O Encarregado de Proteção de Dados (EPD), ou Data Protection Officer, é uma figura prevista no RGPD e concretizada, em Portugal, pela Lei n.º 58/2019. No entanto, nem todas as organizações estão obrigadas a designar um EPD, o que continua a gerar dúvidas frequentes entre empresas e entidades públicas.

O que é um EDP?

O EPD é a pessoa que acompanha e apoia a organização no cumprimento da legislação de proteção de dados. Entre as suas funções estão informar e aconselhar a entidade e os seus colaboradores, monitorizar a conformidade, prestar apoio em avaliações de impacto, cooperar com a autoridade de controlo e funcionar como ponto de contacto em matérias relacionadas com proteção de dados. Em Portugal, a Lei n.º 58/2019 acrescenta ainda funções como a realização de auditorias, a sensibilização para incidentes de segurança e a articulação com os titulares dos dados.

Para saber mais:

A função do Encarregado de Proteção de Dados (EPD) em contexto empresarial

Quando é que é obrigatório a designação?

O RGPD prevê três situações principais em que a designação de um EPD é obrigatória.

A primeira ocorre quando o tratamento é efetuado por uma autoridade ou organismo público, com exceção dos tribunais no exercício da sua função jurisdicional (artigo 12.º da Lei n.º 58/2019). A segunda aplica-se a organizações cuja atividade principal consista em operações de tratamento que, pela sua natureza, âmbito ou finalidade, exijam um controlo regular e sistemático dos titulares dos dados em grande escala. A terceira verifica-se quando a atividade principal envolve o tratamento em grande escala de categorias especiais de dados, como dados de saúde, ou de dados relativos a condenações penais e contraordenacionais.

A Comissão Europeia dá exemplos úteis: um hospital, uma empresa de segurança que vigia espaços públicos ou uma empresa que faz perfilagem de pessoas podem estar obrigados a ter EPD; já um médico local ou uma pequena sociedade de advogados podem não estar.

Isto significa que a obrigação não depende apenas da dimensão da empresa. Uma organização pequena pode precisar de EPD se a sua atividade implicar monitorização sistemática ou tratamento intensivo de dados sensíveis. Por outro lado, uma empresa maior pode não estar automaticamente obrigada só por ter muitos trabalhadores ou muitos clientes. O ponto central está no tipo de tratamento realizado e no peso que esse tratamento tem na atividade principal da entidade. A própria CNPD esclarece que cabe ao responsável pelo tratamento ou ao subcontratante avaliar, em cada caso, se a organização se enquadra nestas situações.

Nem todas as empresas precisam de EPD

Este é um dos pontos mais importantes para esclarecer. Ter de cumprir o RGPD não significa, automaticamente, ter de nomear um EPD. A CNPD é clara ao dizer que, no caso das empresas, a obrigação só existe nas situações previstas na lei, cabendo ao responsável pelo tratamento ou ao subcontratante avaliar se os tratamentos realizados pela organização exigem essa designação. Ou seja, a dimensão da empresa, por si só, não resolve a questão: o que conta é o tipo de atividade e a forma como os dados são tratados. Ainda assim, mesmo quando a nomeação não é legalmente obrigatória, pode fazer sentido designar um EPD por razões de organização interna, governação e reforço da conformidade. Esta última parte já é uma opção de gestão, não uma imposição legal.

O EDP precisa de certificação?

Não. A Lei n.º 58/2019 é clara ao dizer que o EPD é designado com base nos requisitos previstos no n.º 5 do artigo 37.º do RGPD e que não carece de certificação profissional para o efeito. Além disso, exerce as suas funções com autonomia técnica perante a entidade responsável pelo tratamento ou o subcontratante.

Pode existir um EPD comum a várias empresas?

Sim. A CNPD esclarece que o RGPD admite um EPD comum quer para associações ou organismos representativos de empresas, quer no âmbito de um grupo empresarial, desde que esse EPD esteja facilmente acessível a partir de cada estabelecimento. No entanto, existe um detalhe importante: quando haja várias empresas do mesmo grupo, e cada uma delas esteja obrigada a designar EPD em Portugal, cada empresa tem de comunicar individualmente essa designação à CNPD.

Conclusão: quem precisa mesmo de ter um EPD?

A resposta é: precisam obrigatoriamente de ter um EPD as entidades públicas e as organizações privadas cuja atividade principal envolva monitorização regular e sistemática de pessoas em grande escala ou tratamento em grande escala de dados sensíveis ou dados penais. Fora desses casos, a nomeação pode não ser obrigatória, mas pode continuar a ser uma decisão estratégica e prudente, especialmente em organizações com tratamentos de dados mais complexos.

Num contexto em que a conformidade exige cada vez mais conhecimento técnico, jurídico e organizacional, compreender bem o papel do EPD é já uma necessidade para muitas entidades. Para quem pretende aprofundar este tema e perceber melhor quando, como e com que responsabilidades esta função deve ser assumida, uma formação especializada pode ser um excelente ponto de partida.