O DPO

O Regulamento (UE) 2016/679 - Regulamento Geral sobre a Proteção de Dados (RGPD) reforçou o papel atribuído ao encarregado de proteção de dados (sigla em inglês DPO), figura criada pela Diretiva 95/46/CE, mas que não granjeou, na altura, o estatuto de agente do mercado da proteção de dados. É apenas com o RGPD que este cargo ganha relevância e se torna numa verdadeira profissão.

O DPO assume uma posição independente em relação a cada entidade responsável pelo tratamento ou subcontratante, e tem como principal missão o acompanhamento do cumprimento das regras instituídas pelo RGPD.

O RGPD prescreve que o DPO é designado de acordo com as suas qualidades profissionais e, em especial, com base nos seus conhecimentos especializados no domínio do direito e das práticas de proteção de dados (nacionais e europeias), bem como, ainda, na sua capacidade para desempenhar as funções que lhe são atribuídas pelo regulamento. O nível necessário de conhecimentos especializados deverá ser determinado, em particular, em função do tratamento de dados realizado e da proteção exigida para os dados pessoais tratados pelo responsável pelo tratamento ou pelo subcontratante.

É fundamental que o DPO conheça o setor económico e a própria estrutura organizacional do responsável pelo tratamento, sob pena de não conseguir fazer uma implementação de medidas eficaz.

O DPO deve, por isso, ter um bom conhecimento das operações de tratamento efetuadas, bem como dos sistemas de informação, das medidas de segurança dos dados já adotadas e das necessidades de proteção de dados do responsável pelo tratamento.

O DPO deve estar em condições de desempenhar as suas funções e atribuições com autonomia, independência e isenção. E deve fazê-lo ao abrigo do sigilo e confidencialidade que lhe são exigíveis pelo direito da União Europeia e dos Estados Membros.

O RGPD previu a obrigação do responsável pelo tratamento ou do subcontratante assegurar que as funções e atribuições que o DPO possa vir a assumir não resultam num conflito de interesses.

Assumindo uma posição independente em relação a cada entidade responsável pelo tratamento ou subcontratante, o DPO não deve receber quaisquer instruções no exercício das suas funções.

Ademais, a entidade responsável pelo tratamento ou subcontratante devem assegurar que o DPO é envolvido, de forma adequada e em tempo útil, em todas as questões relacionadas com a proteção de dados pessoais. Devem, além disso, apoiar o DPO no exercício das funções, facultando-lhe os recursos necessários ao desempenho das suas funções e à manutenção dos seus conhecimentos, bem como permitir-lhe o acesso aos dados pessoais e às operações de tratamento. Nota-se que quanto mais complexas e/ou sensíveis forem as operações de tratamento, mais recursos devem ser concedidos ao DPO. A missão de proteção de dados deve ser eficaz e, para tal, dotada de recursos suficientes e adequados para o tratamento de dados efetuado.

O grau de independência do DPO encontra-se fortemente reforçado pelo RGPD, já que se assegura que este não pode ser destituído, nem tão pouco penalizado pelo responsável pelo tratamento ou pelo subcontratante pelo facto de exercer as suas funções de forma rigorosa. Nega-se completamente a possibilidade de o DPO agir em conluio com o responsável pelo tratamento ou subcontratante, com o propósito de emitir parecer positivo em relação às pretensões destes. Mas, ao mesmo tempo, caso tal cenário venha a ocorrer, e, portanto, através dessas situações verificar-se o derrube das regras impostas pelo RGPD, a entidade responsável pelo tratamento e/ou o subcontratante correm o risco de ser alvo de um processo de contraordenação e de lhes ser aplicada uma sanção, e ainda o risco de lhes ser assacada a responsabilidade civil pelos danos causados ao titular dos dados.

O DPO, no exercício das suas funções, não deve receber instruções quanto à forma de tratar uma questão, por exemplo quanto ao resultado que deve ser obtido, à forma de investigar uma queixa ou à necessidade de consultar a autoridade de controlo.

Do mesmo modo, o DPO não deve receber instruções no sentido de adotar determinada perspetiva sobre uma questão relacionada com as normas de proteção de dados, por exemplo determinada interpretação da legislação.

O DPO é uma figura irresponsável perante o titular dos dados pessoais, já que as funções de decisão, de execução cabem ao responsável pelo tratamento de dados, sendo este que assumirá a responsabilidade em todas as situações.

O DPO não decide, não ordena. O DPO aconselha, recomenda. O DPO dá o seu parecer, pronuncia-se, verifica, alerta, audita, sensibiliza.

O DPO informa diretamente a direção ao mais alto nível do responsável pelo tratamento ou do subcontratado, o que significa que o seu trabalho não pode ser escrutinado por um nível intermédio de supervisão/chefia intermédia.

Quais são, afinal, as funções do DPO?
Informar e aconselhar

O DPO deve informar e aconselhar os dirigentes do responsável pelo tratamento ou do subcontratante, bem como os respetivos trabalhadores que tratem dados pessoais, das suas obrigações resultantes do RGPD, bem como de outras disposições de proteção de dados.

Controlar a conformidade

Compete-lhe ainda controlar a conformidade do tratamento, quer relativamente ao RGPD, quer com referência a outras disposições legais de proteção de dados, quer ainda relativamente às políticas de proteção de dados pessoais do responsável pelo tratamento ou do subcontratante. Tal incluí a realização de auditorias.

Acompanhar uma Avaliação de Impacto sobre a Proteção de Dados - AIPD

Sempre que o responsável pelo tratamento efetue uma avaliação de impacto sobre a proteção de dados, deve o mesmo solicitar o parecer do DPO. Por esta razão, uma outra função do DPO é precisamente a de prestar aconselhamento no domínio da avaliação de impacto sobre a proteção de dados e controlar a sua realização.

Cooperar com a autoridade de controlo

Servir de ponto de contacto e colaborar com a autoridade de controlo, sempre que se afigure conveniente e necessário. 
 

Ponto de contacto para os titulares dos dados

Os titulares dos dados podem contactar o DPO sobre todas questões relacionadas com o tratamento dos seus dados pessoais e com o exercício dos direitos que lhe são conferidos pelo RGPD.