«Somos demasiado pequenos para estarmos abrangidos.» É a frase que mais se ouve a propósito do encarregado da proteção de dados. Quase sempre está errada, não porque a empresa seja obrigada a nomear um, mas porque a dimensão nunca é o critério certo.
O RGPD não fixa nenhum limite de trabalhadores, de clientes ou de volume de negócios. Olha para uma única coisa: o que faz com os dados pessoais. Três situações tornam a designação obrigatória.
Caso 1: é um organismo público
As autoridades e os organismos públicos têm de designar um DPO, independentemente do volume de dados tratado. É o caso mais fácil de identificar: o critério não depende nem do número de colaboradores, nem da atividade.
Caso 2: acompanha pessoas em grande escala
Se o centro da sua atividade consiste em observar pessoas de forma regular e sistemática, em grande escala, o DPO passa a ser obrigatório. Na prática: rastreamento online, definição de perfis comportamentais, geolocalização, publicidade direcionada, pontuação, prevenção da fraude, objetos conectados.
«Grande escala» não se mede por um número mágico. Avaliam-se em conjunto o número de pessoas envolvidas, o volume e a variedade dos dados, a duração do tratamento e a sua extensão geográfica.
Uma atividade aparentemente «de apoio» torna-se atividade principal assim que é precisamente o serviço que vende.
Caso 3: trata dados sensíveis em grande escala
Dados de saúde, biometria, opiniões, filiação sindical, orientação sexual, infrações e condenações: se trata estas categorias em grande escala e isso está no centro da sua atividade, a designação impõe-se. O nível de competência e de segurança esperado sobe um degrau.
Fora destes casos: facultativo, mas raramente neutro
Se nenhum dos três casos se aplicar, não é obrigado. Muitas empresas optam, no entanto, por designar um DPO voluntário, porque os seus tratamentos são numerosos, complexos ou sensíveis. Atenção a um ponto pouco conhecido: um DPO voluntário está sujeito ao mesmo regime de um DPO obrigatório: independência, recursos, ausência de conflitos de interesses, funções regulamentares. Não se nomeia um DPO «só para ficar bem na fotografia».
A verdadeira obrigação é ter pensado no assunto
Mesmo quando a resposta é «não», o RGPD espera que o consiga demonstrar. A boa prática cabe numa página: uma nota datada que descreve as suas atividades, as suas categorias de dados, os seus mecanismos de monitorização e os seus volumes, e que conclui sobre a obrigação, ou a sua ausência.
Esta nota deve ser reavaliada após cada mudança de escala: uma aquisição, um novo produto digital, uma plataforma de IA, uma centralização de dados, uma expansão internacional. É ela que, no dia de uma fiscalização, prova que não ignorou a questão.
Uma única pergunta, antes de tudo o resto
Faça a si próprio uma única pergunta antes de tudo o resto: o acompanhamento de pessoas ou o tratamento de dados sensíveis está no centro da minha atividade, em grande escala? Se sim, a designação não é opcional. Se não, escreva-o preto no branco, date a nota e arquive-a com as suas provas de conformidade.
A pergunta certa não é «sou suficientemente grande?», mas «o que faço, realmente, com os dados que recolho?»
