Dan Ostergaard · Cofundador, Trusty · Antigo responsável global de compliance da Novartis · Fundador da PolicyStore
As funções de encarregado de proteção de dados (DPO, na sigla inglesa) e de compliance officer são muitas vezes confundidas. Ambas protegem a organização contra riscos legais, mas têm objetos diferentes. O DPO zela pela proteção dos dados pessoais, nos termos do RGPD e da Lei n.º 58/2019. O compliance officer acompanha o cumprimento das restantes obrigações legais e internas. Neste artigo, explicamos as funções de cada um e onde têm de cooperar.
Funções do encarregado de proteção de dados e do compliance officer
O RGPD fixa as funções mínimas do encarregado de proteção de dados (artigo 39.º do Regulamento (UE) 2016/679):
- informar e aconselhar a organização e os trabalhadores sobre as suas obrigações de proteção de dados;
- controlar a conformidade com o RGPD e com as políticas internas, incluindo a formação do pessoal e as auditorias;
- prestar aconselhamento, quando solicitado, sobre a avaliação de impacto sobre a proteção de dados;
- cooperar com a autoridade de controlo e ser o seu ponto de contacto.
Em Portugal, a autoridade de controlo é a Comissão Nacional de Proteção de Dados (CNPD), que fiscaliza o cumprimento do RGPD e da Lei n.º 58/2019. O compliance officer, por seu lado, coordena o programa de cumprimento normativo: identifica riscos, define políticas, forma as equipas e acompanha a gestão das denúncias.
Quando é obrigatório designar um encarregado de proteção de dados?
O RGPD obriga a designar um encarregado de proteção de dados em três situações (artigo 37.º, n.º 1):
- o tratamento é efetuado por uma autoridade ou organismo público, exceto os tribunais no exercício da função jurisdicional;
- as atividades principais exigem um controlo regular e sistemático dos titulares dos dados em grande escala;
- as atividades principais consistem no tratamento em grande escala de categorias especiais de dados ou de dados relativos a condenações penais e infrações.
Um grupo empresarial pode designar um único encarregado, nas condições do artigo 37.º, n.º 2. Fora destes casos, a designação não é imposta pelo artigo 37.º, n.º 1, mas pode ser útil quando a empresa trata dados sensíveis, como os de um canal de denúncias.
Independência e conflitos de interesses
O encarregado de proteção de dados não recebe instruções sobre o exercício das suas funções e não pode ser destituído nem penalizado por as exercer (artigo 38.º, n.º 3, do RGPD). Pode acumular outras funções, desde que não resultem num conflito de interesses (artigo 38.º, n.º 6).
Este ponto é decisivo quando se pondera atribuir ao DPO a gestão do canal de denúncias ou funções de compliance. A Lei n.º 93/2021 exige igualmente independência, imparcialidade e ausência de conflitos de interesses a quem recebe e trata as denúncias (artigo 9.º, n.º 4).
Coordenação no canal de denúncias
O canal de denúncias é o ponto onde as duas funções mais se cruzam. O compliance officer, ou outro responsável designado, recebe e dá seguimento às denúncias. O encarregado de proteção de dados assegura que o tratamento cumpre o RGPD e a Lei n.º 58/2019, como exige o artigo 19.º da Lei n.º 93/2021.
- Os dados manifestamente irrelevantes para a denúncia são apagados de imediato (artigo 19.º, n.º 2).
- A identidade do denunciante só é acessível às pessoas responsáveis pela denúncia (artigo 18.º).
- As denúncias são conservadas durante, pelo menos, cinco anos (artigo 20.º).
Um software de canal de denúncias com perfis de acesso e registo de atividade facilita esta coordenação. Veja também o nosso artigo sobre a avaliação de impacto no canal de denúncias.
Rumo a uma cultura de proteção de dados e compliance
Ter um DPO e um compliance officer não basta se as duas funções trabalharem isoladas. Recomendamos procedimentos comuns para avaliar riscos, investigar incidentes e responder aos pedidos dos titulares dos dados. A formação conjunta das equipas reforça uma cultura em que a privacidade e a integridade fazem parte das decisões diárias.
Conclusão
O encarregado de proteção de dados e o compliance officer têm funções distintas, mas o seu trabalho é complementar. No canal de denúncias, essa cooperação é indispensável: a Lei n.º 93/2021 exige confidencialidade e prazos, e o RGPD exige um tratamento de dados lícito e limitado ao necessário. Para as obrigações completas do canal, consulte o nosso guia sobre o canal de denúncias interno.
Perguntas frequentes
É a pessoa que informa, aconselha e controla a organização em matéria de proteção de dados e coopera com a autoridade de controlo, que em Portugal é a CNPD (artigo 39.º do RGPD).
Quando o tratamento é feito por uma autoridade ou organismo público, ou quando as atividades principais implicam controlo sistemático em grande escala ou tratamento em grande escala de dados sensíveis (artigo 37.º, n.º 1, do RGPD).
Pode acumular outras funções, desde que não resultem num conflito de interesses (artigo 38.º, n.º 6, do RGPD). Se gerir o canal, deve também cumprir as exigências de independência e imparcialidade do artigo 9.º, n.º 4, da Lei n.º 93/2021.
O RGPD atribui-lhe a função de prestar aconselhamento, quando solicitado, sobre a avaliação de impacto sobre a proteção de dados e de controlar a sua realização (artigo 39.º, n.º 1, alínea c)).
O DPO ocupa-se da proteção de dados pessoais. O compliance officer coordena o cumprimento das restantes obrigações legais e internas, incluindo, muitas vezes, a gestão do canal de denúncias.
POLÍTICAS, FORMAÇÕES E CANAL DE DENÚNCIAS
Trusty Compliance App: políticas da empresa, formação em compliance e um canal de denúncias numa única app para os seus colaboradores. 10 políticas prontas a usar, 6 formações, teste gratuito, sem configuração de TI.