Estabelecida a obrigação, surge depressa outra pergunta: quem? Um colaborador interno, um prestador externo, um DPO partilhado entre várias entidades? Não existe uma escolha certa em absoluto: existe uma escolha adequada à sua carga real de trabalho e a uma armadilha que quase sempre se esquece.

Primeiro, a armadilha: o conflito de interesses

O DPO controla a conformidade dos tratamentos de dados. Por isso, não pode ser a pessoa que decide sobre esses tratamentos. Um dirigente, um diretor de sistemas de informação, um diretor de marketing ou um responsável de segurança informática (RSSI) com poder de decisão estaria a controlar-se a si próprio, algo que a justiça europeia afastou de forma explícita.

A acumulação de funções não é proibida em si mesma. Passa a sê-lo quando a outra função permite definir as finalidades ou os meios de um tratamento. É a razão mais frequente pela qual «vamos entregar isto ao nosso responsável informático» é uma má ideia.

Não se pode ser ao mesmo tempo quem decide sobre o tratamento e quem verifica que ele é legal.

Interno: a proximidade, se a carga de trabalho a justificar

Um DPO interno conhece a organização ao pormenor e está disponível no dia a dia. Faz sentido numa média ou grande empresa, ou num setor sensível, com tratamentos contínuos. O risco: o isolamento, uma dependência hierárquica inadequada e um tempo realmente insuficiente quando a função é a tempo parcial.

Externo: a especialização e a independência

Um DPO externo traz conhecimento especializado e uma independência organizacional natural. Para uma PME com uma carga regular mas limitada, é muitas vezes a melhor relação entre segurança e custo, desde que o contrato garanta disponibilidade, um substituto e um conhecimento real dos seus processos. Uma prestação de poucas horas por ano não serve a uma plataforma digital nem a uma empresa que trata dados sensíveis.

Partilhado e híbrido: para estruturas com várias entidades

Um grupo pode designar um único DPO, desde que seja facilmente contactável a partir de cada estabelecimento. O modelo híbrido, com um DPO central, uma rede de referentes internos e peritos externos, convém bem a médias empresas e a grupos: o DPO mantém a independência do controlo, e os referentes recolhem a informação e executam as ações.

O critério decisivo: a carga real

Antes de comparar orçamentos, estime a carga: número de entidades, de colaboradores e de clientes, volume de projetos, pedidos de exercício de direitos, incidentes, avaliações de impacto, subcontratantes, países envolvidos. É este número, e não o preço apresentado, que diz se um pacote fixo é realmente suficiente.

  • Poucos tratamentos, sem dados sensíveis → externo partilhado, pacote com mínimo garantido.
  • Atividade digital, recursos humanos, saúde ou publicidade → externo especializado ou interno com tempo significativo, substituto obrigatório.
  • Várias entidades, governação comum → DPO central + referentes, com linhas de escalonamento formalizadas.

O teste do conflito de interesses

Liste as funções da pessoa que tem em mente e pergunte-se se alguma lhe permite decidir sobre um tratamento. Se sim, procure noutro lado. Depois, calcule a sua carga anual antes de olhar para qualquer preço: é a única base honesta para escolher um modelo que se mantenha ao longo do tempo.

Um DPO mal escolhido custa menos do que um bom, até ao dia da inspeção.