A designação de um DPO é obrigatória:

• se o tratamento dos dados for efetuado por autoridade ou organismo público (independentemente dos dados objeto de tratamento);
• se as atividades principais do responsável pelo tratamento ou do subcontratante consistirem em operações de tratamento que exijam controlo regular e sistemático dos titulares dos dados em grande escala;
• se as atividades principais do responsável pelo tratamento ou do subcontratante consistirem em operações de tratamento em grande escala de categorias especiais de dados ou de dados pessoais relacionados com condenações penais e infrações.

De referir que no ponto 2.1.3 da recomendação são indicados um conjunto de setores que, porque tratam dados pessoais em grande escala, necessitam, em princípio, de DPO/EPD.

Transcrevemos a parte mencionada:

Contam-se como exemplos de tratamento de grande escala:

• o tratamento de dados de doentes no exercício normal das atividades de um hospital
• o tratamento de dados de viagem das pessoas que utilizam o sistema de transportes públicos de uma cidade (p. ex., através de passes de viagem)
• o tratamento em tempo real de dados de geolocalização de clientes de uma cadeia de restauração rápida internacional para fins estatísticos por parte de um subcontratante especializado na prestação desses serviços
• o tratamento de dados de clientes no exercício normal das atividades de uma companhia de seguros ou de um banco
• o tratamento de dados pessoais para fins de publicidade comportamental por um motor de busca
• o tratamento de dados (conteúdo, tráfego, localização) por operadoras telefónicas ou por fornecedores de serviços de internet

Como exemplos que não constituem tratamento de grande escala, incluem-se:

• o tratamento de dados de doentes pacientes por um médico
• o tratamento de dados pessoais relacionados com condenações penais e infrações por um advogado

Saliente-se que o direito da União ou dos Estados-Membros poderá igualmente exigir a designação de DPO noutras situações.

Por último, mesmo quando não é obrigatório designar um DPO, as organizações poderão, nalguns casos, considerar conveniente designar um DPO a título voluntário.

O Grupo do Artigo 29.º para a Proteção de Dados (GT 29) é favorável a estas iniciativas voluntárias.

Quando uma organização designa um DPO a título voluntário, são aplicáveis à sua nomeação, posição e atribuições os mesmos requisitos aplicáveis à designação obrigatória.

Fonte: artigo 37.º, n.º 1, do RGPD e Recomendação “DPO” do GT 29