O Encarregado de Proteção de Dados
Quem é, o que faz e por que a lei o tornou indispensável.
O Encarregado de Proteção de Dados — em inglês, Data Protection Officer — é a peça que o legislador europeu colocou no centro do sistema de proteção de dados. A sua existência traduz uma opção clara: a conformidade com o RGPD não se garante apenas com regras, mas com uma função permanente, independente e qualificada, que acompanha a organização no dia a dia.
A figura nasce do próprio Regulamento, nos artigos 37.º a 39.º, e é desenvolvida, no ordenamento português, pelos artigos 9.º a 13.º da Lei n.º 58/2019. Estes preceitos definem quem deve designar um EPD, qual a sua posição na organização e que funções lhe cabem — e acrescentam, à luz da especificidade nacional, deveres como a realização de auditorias e a sensibilização para a deteção de incidentes.
A independência do EPD
A posição do EPD está rodeada de garantias destinadas a preservar a sua independência. O artigo 38.º do RGPD reúne-as, e elas distinguem o EPD de qualquer outro consultor da organização.
Envolvimento atempado e adequado
O EPD é envolvido, de forma adequada e atempada, em todas as questões relacionadas com a proteção de dados pessoais.
Recursos e acesso
A organização disponibiliza os recursos necessários ao desempenho das funções, o acesso aos dados pessoais e às operações de tratamento, e os meios para manter os conhecimentos especializados.
Independência — sem instruções
O EPD não recebe instruções relativas ao exercício das suas funções e responde diretamente perante a direção ao mais alto nível.
Proteção contra a destituição
O EPD não pode ser destituído nem penalizado pelo responsável pelo tratamento ou pelo subcontratante pelo facto de exercer as suas funções.
Segredo profissional
O EPD fica vinculado à obrigação de segredo ou de confidencialidade no exercício das suas funções, em conformidade com o direito da União ou dos Estados-Membros.
Ausência de conflito de interesses
O EPD pode exercer outras funções, desde que não originem conflito de interesses; não pode ocupar uma posição que determine as finalidades e os meios do tratamento (em regra, cargos de direção de topo).
EPD e Compliance Officer não se confundem
O EPD é específico da proteção de dados e não decide o tratamento; o Compliance Officer cobre a conformidade geral. Acumulá-los pode gerar conflito de interesses.