DPO (encarregado de proteção de dados): quando é obrigatório e o que faz

O que é um DPO e onde está previsto

O encarregado de proteção de dados, ou DPO (Data Protection Officer), é a pessoa designada por um responsável pelo tratamento ou por um subcontratante para acompanhar o cumprimento das regras de proteção de dados. O seu papel é aconselhar, controlar e servir de ponto de contacto, tanto para a autoridade de controlo como para os titulares dos dados.

As regras essenciais estão nos artigos 37.º a 39.º do Regulamento Geral sobre a Proteção de Dados (RGPD), o Regulamento (UE) 2016/679: o artigo 37.º define quando a designação é obrigatória, o 38.º trata da posição do DPO dentro da organização e o 39.º enumera as suas funções. Em Portugal, estas regras são complementadas pela Lei n.º 58/2019, que assegura a execução do RGPD na ordem jurídica nacional. A autoridade de controlo portuguesa é a Comissão Nacional de Proteção de Dados (CNPD).

Quando é obrigatório designar um DPO

Segundo o artigo 37.º do RGPD, a designação de um encarregado de proteção de dados é obrigatória em três situações:

• o tratamento é efetuado por uma autoridade ou organismo público, com exceção dos tribunais no exercício da sua função jurisdicional;
• as atividades principais do responsável ou do subcontratante consistem em operações de tratamento que exigem um controlo regular e sistemático dos titulares dos dados em grande escala;
• as atividades principais consistem no tratamento em grande escala de categorias especiais de dados, como dados de saúde, dados genéticos, biométricos ou relativos a convicções religiosas, ou de dados pessoais relacionados com condenações penais e infrações.

Como interpretar «atividades principais», «grande escala» e «controlo regular e sistemático»

Estes três conceitos são os que geram mais dúvidas. «Atividades principais» são as operações essenciais para atingir os objetivos da organização, e não as atividades de suporte que todas as empresas têm, como o processamento de salários ou a gestão informática corrente. Um hospital, por exemplo, trata dados de saúde como parte do seu núcleo de atividade; uma empresa que apenas gere os dados dos seus próprios trabalhadores, em regra, não.

O RGPD não define números para «grande escala». Na apreciação contam fatores como o número de titulares afetados, o volume e a variedade de dados, a duração do tratamento e a sua abrangência geográfica. As orientações do Comité Europeu para a Proteção de Dados, herdadas do antigo Grupo de Trabalho do Artigo 29.º, dão exemplos úteis, mas a avaliação é sempre feita caso a caso.

«Controlo regular e sistemático» abrange, por exemplo, o seguimento e a definição de perfis de comportamento na internet para publicidade comportamental, programas de fidelização, monitorização de localização através de aplicações móveis, dispositivos conectados ou sistemas de videovigilância, quando estas atividades fazem parte do núcleo do negócio.

Se a sua organização não se enquadrar em nenhuma das situações obrigatórias, pode ainda assim designar um DPO voluntariamente. Nesse caso, aplicam-se as mesmas regras de independência e funções. Em qualquer dos cenários, é boa prática documentar a análise que levou à decisão de designar ou não um encarregado.

Funções do encarregado de proteção de dados

O artigo 39.º do RGPD estabelece as funções mínimas do DPO. Entre elas contam-se:

• informar e aconselhar o responsável, o subcontratante e os trabalhadores sobre as suas obrigações de proteção de dados;
• controlar a conformidade com o RGPD, com outras normas aplicáveis e com as políticas internas, incluindo a repartição de responsabilidades, a sensibilização e formação do pessoal e as auditorias correspondentes;
• prestar aconselhamento, quando solicitado, sobre a avaliação de impacto sobre a proteção de dados e controlar a sua realização;
• cooperar com a autoridade de controlo, no caso português a CNPD;
• ser o ponto de contacto da autoridade de controlo sobre questões relacionadas com o tratamento, incluindo a consulta prévia.

Independência e posição na organização

O artigo 38.º do RGPD protege a independência do DPO. A organização deve envolvê-lo, de forma adequada e atempada, em todas as questões relacionadas com proteção de dados, e dar-lhe os recursos necessários para desempenhar as suas funções, incluindo acesso aos dados e às operações de tratamento e oportunidades para manter os seus conhecimentos atualizados.

O encarregado não pode receber instruções sobre o exercício das suas funções, não pode ser destituído nem penalizado por desempenhá-las e reporta diretamente ao mais alto nível de direção. Pode acumular outras tarefas, desde que estas não originem um conflito de interesses. Na prática, funções como administrador, diretor de marketing, diretor de recursos humanos ou responsável de informática tendem a gerar conflito, porque essas pessoas decidem sobre as finalidades e os meios do tratamento.

O DPO deve ser designado com base nas suas qualidades profissionais, em especial os conhecimentos especializados no domínio do direito e das práticas de proteção de dados. A Lei n.º 58/2019 inclui disposições próprias sobre o encarregado, nomeadamente sobre o dever de sigilo, e esclarece que a designação não depende de certificação profissional.

DPO interno ou externo?

O RGPD permite que o encarregado seja um trabalhador da organização ou um prestador externo que exerça as funções com base num contrato de prestação de serviços. Um grupo empresarial pode designar um único DPO, desde que este seja facilmente acessível a partir de cada estabelecimento. Autoridades e organismos públicos também podem partilhar um encarregado, tendo em conta a sua estrutura e dimensão.

Um DPO interno conhece melhor a organização e os seus processos, mas exige investimento em formação e cuidado com conflitos de interesses. Um DPO externo traz experiência de vários contextos e pode ser mais adequado para organizações de menor dimensão, mas precisa de acesso real à informação e de canais de comunicação bem definidos. Em ambos os casos, a responsabilidade pelo cumprimento do RGPD continua a ser do responsável pelo tratamento e não do DPO.

Comunicar os contactos do DPO à CNPD

Nos termos do artigo 37.º, n.º 7, do RGPD, o responsável ou o subcontratante deve publicar os contactos do encarregado de proteção de dados e comunicá-los à autoridade de controlo. Em Portugal, essa comunicação é feita à CNPD, que disponibiliza no seu sítio na internet a informação e o meio para o efeito. Os contactos devem também constar da informação prestada aos titulares, como a política de privacidade, para que qualquer pessoa saiba a quem se dirigir.

Sempre que o DPO mude ou os seus contactos sejam alterados, convém atualizar a comunicação à CNPD e a informação publicada.

Como avaliar a sua situação

Antes de decidir, faça três perguntas: a sua organização é uma entidade pública? As suas atividades principais implicam monitorizar pessoas de forma regular e sistemática em grande escala? Trata em grande escala dados sensíveis ou dados relativos a condenações penais? Se a resposta a alguma for sim, é muito provável que tenha de designar um DPO. Em casos duvidosos, vale a pena obter aconselhamento jurídico e registar o raciocínio seguido.

Designar um encarregado, porém, é apenas uma parte da conformidade com o RGPD. Para ter uma visão global, pode usar a autoavaliação gratuita de RGPD da BALTUM: em 10 a 15 minutos obtém uma pontuação de prontidão, um relatório de lacunas e recomendações geradas por IA sobre registos de tratamento, bases legais, direitos dos titulares, segurança e o papel do DPO. Não substitui aconselhamento jurídico, mas ajuda a perceber onde estão as principais lacunas e por onde começar.

Este artigo é informativo e não constitui aconselhamento jurídico. O baltum.ai é um software independente, não um organismo de certificação.