O Encarregado pelo Tratamento de Dados Pessoais — em inglês, Data Protection Officer (DPO) — é figura obrigatória pela LGPD para todo controlador, incluindo entes públicos. Sua nomeação deve ser formalizada (em ato publicado, no caso público) e seu contato divulgado publicamente.
Atribuições incluem: receber comunicações do titular, atender requisições da ANPD, orientar internamente sobre proteção de dados e contribuir com o programa de governança. Não precisa ser um cargo exclusivo — pode ser acumulado, desde que com tempo e autonomia para atuar.
Em prefeituras pequenas, é comum que o encarregado seja um servidor com acúmulo formal de função. Em prefeituras grandes e secretarias estaduais, é prudente que seja função dedicada, com estrutura mínima de apoio (DPO Office).