As plataformas de gestão documental usadas na homologação de empresas subcontratadas tratam muitos dados pessoais: identificação de trabalhadores, fichas de aptidão médica, certificados de formação e registos de acesso. Por isso, a proteção de dados não pode ser um tema secundário. Neste contexto, o responsável pela proteção de dados tem um papel essencial.
Importa, no entanto, esclarecer a terminologia. Na versão portuguesa do RGPD, esta figura chama-se encarregado da proteção de dados (EPD), também conhecido pela sigla inglesa DPO. Convém não o confundir com o responsável pelo tratamento, que é a própria organização. Neste artigo, explicamos quando é obrigatório designar um encarregado, quais são as suas funções e como atua na utilização de plataformas de gestão documental.
Quando é obrigatório designar um encarregado
O artigo 37.º do RGPD determina que a designação é obrigatória em três situações:
- quando uma autoridade ou organismo público efetua o tratamento;
- quando as atividades principais consistem em operações que exigem um controlo regular e sistemático dos titulares em grande escala;
- quando as atividades principais consistem no tratamento em grande escala de categorias especiais de dados, como dados de saúde.
Assim, nem todas as empresas que usam uma plataforma de homologação são obrigadas a designar um encarregado. No entanto, muitas optam por fazê-lo voluntariamente ou por designar um ponto de contacto interno, sobretudo quando tratam grandes volumes de dados de trabalhadores externos. Em Portugal, a Lei n.º 58/2019 complementa estas regras.
Funções do responsável pela proteção de dados
O artigo 39.º do RGPD define as funções do encarregado. Em síntese, deve:
- informar e aconselhar a organização e os trabalhadores sobre as suas obrigações;
- controlar a conformidade com o RGPD e com as políticas internas;
- prestar aconselhamento sobre as avaliações de impacto e acompanhar a sua realização;
- cooperar com a CNPD e ser o seu ponto de contacto;
- ser ponto de contacto dos titulares para as questões relacionadas com os seus dados.
É importante sublinhar que o encarregado aconselha e controla, mas não é pessoalmente responsável pela conformidade. A responsabilidade pertence à organização, enquanto responsável pelo tratamento. Além disso, o encarregado deve atuar com independência, não pode receber instruções sobre o exercício das suas funções e deve ter os recursos necessários.
O papel do responsável pela proteção de dados nas plataformas de homologação
Na escolha da plataforma
O encarregado deve participar desde o início. Por exemplo, pode avaliar a localização dos dados, os subcontratantes do fornecedor, as medidas de segurança e o contrato previsto no artigo 28.º. Assim, a organização evita escolher uma solução que depois exija alterações difíceis.
Na definição dos documentos pedidos
Um dos contributos mais valiosos é a aplicação do princípio da minimização. O encarregado ajuda a definir que documentos são realmente necessários e com que fundamento. Por exemplo, as fichas de aptidão devem indicar apenas se o trabalhador está apto, sem diagnósticos, e as cópias de documentos de identificação só devem ser pedidas quando são indispensáveis.
Na definição dos fundamentos de licitude
Na homologação, o tratamento assenta normalmente no cumprimento de obrigações legais, como as de segurança e saúde no trabalho, ou no interesse legítimo da empresa em garantir a segurança das suas instalações. O consentimento raramente é o fundamento adequado, porque o trabalhador não tem verdadeira liberdade de escolha. Por conseguinte, o encarregado deve ajudar a documentar o fundamento correto para cada finalidade.
Nos direitos dos titulares e nos incidentes
O encarregado acompanha os pedidos de acesso, retificação ou apagamento, garantindo resposta dentro do prazo de um mês. Do mesmo modo, participa na avaliação de violações de dados e na decisão de notificar a CNPD no prazo de 72 horas.
A relação com o fornecedor da plataforma
Quando uma empresa externa fornece a plataforma, há pelo menos duas organizações envolvidas no tratamento. Em regra, a empresa contratante é a responsável pelo tratamento e o fornecedor atua como subcontratante. Nesse sentido, o encarregado deve verificar se o contrato define com clareza as instruções de tratamento, as medidas de segurança, a confidencialidade, a lista de outros subcontratantes e o destino dos dados no fim do serviço.
Além disso, convém que o encarregado conheça o contacto do seu homólogo no fornecedor, quando exista. Dessa forma, em caso de incidente ou de pedido de um titular, a cooperação é rápida e os prazos legais são cumpridos. Do mesmo modo, a revisão periódica do fornecedor, por exemplo através de questionários ou relatórios de auditoria, deve fazer parte do plano de trabalho do encarregado.
A informação aos trabalhadores dos prestadores
Os trabalhadores das empresas subcontratadas também são titulares de dados e têm direito a ser informados. No entanto, muitas vezes não têm qualquer relação direta com a empresa contratante. Por essa razão, o encarregado deve ajudar a definir como chega a informação até eles: por exemplo, através de um texto informativo disponível na plataforma, entregue pelo prestador no momento da recolha dos documentos. Este texto deve indicar quem trata os dados, para que finalidades, durante quanto tempo e como exercer os direitos. Assim, a empresa cumpre o dever de transparência e reduz dúvidas e reclamações.
Exemplo prático: Revisão dos documentos pedidos
Considere-se uma empresa que, ao implementar uma plataforma de homologação, pedia aos prestadores cópia do cartão de cidadão, a ficha clínica e o registo criminal de todos os trabalhadores. O encarregado analisa o processo e conclui que a maioria destes documentos não é necessária para a finalidade.
Na sequência dessa análise, a empresa passa a pedir apenas a identificação essencial, a ficha de aptidão e a formação exigida para cada tarefa. Em seguida, define prazos de conservação e limita o acesso aos validadores. Como resultado, reduz o risco, simplifica o trabalho dos prestadores e cumpre o princípio da minimização.
Formação e cultura de proteção de dados
O encarregado não consegue garantir a proteção de dados sozinho. Com efeito, quem valida documentos, configura a plataforma ou responde aos prestadores toma decisões diárias com impacto na privacidade. Uma das funções mais importantes do encarregado é, portanto, sensibilizar as equipas. Pode fazê-lo, por exemplo, através de formações curtas sobre o que pode e não pode ser pedido, como responder a um pedido de acesso e o que fazer perante uma suspeita de incidente. Além disso, guias práticos e respostas a perguntas frequentes ajudam a tornar as regras compreensíveis para todos.
Lista de verificação de proteção de dados na homologação
- Avaliação da obrigatoriedade de designar um encarregado.
- Registo das atividades de tratamento atualizado.
- Fundamento de licitude definido por finalidade.
- Lista de documentos limitada ao necessário.
- Prazos de conservação configurados na plataforma.
- Contrato com o fornecedor conforme o artigo 28.º.
- Informação aos trabalhadores dos prestadores.
- Procedimento para pedidos dos titulares e incidentes.
Erros comuns a evitar
Um erro frequente é atribuir ao encarregado a responsabilidade pela conformidade, como se a organização ficasse dispensada. Outro erro é nomear para esta função alguém com conflitos de interesses, como o diretor de sistemas de informação que decide os próprios tratamentos. Muitas empresas usam, ainda, o consentimento como fundamento por defeito, o que fragiliza a licitude do tratamento.
Perguntas frequentes
O encarregado pode ser externo?
Sim. O RGPD permite que o encarregado seja um trabalhador da organização ou um prestador de serviços externo, desde que tenha os conhecimentos e a independência necessários.
É preciso comunicar a designação à CNPD?
Sim. A organização deve comunicar os contactos do encarregado à autoridade de controlo e publicá-los, por exemplo, na política de privacidade.
A organização pode responsabilizar o encarregado pelas suas falhas?
Em regra, não. O RGPD protege o encarregado contra penalizações relacionadas com o exercício das suas funções. A responsabilidade pelo cumprimento é da organização, enquanto responsável pelo tratamento.
Que formação deve ter o encarregado?
O RGPD exige conhecimentos especializados no domínio do direito e das práticas de proteção de dados. Em geral, convém combinar conhecimentos jurídicos, de segurança da informação e dos processos da própria organização.
Conclusão
O responsável pela proteção de dados, designado no RGPD como encarregado da proteção de dados, tem um papel decisivo na utilização de plataformas de gestão documental para homologação de subcontratados. Aconselha na escolha da plataforma, ajuda a definir os documentos e os fundamentos de licitude, acompanha os direitos dos titulares e participa na resposta a incidentes.
Ainda assim, a responsabilidade pela conformidade continua a ser da organização. Por isso, as empresas devem garantir ao encarregado independência, recursos e envolvimento desde o início dos projetos. Desse modo, a homologação torna-se mais segura, mais simples e mais respeitadora dos direitos dos trabalhadores.
Leia também: Adaptação das plataformas de gestão documental às diretrizes do RGPD e A importância do RGPD no desenvolvimento de plataformas de gestão documental.
Para mais informação sobre as funções do encarregado da proteção de dados, consulte a Comissão Nacional de Proteção de Dados (CNPD).