Elsa Veloso - 20 mai. 10:36
A figura incontornável do Encarregado de Proteção de Dados
A figura incontornável do Encarregado de Proteção de Dados
Precisamos de Encarregados da Proteção de Dados preparados para os constantes desafios, mas sobretudo, que as organizações tomem consciência da relevância da sua função.
Se outrora desvalorizada, atualmente, a proteção de dados e a segurança da informação ao nível da confidencialidade, integridade, disponibilidade e resiliência dos dados pessoais, tem vindo a ser alvo de um contínuo processo de valorização e reconhecimento por força da entrada em vigor do Regulamento Geral sobre a Proteção de Dados e demais legislação aplicável, ganhando relevo nas organizações independentemente da sua dimensão, quer no âmbito do setor público, mas sobretudo, no setor privado.
Embora seja inegável que os dados pessoais são fonte de riqueza e lucro das organizações, temos vivido tempos sombrios no que diz respeito aos constantes e persistentes ataques informáticos sobre os órgãos da Administração Pública e demais empresas. Cada vez mais se justifica que este tema seja tratado com rigor e preocupação por parte de todas as entidades obrigadas à designação de um Encarregado da Proteção de Dados ou (recorrendo à terminologia anglo-saxónica, o chamado Data Protection Officer (DPO).
Analisando a frio a posição e o terreno que Encarregado de Proteção de Dados tem vindo a ocupar nos principais protagonistas do tecido empresarial português, e até na própria Administração Pública, a figura do Encarregado da Proteção de Dados aparece ainda muitas vezes na penumbra das entidades com uma escassa relevância ao nível da sua voz, funções e obrigações.
Por outro lado, coube à lei de execução do RGPD, a lei n.º 58/2019, de 8 de agosto, concretizar que tipo de entidades públicas estão obrigadas à designação de um Encarregado de Proteção de Dados.. Estão abrangidas, de entre as várias entidades públicas indicadas no seu art.º 12.º, o Estado (com designação de um Encarregado por cada área ministerial), as autarquias locais (em concreto a sua designação por cada município) ou as juntas de freguesia (esta última, desde que, com mais de 750 habitantes).
O responsável pelo tratamento deve acautelar o envolvimento em tempo útil do Encarregado de Proteção de Dados em todas as questões relacionadas, proporcionando ao profissional um conhecimento alargado e especializado das operações de tratamento efetuadas, dos sistemas de informação, das medidas técnicas e organizativas adequadas à garantia da confidencialidade, integridade, disponibilidade e resiliência dos dados já adotadas ou a adotar pelo responsável pelo tratamento, bem como o seu envolvimento na definição das estratégias em termos de privacy by design (desenho da privacidade desde a conceção) ou by defalut (por defeito).
Embora o Encarregado da Proteção de Dados possa ser uma pessoa externa à empresa ou à entidade pública através de um contrato de prestação de serviços, o responsável pelo tratamento dos dados pode designar internamente um funcionário, trabalhador ou colaborador, desde que estejam salvaguardadas as situações relacionadas com o âmbito material ao nível das suas funções, nomeadamente, eventuais conflitos de interesses.
O dia a dia das organizações deve pautar-se pela tónica na preocupação com os dados pessoais objeto de tratamento efetuado por si sobre os dados dos seus clientes, mas também sobre os dados dos colaboradores. A relevância da posição do Encarregado de Proteção de Dados tem por base as suas funções enquanto garante da conformidade, ao nível da informação, sensibilização e consciencialização de o responsável pelo tratamento e/ou subcontratante, como também os trabalhadores que estejam em contacto com dados pessoais; controlo da conformidade com o RGPD e demais legislação aplicável; formar e sensibilizar o pessoal implicado nas operações de tratamento de dados e as auditorias correspondentes; prestar aconselhamento, quando tal lhe for solicitado, no que respeita à avaliação de impacto sobre a proteção de dados e controlo da sua realização; e ser o ponto de contacto e entidade cooperante com a Comissão Nacional de Proteção de Dados.
Não convém esquecer que, na eventualidade de uma não conformidade ou ocorrência de qualquer violação de dados serão apuradas e imputadas responsabilidades ao responsável pelo tratamento e, em última instância, aos órgãos de gestão, nos casos de culpa ou dolo pelos incidentes e danos causados. Em 2021, foi atingido o valor mais alto de coimas aplicadas por força da violação dos dados: as 412 multas passadas por todos os países da EU, ascenderam a 1,07 mil milhões de euros, sete vezes mais do que em 2020.
O Encarregado de Proteção de Dados é, pela definição do RGPD, uma entidade livre e autónoma, e deve defender este estatuto, manifestando-se sempre que considere que não tem os meios para o exercício da sua função. Sem prejuízo do RGPD já prever uma linha orientadora sobre as qualificações a observar neste profissional e a salvaguarda de quaisquer e eventuais conflitos de interesses por força do exercício orgânico e material das suas funções, a sua posição e importância no seio da conformidade do tratamento dos dados e segurança de informação reclama, nem sempre estes princípios são cumpridos.
É importante que nos dias que correm, a velocidade da informação, a agilidade e necessidade premente do tratamento de dados, não se sobreponha aos mais elementares direitos fundamentais de cada cidadão enquanto titular dos dados. Uma organização ou entidade em conformidade com o RGPD e demais legislação aplicável, em conjunto com as boas práticas associadas ao manuseamento dos dados, é sinónimo de boa reputação e credibilidade, sobretudo num mercado e espaço digital tão permeável volátil a ataques cibernéticos e violações de dados.