O EPD que decide não pode fiscalizar-se a si próprio

Em 10 de agosto de 2026 a CNIL publicou orientações práticas sobre um problema que quase todas as organizações têm e que quase nenhuma colocou por escrito: o conflito de interesses do encarregado de proteção de dados.

O ponto de partida é o art. 38.º, n.º 6, do RGPD. O EPD pode desempenhar outras funções além das do art. 39.º, com duas condições cumulativas: essas funções não lhe podem retirar o tempo necessário ao exercício das funções de EPD, nem colocá-lo em conflito de interesses.

As perguntas que permitem identificá-lo

A CNIL recomenda realizar a análise antes da designação, ou antes de atribuir novas funções a um EPD já em exercício. São estas as perguntas que propõe:

• Que outras funções são acumuladas com a de EPD?
• O EPD exerce funções de direção? Diretor-geral e responsável de recursos humanos são, em regra, incompatíveis, mas também o podem ser cargos de nível inferior, se levarem a determinar finalidades e meios de um tratamento
• O EPD ou a sua equipa têm poder decisório sobre as finalidades ou os meios? Se o EPD for também responsável pela segurança da informação: é ele que fixa os prazos de conservação dos registos, que propõe as medidas de segurança, que decide sobre os pedidos de acesso aos dados dos colaboradores?
• Nas restantes funções, o EPD toma posição sobre projetos relacionados com dados pessoais, por exemplo como membro de uma comissão de ética?
• O EPD é representante dos trabalhadores ou tem mandato sindical? Numa votação pode ter de pronunciar-se sobre medidas de controlo dos trabalhadores
• Se o EPD for externo: já representou a organização num litígio sobre proteção de dados? Pertence a uma entidade com interesses contrários, por exemplo um subcontratante ou um responsável conjunto pelo tratamento?

Se o conflito existe, tem de ser eliminado

A organização que designa tem a obrigação de pôr termo ao conflito de interesses. Há três vias: substituir o EPD, retirar-lhe as funções que geram o conflito, ou adotar outras medidas de remediação.

O impedimento e o EPD suplente

A medida mais frequente é o impedimento: o EPD retira-se do perímetro afetado e nesse perímetro atua um EPD suplente. A CNIL é firme quanto a não poder tratar-se de uma formalidade. Uma simples contra-assinatura, sem verdadeiro poder de decisão do suplente, não é suficiente.

O suplente deve beneficiar das mesmas garantias dos arts. 37.º e 39.º: meios, formação, envolvimento nas questões do seu âmbito. E não pode ter qualquer vínculo de subordinação relativamente ao EPD designado. O exemplo da CNIL é claro: se o EPD de uma seguradora for também responsável pelo combate à fraude e tiver de se impedir nessa área, um analista antifraude não pode ser seu suplente, porque não pode fiscalizar com independência tratamentos decididos pelo seu próprio superior hierárquico.

Devem ser documentados o risco que justifica o impedimento e a repartição de responsabilidades entre o EPD e o suplente, de modo a que nenhum tratamento fique por cobrir. O suplente não é comunicado à autoridade: o ponto de contacto continua a ser o EPD designado, que deve, porém, poder informar o suplente quando a autoridade escrever sobre tratamentos do perímetro impedido.