O que é um DPO?

A “nova” lei da Europa, RGPD, está ativa há um ano, mas neste momento o que realmente sabe sobre esta lei?

Este é um tema complexo e com muitas interpretações. Porém, hoje vamos apenas ensinar-lhe o que é um DPO (Encarregado de Proteção de Dados) e qual é o seu propósito, responsabilidades e requisitos.

A maioria das pequenas empresas não precisa de um DPO, a menos que seu negócio principal seja a monitorização de dados em grande escala.

 

Definição de encarregado de proteção de dados

Um encarregado de proteção de dados (DPO) é uma função de liderança de segurança corporativa exigida pelo Regulamento geral de proteção de dados (RGPD).

Os agentes de proteção de dados são responsáveis por supervisionar a estratégia de proteção de dados de uma empresa e a sua implementação para garantir a conformidade com os requisitos do RGPD.

 

A sua empresa precisa realmente de um oficial de proteção de dados?

É obrigatório nomear um DPO se a organização processa ou armazena dados pessoais para cidadãos da União Europeia em grande escala.

Os DPOs devem ser, “designados para todas as autoridades públicas, e sempre que as atividades centrais do responsável pelo tratamento ou do processador envolvam” monitorização regular e sistemática dos titulares de dados em grande escala” ou “quando a entidade conduz o processamento em grande escala de categorias de dados pessoais especiais, como raça, etnia ou crenças religiosas.”

A lei do RGPD indica que o tamanho de uma organização não é o que dita a necessidade de um DPO, mas sim o tamanho e o escopo do tratamento de dados. O RGPD não define especificamente o que considera ser tratamento de dados “em grande escala”. No entanto, há quatro fatores-chave que as autoridades estão a usar para determinar se um DPO será exigido.

Esses quatro fatores são:

• Titulares de dados;
• Itens de dados;
• Duração da retenção de dados;
• A gama geográfica de processamento;

Embora não existam diretrizes exatas relativamente à escala de manipulação de dados, a maioria das pequenas empresas não serão obrigadas a contratar um DPO, a menos que o seu foco principal seja a recolha de dados ou armazenamento.

 

Responsabilidades e requisitos do responsável da proteção de dados.

O responsável pela proteção de dados tem um papel obrigatório em todas as empresas que recolhem ou processam os dados pessoais dos cidadãos da UE, nos termos do artigo 37 do RGPD.

Consequentemente, os DPOs são responsáveis por educar a empresa e os seus funcionários sobre conformidade, treinar o pessoal envolvido no processamento de dados e realização de auditorias de segurança regulares. Para além disso, os DPOs também servem como ponte entre a empresa e qualquer APD (autoridades de proteção de dados).

Conforme descrito no artigo 39 do RGPD, as responsabilidades do DPO incluem, mas não se limitam a:

• Educar a empresa e os funcionários sobre requisitos de conformidade importantes
• Formação de pessoal envolvido no tratamento de dados
• Realização de auditorias para garantir a conformidade e abordar potenciais problemas de forma pró-ativa
• Servindo como o ponto de contacto entre a empresa e as autoridades supervisoras do RGPD
• Monitorização do desempenho e fornecer aconselhamento sobre o impacto dos esforços de proteção de dados
• Manter registos abrangentes de todas as atividades de processamento de dados conduzidas pela empresa. Isto inclui os propósitos de todas as atividades de processamento, que devem ser públicas se requisitado.
• Interface com os titulares de dados para informá-los sobre como seus dados estão sendo usados, seu direito de ter seus dados pessoais apagados, e que medidas a empresa colocou em vigor para proteger suas informações pessoais