da capacidade real das instituições de tratar dados com finalidade, proporcionalidade, segurança, transparência, responsabilidade e respeito à autonomia humana.

Nesse cenário, o DPO ocupa uma posição decisiva.

Ele não deve ser visto como obstáculo à inovação.

Deve ser compreendido como uma das condições para que a inovação não se transforme em exploração, opacidade, irresponsabilidade ou captura informacional.

Em uma sociedade governada por dados, proteger dados é proteger pessoas.

E proteger pessoas exige mais do que tecnologia.

Exige governança.

Exige responsabilidade.

Exige instituições capazes de compreender que cada dado tratado pode carregar uma consequência humana.

Este texto integra minha pesquisa sobre autonomia decisória, vulnerabilidade cognitiva, governança institucional e responsabilidade em ambientes mediados por dados, plataformas digitais e inteligência artificial.

Referências de apoio

BRASIL. Lei nº 13.709, de 14 de agosto de 2018. Lei Geral de Proteção de Dados Pessoais.

AUTORIDADE NACIONAL DE PROTEÇÃO DE DADOS. Resolução CD/ANPD nº 18, de 16 de julho de 2024. Aprova o Regulamento sobre a atuação do encarregado pelo tratamento de dados pessoais.

AUTORIDADE NACIONAL DE PROTEÇÃO DE DADOS. Guia sobre a atuação do encarregado pelo tratamento de dados pessoais.

AUTORIDADE NACIONAL DE PROTEÇÃO DE DADOS. Orientações sobre Relatório de Impacto à Proteção de Dados Pessoais — RIPD.