Um dos requisitos regulamentares aplicáveis é a designação de uma pessoa responsável por assegurar o controlo interno sobre o tratamento de dados pessoais. Tal figura designa-se por Encarregado da Proteção de Dados (Data Protection Officer — DPO). Neste artigo, analisaremos as responsabilidades da Empresa na nomeação de um DPO, os requisitos exigidos ao DPO, as respetivas atribuições e outras questões relacionadas com o controlo interno do tratamento de dados pessoais na Empresa.
1. Designação dos responsáveis pelo controlo interno do tratamento de dados pessoais: As empresas que efetuam o tratamento de dados pessoais de pessoas singulares são obrigadas a organizar o controlo interno sobre o tratamento de tais dados. Para o efeito, a Empresa pode adotar uma das seguintes vias:
2. Definição das funções do DPO e respetiva formalização documental: Consoante se proceda à contratação de um novo colaborador ou à cumulação das funções de DPO por um ou vários colaboradores já afetos aos quadros, é necessário definir ou complementar as respetivas descrições de funções. No caso de um trabalhador contratado para o efeito, elabora-se o descritivo de funções de especialista na implementação do controlo interno do tratamento de dados pessoais e dá-se-lhe conhecimento das Instruções internas.
Quando se procede à contratação de um DPO ou à distribuição de funções por vários colaboradores, emitem-se os respetivos documentos de recursos humanos.
Recomendamos que acautele antecipadamente a escolha de um colaborador para substituir o DPO durante as suas ausências. Tal especialista deverá receber formação adequada nas competências inerentes ao DPO.
3. Formação do DPO: Pelo menos uma vez a cada 5 anos, as empresas que tenham designado um DPO devem organizar ações de formação para estes colaboradores em matéria de proteção de dados pessoais. A formação do DPO pode ser realizada através de:
Em alternativa à frequência de entidades externas, o DPO pode realizar formação autodidata na própria Empresa. Para o efeito, estuda os requisitos aplicáveis à proteção de dados pessoais e submete-se a uma avaliação de conhecimentos sobre a matéria, a qual pode revestir a forma de entrevista, testes ou outros métodos. A Empresa poderá convidar especialistas habilitados a ministrar formação em matéria de tratamento de dados pessoais.
Formação no Centro Nacional de Proteção de Dados Pessoais: Em várias organizações, os DPO realizam formação exclusivamente no Centro Nacional de Proteção de Dados Pessoais. Tais organizações incluem, em particular, bancos e organizações de crédito e financeiras não bancárias, companhias de seguros, operadores de telecomunicações, organizações imobiliárias, agências de recrutamento e empresas que tratam dados pessoais de, pelo menos, 10 000 pessoas singulares.
Quando as responsabilidades do DPO incluírem a garantia da segurança da informação e a Empresa seja titular de sistemas de informação — excetuando os utilizados por empresas residentes no Parque de Altas Tecnologias (HTP) em atividades relacionadas com «blockchain» ou criados com a participação de residentes do Parque —, torna-se obrigatória a frequência de formação do DPO no Centro Nacional de Proteção de Dados Pessoais, pelo menos uma vez a cada três anos.
4. Prestação de informações pela Empresa sobre o DPO: Todos os anos, até 15 de novembro, as empresas devem comunicar ao Centro Nacional de Proteção de Dados Pessoais:
Além disso, nos casos em que a empresa esteja registada no Registo de Operadores de Dados Pessoais, as informações sobre o DPO devem ser inscritas no Registo: o seu apelido, nome próprio, patronímico, número de telefone de contacto e endereço de e-mail. Recordamos que nem todas as empresas que tratam dados pessoais necessitam de se registar no Registo. Existem determinados casos em que uma empresa se deve registar neste Registo. Em particular, quando trata dados pessoais biométricos e genéticos ou dados pessoais de mais de 100 000 pessoas singulares.
O âmbito de funções do DPO é bastante abrangente e compreende, em particular:
Vários fatores revelam-se cruciais na seleção de um candidato a DPO e na definição do seu âmbito funcional. Destacam-se os seguintes:
1. Evitar conflitos de interesses: Recomendamos que não seja designada como DPO uma pessoa que realize diretamente o tratamento de dados pessoais, uma vez que tal configuraria um conflito de interesses: o DPO, enquanto responsável pelo controlo interno, ficaria incumbido de fiscalizar a sua própria atividade. Um conflito de interesses pode igualmente surgir quando o colaborador que efetua o tratamento de dados e o DPO integram o mesmo departamento da Empresa.
2. Não recorrer a prestadores externos (freelancers) para funções de DPO: As circunstâncias variam, mas, regra geral, um trabalhador a tempo inteiro demonstra maior sentido de responsabilidade perante a Empresa do que um prestador contratado ao abrigo de um contrato de prestação de serviços civis. Além disso, o controlo interno do tratamento de dados pessoais exige frequentemente um profundo conhecimento dos processos de negócio e o acesso a informações que constituem segredo comercial da empresa. De acordo com a autoridade pública de controlo da proteção de dados, o DPO deve ser um trabalhador integrado nos quadros da empresa.
3. Atender às qualificações exigidas para o cargo: O perfil de qualificação do especialista responsável pelo controlo interno do tratamento de dados pessoais estabelece um requisito de habilitação académica: o DPO deve possuir ensino superior, independentemente da antiguidade profissional. Posteriormente, a experiência profissional como DPO reveste-se de importância fulcral para a progressão na carreira do especialista: exige-se um mínimo de 2 anos de experiência para a segunda categoria de qualificação e três anos na segunda categoria para a atribuição da primeira categoria.
4. Separação de funções: Recomendamos que sejam atribuídas a colaboradores distintos as funções de proteção técnica e criptográfica da informação e as de controlo interno do tratamento de dados pessoais. A segurança técnica e criptográfica exige formação técnica especializada, a qual não é estritamente necessária para o desempenho das restantes funções de DPO, podendo estas ser exercidas, por exemplo, por um jurista.
O colaborador encarregue das funções de DPO não se limitará a abordar os restantes trabalhadores com propostas avulsas de fiscalização. O controlo interno do tratamento de dados pessoais constitui um processo de negócio que deve ser objeto de análise, estruturação e formalização num documento interno.
O Centro Nacional de Proteção de Dados Pessoais propõe a adoção de um documento normativo interno: o procedimento de controlo interno do tratamento de dados pessoais. Este documento é elaborado com base nos demais instrumentos internos da empresa relativos a dados pessoais, nomeadamente as Políticas de Privacidade.
O controlo interno do tratamento de dados pessoais pode revestir a forma de monitorização regular das unidades orgânicas da Empresa ou de inspeções não planeadas.
A monitorização realiza-se semestralmente, de acordo com um plano de monitorização previamente elaborado para o período de um ano.
As inspeções não planeadas são conduzidas pelo DPO por determinação do dirigente da Empresa. Para efeitos de inspeção, o DPO define:
Os nossos advogados e especialistas em segurança da informação possuem vasta experiência em controlo interno do tratamento de dados pessoais e proteção da informação.
Podemos:
Se tiver alguma dúvida ou litígio relacionado com a designação e as funções do DPO, teremos todo o gosto em ajudá-lo! A nossa vasta experiência em direito societário e fiscal ser-lhe-á útil na resolução de quaisquer litígios nesta matéria.
Na economia atual, uma governação societária eficaz tornou-se um fator determinante para o desenvolvimento sustentável das empresas. Não se trata apenas de um conjunto de regras e procedimentos que regulam a atividade dos órgãos de administração da sociedade, mas sim de um sistema abrangente que engloba a tomada de decisões estratégicas, a proteção dos interesses […]
Para um credor estrangeiro, ver a palavra «falido» junto ao nome de um devedor bielorrusso é um duro golpe. A reação natural é encará-la como o fim do dinheiro, como se uma porta se fechasse sobre a quantia que lhe é devida. Esse instinto está completamente errado e é precisamente assim que os credores perdem […]
No contencioso de cobrança de dívidas há uma dura realidade que os credores só aprendem demasiado tarde: ganhar uma ação só é útil se ainda restarem bens contra os quais possa ser instaurada a execução. Um credor que passe um ano e gaste uma pequena fortuna para obter uma sentença, apenas para descobrir que, entretanto, […]
Error: Contact form not found.
