Provavelmente já se está a habituar a que elaboremos abreviaturas importantes da indústria. Não se preocupe, temos mais reservado para si hoje. Vamos falar-lhe do DPO e do PO – e das suas diferenças – dentro das organizações. Então, vamos mergulhar no (D)PO.
Desde que o RGPD entrou em vigor em 2018, as organizações tiveram de implementar uma série de medidas e mudanças no departamento técnico, operacional e de gestão. As organizações públicas e as empresas de grande dimensão foram obrigadas a designar um responsável pela proteção de dados (DPO). Outras empresas, que – devido ao facto de não serem organizações públicas e/ou de o pedido não ser relevante para o seu âmbito e dimensão – apoiaram os seus esforços em matéria de privacidade de dados com a ajuda de um responsável pela privacidade (RP). Embora o DPO e o PO tenham responsabilidades sobrepostas, são funções diferentes, com objectivos diferentes. Explicamos:
O pedido de GDPR
Como mencionámos acima, a nomeação de um DPO é obrigatória para as seguintes organizações:
- Organizações que são uma autoridade pública ou um organismo público;
- Organizações com atividades principais que envolvem o processamento em larga escala de categorias especiais de dados pessoais e dados relacionados a condenações criminais;
- Organizações com actividades principais que envolvam a monitorização regular e sistemática de titulares de dados em grande escala.
Para o responsável pela proteção de dados destes três tipos de organização, o pedido do RGPD tem o seguinte aspeto:
- Informar e aconselhar o responsável pelo tratamento ou o subcontratante e os trabalhadores. Estes são responsáveis pelo cumprimento do tratamento das suas obrigações nos termos do regulamento e de outras disposições de proteção de dados da União ou dos Estados-Membros;
- Monitorizar a conformidade com o GDPR e outras leis de proteção de dados e as políticas de proteção de dados da organização. O que inclui a atribuição de responsabilidades, a sensibilização e a formação do pessoal envolvido nas operações de tratamento e nas auditorias relacionadas;
- Prestar aconselhamento, quando solicitado, sobre a avaliação do impacto da proteção de dados e monitorizar o seu desempenho.
- Cooperar com a autoridade de controlo e atuar como ponto de contacto para esta em questões relacionadas com o tratamento de dados.
A nomeação de um OP nunca é uma exigência legal. Primeira diferença: verificar.
Interno ou externo?
O RGPD permite que as organizações escolham se querem nomear um Responsável pela Proteção de Dados interno ou externo. O responsável pela proteção de dados pode ser nomeado internamente, para um membro permanente do pessoal, ou externamente, actuando ao abrigo de um contrato de prestação de serviços.
Principais responsabilidades do DPO da OP
O DPO é responsável por supervisionar a estratégia de proteção de dados e a implementação de uma organização. O PO constrói um programa de privacidade estratégico e abrangente. O DPO é a principal ligação com os reguladores e as autoridades de supervisão, enquanto o PO estabelece a governação do programa de privacidade juntamente com a gestão de uma organização.
Outras responsabilidades de um DPO são a formação dos funcionários sobre os requisitos de conformidade com o RGPD, a realização de auditorias de avaliação regulares para garantir a conformidade com o RGPD e a atuação como promotor dos interesses dos consumidores, clientes, funcionários e outros titulares de dados. O OP está ocupado a realizar actividades de monitorização da conformidade como parte da equipa de conformidade e a conceber e ministrar formação inicial e contínua em matéria de privacidade para toda a organização.
Para concluir, recomenda-se vivamente que todas as organizações nomeiem uma pessoa de contacto para a privacidade, a fim de garantir que a proteção dos dados pessoais e a privacidade de todas as partes interessadas estão bem asseguradas. Esta pessoa pode ser o DPO, mas também um PO, uma combinação dos dois ou outra designação.
Cuidem da vossa segurança e privacidade, amigos.
Pode agradecer-nos mais tarde.
