GDPR – Encarregado de Proteção de Dados

O Regulamento Geral de Proteção de Dados (GDPR) estabeleceu o conceito de um Encarregado de Proteção de Dados (DPO) na Europa. Ao contrário do que se acredita, o decisivo para a obrigação legal de nomear um Encarregado de Proteção de Dados não é o tamanho da empresa, mas sim as atividades de processamento essenciais, que são definidas como aquelas fundamentais para atingir os objetivos da empresa. Se essas atividades principais consistirem em processar dados pessoais sensíveis em larga escala ou uma forma de processamento de dados que seja particularmente abrangente para os direitos dos titulares dos dados, a empresa deve nomear um DPO. Órgãos públicos, por outro lado, sempre têm que nomear um DPO, com exceção dos tribunais que estão atuando em sua capacidade judicial. Além disso, a norma legal para nomear um Encarregado de Proteção de Dados possui uma cláusula de flexibilidade para os Estados-Membros. Estes são livres para decidir se uma empresa deve nomear um Encarregado de Proteção de Dados sob requisitos mais rigorosos (por exemplo, Seção 38 da Lei Federal de Proteção de Dados da Alemanha). Se tal obrigação existir sob o Regulamento Geral de Proteção de Dados ou uma lei nacional mais específica, um grupo de empresas pode também nomear um único Encarregado de Proteção de Dados. Se o grupo decidir fazê-lo, ele deve ser facilmente acessível para as autoridades de supervisão, funcionários e titulares de dados externos. Se não existir obrigação legal, as empresas podem nomear um DPO de forma voluntária para ajudar com a conformidade de proteção de dados (o que é, por exemplo, recomendado pela autoridade francesa de proteção de dados CNIL).

Grupos e empresas têm duas possibilidades para cumprir sua obrigação de nomear um Encarregado de Proteção de Dados. Ou eles nomeiam um funcionário como Encarregado de Proteção de Dados interno, ou nomeiam um Encarregado de Proteção de Dados externo. Ao selecionar essa pessoa, devem garantir que um Encarregado de Proteção de Dados interno não esteja sujeito a um conflito de interesses devido ao seu trabalho no Departamento de TI, Departamento de RH ou na alta administração, onde teria que supervisionar a si mesmo. Independentemente da opção escolhida, um Encarregado de Proteção de Dados deve fornecer conhecimento profissional especializado em direito de proteção de dados e segurança de TI, o escopo dependendo da complexidade do processamento de dados e do tamanho da empresa.

As atribuições de um Encarregado de Proteção de Dados incluem: Trabalhar para a conformidade com todas as leis de proteção de dados relevantes, monitorar processos específicos, como avaliações de impacto na proteção de dados ou a conscientização e treinamento dos funcionários para a proteção de dados, bem como colaborar com as autoridades de supervisão. Portanto, o funcionário atuando como Encarregado de Proteção de Dados não deve ser demitido ou penalizado devido ao cumprimento de suas tarefas. Apesar de sua função de monitoramento, a própria empresa continua responsável pelo cumprimento das leis de proteção de dados. Portanto, deve envolver o Encarregado de Proteção de Dados em todas as questões relacionadas à proteção de dados pessoais “adequadamente e em tempo hábil”. Quando um Encarregado de Proteção de Dados é nomeado, seu superior deve publicar seus dados de contato e comunicar sua nomeação e dados de contato às autoridades de supervisão de proteção de dados. Se uma empresa voluntariamente nomeou um DPO, também deve aderir aos critérios e disposições mencionados acima. Também observe que a falha intencional ou negligente em nomear um Encarregado de Proteção de Dados apesar de uma obrigação legal é uma infração sujeita a multas.