Imagina-se muitas vezes o DPO como um seguro que se ativa quando algo corre mal. É o contrário. O seu valor joga-se antes do incidente, no momento em que uma decisão ainda pode ser alterada. Consultado depois do sucedido, só pode constatar os danos.

A lição de um caso real

Em 2025, uma grande cadeia de lojas instalou câmaras ocultas nos seus armazéns. O DPO só foi informado depois de o dispositivo estar instalado, e já desmontado. Entre várias infrações, a CNIL apontou o facto de o DPO não ter sido envolvido em tempo útil e aplicou uma coima global de 100 000 euros.

A mensagem é clara: consultar o DPO quando o projeto já arrancou não chega. Se ele já não pode influenciar a decisão, a obrigação não está cumprida. A urgência operacional não desculpa nada: pelo contrário, obriga a prever um suplente e uma consulta prévia.

Um parecer dado demasiado tarde não é um parecer. É uma ata.

O marco que muda tudo

Na prática, um DPO útil é envolvido no enquadramento de um projeto, não na sua entrega: antes da compra de um software, antes da conceção de um algoritmo, antes da escolha de uma base legal, antes de instalar um sistema de vigilância. Alguns temas ativam sempre este marco: dados sensíveis, menores, biometria, scoring, IA, vigilância de trabalhadores, transferência para fora da Europa, recolha em massa.

A fuga de dados: 72 horas, uma única vez

Em caso de violação de dados, a contagem decrescente é curta: a notificação à CNIL deve ser feita, quando há risco, o mais rapidamente possível e, se possível, no prazo de 72 horas. O DPO deve ser informado de imediato e aconselhar sobre o risco e a documentação, mas a decisão de notificar cabe ao responsável pelo tratamento.

Sem procedimento nem suplente, estas 72 horas perdem-se em reuniões. Uma caixa dpo@ que ninguém vigia durante as férias, a dependência de uma só pessoa, a ausência de um acesso de emergência: são pormenores que, nesse dia, custam uma notificação fora de prazo.

O que um DPO não faz, e isso é importante

Um DPO não assume a sua responsabilidade. Aconselha, controla e alerta de forma independente; a responsabilidade de demonstrar a conformidade continua a ser sua. Se um prestador lhe prometer «zero sanções», desconfie: não é isso que a lei prevê, nem é isso que o protege.

O que o protege é o registo: os pareceres emitidos e datados, as decisões assumidas quando se afasta do parecer, a prova de que o DPO foi consultado a tempo. No dia da inspeção, é este processo que fala por si.

Dois gestos a fazer já hoje

Acrescente uma caixa «parecer do DPO» aos seus projetos que envolvam dados e escreva já hoje o seu procedimento em caso de violação: quem alerta, quem decide, quem substitui durante as ausências. Estes dois reflexos valem mais do que qualquer cláusula num contrato.

O melhor momento para chamar o DPO é antes. O pior é quando a CNIL já ligou.