Como estruturar um comitê de privacidade e proteção de dados

Quando uma organização começa a estruturar sua conformidade com a LGPD, uma dúvida frequente surge: é suficiente ter um Encarregado de Dados (DPO), ou é necessário também um comitê de privacidade?

A resposta depende do tamanho, da complexidade e do nível de risco das atividades de tratamento — mas para a maioria das organizações que precisam de uma conformidade robusta e auditável, a resposta é: as duas coisas, e por razões diferentes.

Este guia explica como estruturar um comitê de privacidade eficaz, integrado ao Programa de Governança em Privacidade exigido pelo Art. 50 da LGPD.

DPO e Comitê de Privacidade: papéis distintos

Antes de estruturar qualquer coisa, é fundamental entender que o Encarregado de Dados e o Comitê de Privacidade têm naturezas completamente diferentes.

O Encarregado de Dados (DPO)

O DPO, definido pelo Art. 41 da LGPD e regulamentado pela Resolução CD/ANPD Nº 18/2024, tem função técnica e independente:

É o interlocutor oficial entre a organização, a ANPD e os titulares de dados
Aceita reclamações e petições dos titulares
Orienta funcionários sobre práticas de proteção de dados
Acompanha a implementação e a aplicação da política de privacidade
Deve ter autonomia real — não pode ser subordinado a quem define as políticas que deve supervisionar

A Resolução Nº 18/2024 é explícita: o acúmulo de funções pelo DPO só é permitido se não houver conflito de interesses. Isso significa que um DPO que também é Diretor Jurídico ou Gerente de TI pode estar em posição de conflito — o que a ANPD verifica ativamente.

O Comitê de Privacidade

O Comitê é um órgão deliberativo e multidisciplinar:

Toma decisões corporativas sobre privacidade
Aloca recursos para conformidade
Aprova políticas e programas
Resolve conflitos entre áreas com interesses divergentes
Presta contas ao Conselho ou à Alta Direção

A distinção central: o DPO orienta e fiscaliza — o Comitê decide e responde. O DPO não pode decidir sozinho sobre investimentos em segurança, prioridades de conformidade ou aceitação de riscos de privacidade. Para isso, o Comitê existe.

Base legal: o que o Art. 50 da LGPD exige

O Art. 50 da LGPD não usa a expressão "comitê de privacidade", mas é a âncora legal para a governança estruturada:

"Os controladores e operadores, no âmbito de suas competências, pelo tratamento de dados pessoais, individualmente ou por meio de associações, poderão formular regras de boas práticas e de governança que estabeleçam as condições de organização, o regime de funcionamento, os procedimentos, incluindo reclamações e petições de titulares, as normas de segurança, os padrões técnicos, as obrigações específicas para os diversos envolvidos no tratamento, as ações educativas, os mecanismos internos de supervisão e de mitigação de riscos e outros aspectos relacionados ao tratamento de dados pessoais."

O §2º complementa com elementos que um programa de governança deve contemplar:

Demonstração do comprometimento do controlador e do operador em adotar processos e políticas internas
Aplicabilidade a toda a estrutura da organização
Mecanismos de supervisão internos e de mitigação de riscos
Plano de resposta a incidentes
Monitoramento contínuo e avaliações periódicas

Um comitê formal de privacidade é a estrutura mais robusta para atender a esses requisitos — e a documentação de suas reuniões é a evidência mais direta de que o "comprometimento da alta direção" exigido pelo Art. 50 existe na prática.

A atenuante financeira (Resolução Nº 4/2023)

A Resolução CD/ANPD Nº 4/2023, que regula a dosimetria de sanções, prevê redução de 20% sobre a base calculada para organizações que demonstram "programa de boas práticas e governança" implementado.

Um comitê com atas de reunião, decisões registradas e programa documentado é o que transforma essa atenuante de teórica em efetiva.

Quem deve compor o comitê

A composição ideal varia com o tamanho da organização, mas o princípio é o mesmo: toda área que gera, processa ou usa dados pessoais deve ter representação.

Composição mínima recomendada

Membro	Papel no comitê	Por que é essencial
DPO/Encarregado	Secretário técnico e orientador	Garante conformidade técnica das decisões
Representante Jurídico	Análise de contratos e bases legais	Avalia implicações legais das decisões
Representante de TI/Segurança	Implementação técnica	Viabiliza controles técnicos aprovados
Representante de RH	Dados de funcionários e treinamento	Escopo crítico de tratamento de dados
Representante de Marketing/Comercial	Dados de clientes e campanhas	Área com maior volume de bases legais questionáveis
C-Level (CEO, COO ou equivalente)	Presidente do comitê	Demonstra comprometimento da alta direção

Composição ampliada (organizações maiores)

Compliance Officer (se existir)
Representante de Compras (aprovação de DPAs com fornecedores)
Representante da área de maior risco (saúde, financeiro, etc.)
Representante do Conselho de Administração (link com governança corporativa)

Regra de ouro da composição

O DPO não deve presidir o comitê. Presidir o comitê significaria tomar as decisões que ele próprio deveria supervisionar — criando o conflito de interesses que a Resolução Nº 18/2024 veda. O DPO orienta tecnicamente; um membro da alta direção preside e responde pelas decisões.

O mandato: o que o comitê decide

O mandato deve ser definido em um documento formal (Termo de Constituição do Comitê ou Política de Governança de Privacidade) aprovado pelo Conselho ou pela Diretoria Executiva.

Responsabilidades típicas

Políticas e normas:

Aprovar e revisar a Política de Privacidade pública e as políticas internas de tratamento de dados
Aprovar o Programa de Governança em Privacidade (Art. 50)
Definir retenção de dados por categoria
Aprovar modelos de DPA (Data Processing Agreement) para fornecedores

Avaliação e risco:

Revisar e aprovar RIPDs (Relatórios de Impacto) para atividades de alto risco
Analisar e aceitar ou recusar riscos de privacidade identificados
Revisar o ROPA (Registro de Operações de Tratamento) anualmente

Incidentes:

Tomar decisões críticas durante incidentes de dados (comunicar ou não à ANPD, resposta aos titulares)
Revisar incidentes passados e aprovar melhorias de processo

Fornecedores:

Aprovação de novos fornecedores que processam dados sensíveis
Revisão de due diligence de privacidade

Cultura e treinamento:

Aprovar programa anual de treinamento de colaboradores
Definir metas de conscientização

Frequência e documentação das reuniões

Frequência recomendada

Tipo de reunião	Frequência	Pauta
Reunião ordinária	Trimestral	Relatórios de KPIs, revisão de incidentes, atualização do programa
Reunião extraordinária	Conforme necessário	Incidentes graves, novas regulamentações, decisões urgentes
Revisão anual do programa	Anual	Revisão completa do Programa de Governança, ROPA, aprovação de metas

A frequência trimestral é a recomendação de maturidade adotada pela maioria dos programas avançados e referenciada em frameworks internacionais (ISO 27701, NIST Privacy Framework).

O que documentar nas atas

A ata de reunião do comitê de privacidade é uma das evidências mais valiosas que uma organização pode apresentar à ANPD. Ela demonstra que o "monitoramento contínuo" exigido pelo Art. 50 existe de forma concreta.

Campos obrigatórios na ata:

Data, hora e local (presencial ou virtual)
Membros presentes (com assinaturas ou confirmação digital)
Pauta da reunião
Resumo das discussões por item
Decisões tomadas — numeradas e com responsáveis definidos
Prazos para ações aprovadas
Aprovação da ata da reunião anterior
Data da próxima reunião

O que a documentação demonstra à ANPD:

A alta direção está engajada ativamente (não apenas formalmente)
Decisões de conformidade são tomadas de forma colegiada
Há monitoramento e acompanhamento de ações
A organização toma privacidade a sério institucionalmente

Como criar o comitê: passo a passo

Passo 1 — Decisão formal da alta direção

O comitê não pode ser iniciativa exclusiva do DPO ou do jurídico. Precisa de deliberação e aprovação formal por quem tem autoridade para comprometer recursos: Conselho de Administração, Diretoria Executiva ou equivalente.

Documento a produzir: Ata de reunião do Conselho/Diretoria aprovando a criação do comitê.

Passo 2 — Definir composição, mandato e regimento

Produza um Regimento Interno do Comitê de Privacidade com:

Composição, forma de indicação e mandato dos membros
Competências e responsabilidades
Frequência de reuniões, quórum e forma de votação
Regras para aprovação de decisões
Relação de subordinação (Comitê → Diretoria → Conselho)
Periodicidade de reporte à alta direção

Passo 3 — Primeira reunião de constituição

Na primeira reunião:

Aprovar o Regimento Interno
Definir o calendário de reuniões do ano
Fazer o inventário inicial: o que já existe (ROPA, políticas, DPAs) e o que falta
Estabelecer prioridades para o primeiro ciclo

Passo 4 — Integrar ao fluxo operacional

O comitê não pode existir apenas no papel. Precisa ser integrado ao calendário real da organização:

Bloqueio de agenda no calendário corporativo para as reuniões
Inclusão no processo de contratação de fornecedores (aprovação de DPAs)
Acionamento obrigatório durante incidentes
Linkagem ao processo de revisão de novos produtos e serviços (Privacy by Design)

Passo 5 — Documentar e evidenciar

Cada reunião deve produzir uma ata formal. Cada decisão deve gerar uma ação rastreável, com responsável e prazo. Esse registro é o que transforma a conformidade de intenção em evidência.

Exemplos no setor público brasileiro

Órgãos públicos brasileiros têm criado estruturas similares como parte de seus Programas de Governança em Privacidade:

FUNCEF (Fundo de Pensão dos Funcionários da Caixa): Constituiu Comitê de Privacidade com representantes das áreas jurídica, de TI, de gestão de riscos e operacional, com reuniões regulares e atas documentadas.
Ministério das Comunicações (MCom): Estruturou comitê interno de proteção de dados com papel formal na revisão de novos tratamentos e aprovação de políticas.
ENAP (Escola Nacional de Administração Pública): Publicou Programa de Governança em Privacidade com estrutura de comitê documentada e ciclo de monitoramento definido.
TRT-5 (Tribunal Regional do Trabalho da 5ª Região): Implementou comitê multidisciplinar de privacidade com reuniões trimestrais e reporte ao Tribunal Pleno.

Esses exemplos mostram que a estruturação formal de comitês é tendência tanto no setor privado quanto no público, especialmente com o Mapa de Temas Prioritários 2026-2027 da ANPD incluindo Poder Público como área de fiscalização prioritária.

Erros comuns na estruturação do comitê

Erro	Consequência	Como evitar
DPO preside o comitê	Conflito de interesses; DPO supervisiona suas próprias decisões	Presidência deve ser de membro da alta direção
Comitê sem poder de decisão real	Reuniões burocráticas, sem impacto; não gera evidências úteis	Mandato formal com competências claras e vinculantes
Atas sem decisões específicas	Documentação inútil para fins regulatórios	Cada reunião deve produzir decisões numeradas com responsáveis
Frequência apenas anual	Monitoramento insuficiente; regulamentações e riscos mudam	Mínimo trimestral para reuniões ordinárias
Composição apenas de TI/Jurídico	Visão parcial; decisões de negócio tomadas sem representação técnica	Multidisciplinaridade é requisito do Art. 50
Comitê criado sem aprovação formal	Sem legitimidade; não demonstra comprometimento da alta direção	Criação por deliberação formal do Conselho ou Diretoria

Checklist para estruturar o comitê

Constituição:

Decisão formal da alta direção (ata do Conselho/Diretoria)?
Regimento Interno elaborado e aprovado?
Membros indicados com representação multidisciplinar?
DPO como orientador técnico, não como presidente?

Mandato:

Competências definidas (o que o comitê decide e o que apenas recomenda)?
Integração ao processo de contratação de fornecedores (DPAs)?
Protocolo de acionamento em incidentes definido?

Funcionamento:

Calendário de reuniões ordinárias estabelecido (mínimo trimestral)?
Modelo de ata com campos obrigatórios definido?
Sistema de acompanhamento de ações aprovadas?
Canal de comunicação com a alta direção definido?

Documentação:

Atas produzidas e armazenadas com segurança?
Ações rastreáveis com responsáveis e prazos?
Programa de Governança aprovado pelo comitê?

Conclusão

O Comitê de Privacidade não é burocracia — é a estrutura que transforma conformidade com a LGPD em cultura organizacional. Sem ele, o DPO fica isolado tentando tomar decisões que dependem de múltiplas áreas e de comprometimento de recursos que não estão sob seu controle. Com ele, privacidade ganha o peso institucional que a LGPD exige.

Para a ANPD, um programa de governança real — com comitê constituído, atas documentadas e decisões rastreáveis — é a diferença entre a atenuante de 20% e a ausência dela. Para a organização, é a diferença entre privacidade como procedimento e privacidade como valor.

O Confidata centraliza a documentação do Programa de Governança em Privacidade, incluindo políticas aprovadas pelo comitê, registros de decisões, ROPA e RIPDs — tudo rastreável e auditável. Conheça como apoiamos a estruturação da governança de privacidade da sua organização.