TL;DR
O encarregado é obrigatório nas três hipóteses do art. 37.º, n.º 1 do RGPD e, além disso, nos dezasseis casos do art. 34.º, n.º 1 da LOPDGDD. A designação voluntária do n.º 2 sujeita ainda assim a entidade ao mesmo regime do RGPD. Em ambos os casos — obrigatória e voluntária — as designações e cessações comunicam-se à AEPD no prazo de dez dias (n.º 3), e a lista de encarregados é pública e acessível por meios eletrónicos (n.º 4).
Duas listas que se somam, não duas entre as quais escolher
O art. 37.º, n.º 1 do RGPD impõe o encarregado em três situações: tratamento efetuado por autoridade ou organismo público; atividades principais que consistam em operações exigindo controlo regular e sistemático dos titulares em grande escala; atividades principais que consistam no tratamento em grande escala de categorias especiais do art. 9.º ou de dados do art. 10.º. O art. 34.º, n.º 1 da LOPDGDD remete para essa norma e acrescenta «e, em todo o caso, quando se trate das seguintes entidades». A conjunção conta: não são dezasseis hipóteses em vez das três, são dezasseis além das três. Uma entidade que não conste de nenhuma alínea pode continuar obrigada por força do art. 37.º — e o inverso também é verdade.
As dezasseis alíneas
- a) Ordens profissionais e os seus conselhos gerais. b) Estabelecimentos de ensino de qualquer nível e universidades públicas e privadas.
- c) Operadores de redes e prestadores de serviços de comunicações eletrónicas, quando tratem dados habitual e sistematicamente em grande escala. d) Prestadores de serviços da sociedade da informação que elaborem em grande escala perfis dos utilizadores.
- e) Entidades do art. 1.º da Lei 10/2014 (instituições de crédito). f) Estabelecimentos financeiros de crédito. g) Empresas de seguros e resseguros. h) Empresas de serviços de investimento.
- i) Distribuidores e comercializadores de energia elétrica e de gás natural. j) Responsáveis por ficheiros comuns de solvabilidade e crédito, ou de prevenção da fraude, incluindo os de prevenção do branqueamento.
- k) Empresas de publicidade e prospeção comercial quando tratem preferências ou elaborem perfis. l) Estabelecimentos de saúde legalmente obrigados à manutenção de processos clínicos — com exceção expressa do profissional de saúde que exerce a título individual.
- m) Entidades que emitam informações comerciais referentes a pessoas singulares. n) Operadores de jogo através de canais eletrónicos. ñ) Empresas de segurança privada. o) Federações desportivas quando tratem dados de menores.
A designação voluntária não é um gesto de boa vontade
O n.º 2 dispõe que quem não esteja obrigado «poderá designar voluntariamente» um encarregado, «que ficará sujeito ao regime estabelecido no Regulamento (UE) 2016/679 e na presente lei orgânica». Ou seja: independência, ausência de conflito de interesses, recursos, proibição de o sancionar pelo exercício das suas funções, reporte ao mais alto nível. E o n.º 3 obriga a comunicar a designação à AEPD em dez dias «tanto nos casos em que estejam obrigadas à designação como quando esta seja voluntária». Escrever «EPD» na assinatura de correio de alguém sem comunicar é um incumprimento que se apura num minuto.
O n.º 4 lê-se ao lado do anterior: a AEPD e as autoridades das comunidades autónomas mantêm uma lista atualizada de encarregados acessível por meios eletrónicos. A consequência prática é que a afirmação «temos encarregado» é verificável por qualquer pessoa — incluindo um cliente em due diligence e um concorrente a preparar uma reclamação. Não é um registo interno: é público.
Por fim, o n.º 5 permite a dedicação a tempo inteiro ou parcial em função, entre outros critérios, do volume dos tratamentos, das categorias especiais tratadas e dos riscos para os titulares. Não é uma autorização genérica ao mínimo: é um critério a fundamentar e que convém deixar escrito, porque é exatamente o que se pergunta quando um encarregado não conseguiu tratar algo a tempo.
Procura uma ferramenta para o seu trabalho de EPD?
O DPO Workspace foi construído por um DPO certificado. 30 dias de experiência gratuita.
Começar gratuitamente
