Governo de dados pessoais e função de encarregado de proteção de dados
O Regulamento Geral sobre a Proteção de Dados é o regime mais maduro do quadro europeu e, simultaneamente, aquele em que persistem mais lacunas de execução. A obrigação central não é declarar conformidade: é poder demonstrá-la, em qualquer momento, perante a autoridade de controlo.
O que o regime exige
O princípio da responsabilidade previsto no artigo 5.º, n.º 2, do Regulamento (UE) 2016/679 inverte o ónus da prova. Não basta cumprir: é necessário estar em condições de demonstrar o cumprimento. Essa demonstração exige documentação viva — registos actualizados, decisões fundamentadas, avaliações datadas e evidência da execução das medidas.
Em Portugal, o Regulamento é complementado pela Lei n.º 58/2019, de 8 de agosto, que assegura a sua execução na ordem jurídica interna, e pela Lei n.º 41/2004, de 18 de agosto, quanto ao tratamento de dados no contexto das comunicações electrónicas.
A nossa intervenção parte sempre do inventário. Sem conhecer os tratamentos efectivamente realizados, qualquer política é ficção documental.
Autoridade e fontes
As obrigações que estruturam a conformidade neste domínio
Registo das actividades de tratamento
Documentação de todos os tratamentos, com finalidades, categorias de dados e de titulares, destinatários, transferências, prazos de conservação e medidas de segurança.
Fundamento de licitude
Identificação e documentação do fundamento de licitude de cada tratamento, com particular exigência quanto ao consentimento e ao interesse legítimo.
Avaliação de impacto
Realização de avaliações de impacto sobre a protecção de dados nos tratamentos susceptíveis de implicar um risco elevado para os direitos dos titulares.
Encarregado de proteção de dados
Designação, comunicação à autoridade de controlo e garantia das condições de independência, recursos e acesso directo à direcção.
Direitos dos titulares
Procedimento de recepção, verificação de identidade, instrução e resposta aos pedidos dos titulares, no prazo de um mês prorrogável.
Violações de dados pessoais
Registo interno de todas as violações e notificação à autoridade de controlo em 72 horas, com comunicação aos titulares quando exigível.
Protecção desde a concepção
Integração das exigências de protecção de dados na concepção de novos sistemas, produtos e processos, e por defeito nas suas configurações.
Subcontratação e transferências
Contratos de subcontratação conformes ao artigo 28.º e instrumentos válidos de transferência internacional de dados.
Formação e sensibilização
Capacitação das pessoas que tratam dados sob a autoridade do responsável, com registo de participação.
O que deve constar do dossier de conformidade
| Instrumento | Fundamento | Periodicidade de revisão |
|---|---|---|
| Registo das actividades de tratamento | Artigo 30.º do RGPD | Contínua; revisão semestral |
| Política de protecção de dados | Artigo 24.º do RGPD | Anual |
| Avaliações de impacto | Artigo 35.º do RGPD | Por tratamento; revisão em caso de alteração |
| Registo de violações de dados | Artigo 33.º, n.º 5, do RGPD | Contínua |
| Contratos de subcontratação | Artigo 28.º do RGPD | Por contrato; revisão anual |
| Informação aos titulares | Artigos 13.º e 14.º do RGPD | Anual e em caso de novo tratamento |
| Política de conservação e eliminação | Artigo 5.º, n.º 1, alínea e), do RGPD | Anual |
| Registo de consentimentos | Artigo 7.º do RGPD | Contínua |
| Designação do encarregado | Artigo 37.º do RGPD | Comunicação à CNPD e actualização |
Serviços disponíveis nesta área
Encarregado de proteção de dados em regime externo
Exercício da função com designação formal comunicada à autoridade, disponibilidade contratualizada, parecer escrito e relatório anual de actividade.
Diagnóstico e inventário de tratamentos
Levantamento por unidade orgânica, construção do registo do artigo 30.º e identificação das lacunas prioritárias.
Avaliações de impacto sobre a protecção de dados
Realização da avaliação com metodologia documentada, consulta ao encarregado e parecer final fundamentado.
Corpo documental de conformidade
Produção das políticas, procedimentos, avisos de privacidade e minutas contratuais adequadas à organização.
Resposta a violações de dados
Apoio na qualificação, na notificação à autoridade no prazo de 72 horas e na comunicação aos titulares afectados.
Formação em protecção de dados
Programa de dezasseis horas com módulos por função, avaliação e certificado.
Dúvidas recorrentes nesta matéria
Nos termos do artigo 37.º do Regulamento, a designação é obrigatória quando o tratamento seja efectuado por autoridade ou organismo público, quando as actividades principais consistam em operações de tratamento que exijam controlo regular e sistemático dos titulares em larga escala, ou quando envolvam o tratamento em larga escala de categorias especiais de dados ou de dados relativos a condenações penais e infracções.
As coimas previstas no artigo 83.º do Regulamento podem atingir 20 milhões de euros ou 4 % do volume de negócios anual mundial do exercício anterior, consoante o montante que for mais elevado. A autoridade dispõe ainda de poderes correctivos, incluindo advertências, repreensões, limitação temporária ou definitiva do tratamento e suspensão de transferências.
A notificação tardia deve ser acompanhada da justificação do atraso, nos termos do artigo 33.º, n.º 1, do Regulamento. A prática recomendada é notificar dentro do prazo com a informação disponível e completar posteriormente por fases, e não aguardar a conclusão da investigação. O registo interno da violação é obrigatório mesmo quando a notificação não seja exigível.
Não. O artigo 28.º, n.º 3, exige que o contrato ou outro acto jurídico especifique o objecto e a duração do tratamento, a natureza e a finalidade, o tipo de dados pessoais e as categorias de titulares, bem como as obrigações e os direitos do responsável. Cláusulas genéricas de remissão para o Regulamento não satisfazem esta exigência.
Precisa de avaliar a exposição da sua organização neste domínio?
Uma reunião de diagnóstico permite delimitar o âmbito, identificar as obrigações com prazo mais próximo e estimar o esforço necessário.