O Regulamento Geral sobre a Proteção de Dados (RGPD) reforçou o papel atribuído ao encarregado de proteção de dados (EPD/DPO), figura criada pela Diretiva de 1995, mas que não granjeou, na altura, o estatuto de agente do mercado da proteção de dados. É apenas com o RGPD que este cargo ganha relevância e se torna numa verdadeira profissão.
O EPD/DPO assume uma posição independente em relação a cada entidade responsável pelo tratamento ou subcontratado, e tem como principal missão o acompanhamento do cumprimento das regras instituídas pelo RGPD.
O RGPD determina que o EPD/DPO é designado de acordo com as suas qualidades profissionais e em especial, com base nos seus conhecimentos especializados no domínio do direito e das práticas de proteção de dados (nacionais e europeias), bem como ainda na sua capacidade para desempenhar as funções que lhe são atribuídas pelo regulamento. O nível necessário de conhecimentos especializados deverá ser determinado em particular em função do tratamento de dados realizado e da proteção exigida para os dados pessoais tratados pelo responsável pelo tratamento ou pelo subcontratado.
No entanto, é fundamental que o EPD/DPO conheça o setor económico e a própria estrutura organizacional do responsável pelo tratamento, sob pena de não conseguir fazer uma implementação de medidas eficaz.
O EPD/DPO deve por isso ter um bom conhecimento das operações de tratamento efetuadas, bem como dos sistemas de informação, das medidas de segurança dos dados já adotadas e das necessidades de proteção de dados do responsável pelo tratamento.
O EPD/DPO deve estar em condições de desempenhar as suas funções e atribuições com autonomia, independência e isenção. E deve fazê-lo ao abrigo do sigilo e confidencialidade que lhe são exigíveis pelo direito da União Europeia e dos Estados Membros.
O RGPD previu a obrigação do responsável pelo tratamento ou do subcontratado assegurar que as funções e atribuições que o EPD/DPO possa vir a assumir não resultam num conflito de interesses.
Assumindo uma posição independente em relação a cada entidade responsável pelo tratamento ou subcontratado, o EPD/DPO não deve receber quaisquer instruções no exercício das suas funções.
Ademais, a entidade responsável pelo tratamento ou subcontratado devem assegurar que o EPD/DPO é envolvido de forma adequada e em tempo útil, em todas as questões relacionadas com a proteção de dados pessoais. Devem além disso apoiar o encarregado da proteção de dados no exercício das suas funções, facultando-lhe os recursos necessários ao desempenho das suas funções e à manutenção dos seus conhecimentos bem como permitir-lhe o acesso aos dados pessoais e às operações de tratamento. Nota-se que quanto mais complexas e/ou sensíveis forem as operações de tratamento, mais recursos devem ser concedidos ao EPD/DPO. A missão de proteção de dados deve ser eficaz e, para tal, dotada de recursos suficientes e adequados para o tratamento de dados efetuado.
O grau de independência do EPD/DPO encontra-se fortemente reforçado pelo RGPD já que se assegura que este não pode ser destituído, nem tão pouco penalizado pelo responsável pelo tratamento ou pelo subcontratado pelo facto de exercer as suas funções de forma rigorosa. Nega-se completamente a possibilidade de o EPD/DPO agir em conluio com o responsável pelo tratamento ou subcontratado com o propósito de emitir parecer positivo em relação às pretensões destes. Mas ao mesmo tempo, caso tal cenário venha a ocorrer e, portanto através dessas situações verificar-se o derrube das regras impostas pelo RGPD, a entidade responsável pelo tratamento e/ou o subcontratado correm o risco de ser alvo de um processo de contraordenação e de lhes ser aplicada uma sanção, e ainda o risco de lhes ser atribuída a responsabilidade civil pelos danos causados ao titular dos dados.
O EPD/DPO, no exercício das suas funções, não deve receber instruções quanto à forma de tratar uma questão, por exemplo quanto ao resultado que deve ser obtido, à forma de investigar uma queixa ou à necessidade de consultar a autoridade de controlo.
Do mesmo modo, o EPD/DPO não deve receber instruções no sentido de adotar determinada perspetiva sobre uma questão relacionada com as normas de proteção de dados, por exemplo determinada interpretação da legislação.
O EPD/DPO não é responsável perante o titular dos dados pessoais já que as funções de decisão de execução cabem ao responsável pelo tratamento de dados, sendo que este assumirá a responsabilidade em todas as situações.
O EPD/DPO não decide, não ordena. O DPO aconselha, recomenda. O DPO dá o seu parecer, pronuncia-se, verifica, alerta, audita, sensibiliza.
O EPD/DPO informa diretamente a direção ao mais alto nível do responsável pelo tratamento ou do subcontratado, o que significa que o seu trabalho não pode ser escrutinado por um nível intermédio de supervisão/chefia intermédia.
