O DPO

O Regulamento (UE) 2016/679 - Regulamento Geral sobre a Proteção de Dados (RGPD) reforçou o papel atribuído ao encarregado de proteção de dados (sigla em inglês DPO), figura criada pela Diretiva 95/46/CE, mas que não granjeou, na altura, o estatuto de agente do mercado da proteção de dados. É apenas com o RGPD que este cargo ganha relevância e se torna numa verdadeira profissão.

O DPO assume uma posição independente em relação a cada entidade responsável pelo tratamento ou subcontratante, e tem como principal missão o acompanhamento do cumprimento das regras instituídas pelo RGPD.

O RGPD prescreve que o DPO é designado de acordo com as suas qualidades profissionais e, em especial, com base nos seus conhecimentos especializados no domínio do direito e das práticas de proteção de dados (nacionais e europeias), bem como, ainda, na sua capacidade para desempenhar as funções que lhe são atribuídas pelo regulamento. O nível necessário de conhecimentos especializados deverá ser determinado, em particular, em função do tratamento de dados realizado e da proteção exigida para os dados pessoais tratados pelo responsável pelo tratamento ou pelo subcontratante.

É fundamental que o DPO conheça o setor económico e a própria estrutura organizacional do responsável pelo tratamento, sob pena de não conseguir fazer uma implementação de medidas eficaz.

O DPO deve, por isso, ter um bom conhecimento das operações de tratamento efetuadas, bem como dos sistemas de informação, das medidas de segurança dos dados já adotadas e das necessidades de proteção de dados do responsável pelo tratamento.

O DPO deve estar em condições de desempenhar as suas funções e atribuições com autonomia, independência e isenção. E deve fazê-lo ao abrigo do sigilo e confidencialidade que lhe são exigíveis pelo direito da União Europeia e dos Estados Membros.

O RGPD previu a obrigação do responsável pelo tratamento ou do subcontratante assegurar que as funções e atribuições que o DPO possa vir a assumir não resultam num conflito de interesses.

Assumindo uma posição independente em relação a cada entidade responsável pelo tratamento ou subcontratante, o DPO não deve receber quaisquer instruções no exercício das suas funções.

Ademais, a entidade responsável pelo tratamento ou subcontratante devem assegurar que o DPO é envolvido, de forma adequada e em tempo útil, em todas as questões relacionadas com a proteção de dados pessoais. Devem, além disso, apoiar o DPO no exercício das funções, facultando-lhe os recursos necessários ao desempenho das suas funções e à manutenção dos seus conhecimentos, bem como permitir-lhe o acesso aos dados pessoais e às operações de tratamento. Nota-se que quanto mais complexas e/ou sensíveis forem as operações de tratamento, mais recursos devem ser concedidos ao DPO. A missão de proteção de dados deve ser eficaz e, para tal, dotada de recursos suficientes e adequados para o tratamento de dados efetuado.

O grau de independência do DPO encontra-se fortemente reforçado pelo RGPD, já que se assegura que este não pode ser destituído, nem tão pouco penalizado pelo responsável pelo tratamento ou pelo subcontratante pelo facto de exercer as suas funções de forma rigorosa. Nega-se completamente a possibilidade de o DPO agir em conluio com o responsável pelo tratamento ou subcontratante, com o propósito de emitir parecer positivo em relação às pretensões destes. Mas, ao mesmo tempo, caso tal cenário venha a ocorrer, e, portanto, através dessas situações verificar-se o derrube das regras impostas pelo RGPD, a entidade responsável pelo tratamento e/ou o subcontratante correm o risco de ser alvo de um processo de contraordenação e de lhes ser aplicada uma sanção, e ainda o risco de lhes ser assacada a responsabilidade civil pelos danos causados ao titular dos dados.

O DPO, no exercício das suas funções, não deve receber instruções quanto à forma de tratar uma questão, por exemplo quanto ao resultado que deve ser obtido, à forma de investigar uma queixa ou à necessidade de consultar a autoridade de controlo.

Do mesmo modo, o DPO não deve receber instruções no sentido de adotar determinada perspetiva sobre uma questão relacionada com as normas de proteção de dados, por exemplo determinada interpretação da legislação.

O DPO é uma figura irresponsável perante o titular dos dados pessoais, já que as funções de decisão, de execução cabem ao responsável pelo tratamento de dados, sendo este que assumirá a responsabilidade em todas as situações.

O DPO informa diretamente a direção ao mais alto nível do responsável pelo tratamento ou do subcontratado, o que significa que o seu trabalho não pode ser escrutinado por um nível intermédio de supervisão/chefia intermédia.