Na legislação europeia , o Delegado para Proteção de Dados (abreviado DPD ou DPO para Oficial de Proteção de Dados ) é a pessoa responsável pela proteção de dados pessoais dentro de uma organização.
A regulamentação europeia entrou em vigor em 25 de maio de 2018. Uma nova redação da Lei de Proteção de Dados de 6 de janeiro de 1978 está em vigor desde 1º de junho de 2019 e define o princípio da proteção de dados. O regulamento europeu é válido a nível europeu e prevê que as empresas que desenvolvam atividades no domínio dos dados pessoais sejam controladas por um RPD especialmente designado para o efeito. O artigo 37.º do regulamento europeu estabelece as disposições relativas ao responsável pela proteção de dados, ao abrigo das quais as empresas em causa devem cumprir as suas obrigações legais.
As suas principais missões são, por um lado, informar e aconselhar a sua organização e, por outro, controlar a aplicação dos textos jurídicos e das normas internas em matéria de dados pessoais. Ele atua como um ponto de contato entre sua organização e uma autoridade supervisora nacional, como a CNIL .
A nomeação de um oficial de proteção de dados às vezes é obrigatória. O Delegado pode ser membro da organização que assessora ou trabalhar como consultor externo. Também pode ser compartilhado , quando o mesmo Delegado é nomeado por várias estruturas. Em todos os casos, o Delegado deve ser dotado dos meios para cumprir a sua missão e ser capaz de agir com independência.
A nível europeu, o Data Protection Officer é a pessoa responsável pelo cumprimento do Regulamento Europeu sobre a Proteção de Dados Pessoais (GDPR) dentro de uma organização.
Profissional proteção de dados pessoais estão actualmente designada sob os nomes de Beauftragter für Datenschutz em Alemanha , Personuppgiftsombude na Suécia , functionaris voor de gegevensbescherming a Holanda , Personas datu aizsardzības specialista na Lituânia , Isikuandmete kaitse eest vastutav isik na Estónia , Encarregado de Dados de Protecção Oficial no Luxemburgo , Oficial de proteção de dados na Bélgica , Datenschutzberater / responsile della protezione dei dati na Suíça, Rapprezentant ta'data personali em Malta , Belső adatvédelmi fele lős na Hungria , Dohľad nad ochranou osobných údajov na Eslováquia e Responsável pela segurança na Espanha .
Os Responsáveis pela Proteção de Dados são formal e oficialmente nomeados para a Comissão Nacional de Informática e Liberdades ( CNIL ). Os seus contactos são tornados públicos na data.gouv.fr plataforma .
O relatório anual da CNIL de 2015 indica que 4.321 Correspondentes de Proteção de Dados foram nomeados para a Comissão por 16.406 controladores de dados, privados ou públicos. Em seu relatório anual para 2018 “A CNIL em resumo”, a CNIL indica que 39.500 organizações nomearam um Delegado, o que representa 16.000 Delegados de Proteção de Dados. Espera-se que esse número ultrapasse 21.000 até o final de 2019.
Como parte da mudança para as novas regras, a Associação Francesa de Correspondentes para a Proteção de Dados Pessoais (AFCDP), uma associação que reúne na França os profissionais de conformidade e liberdade de TI e proteção de dados pessoais , havia solicitado que um seria fornecida " cláusula avô " que teria permitido aos CILs que assim o desejassem e que atendessem aos novos requisitos fossem confirmados em sua função de DPO, a fim de capitalizar o trabalho já realizado e garantir a mais ampla divulgação possível do espírito da lei. O Secretário-Geral da CNIL, em janeiro de 2017, declarou publicamente em uma conferência que reuniu quatrocentos CILs: "Temos todo o interesse em que muitos de vocês sejam confirmados como DPOs".
Antes do regulamento europeu, nomear um correspondente informático não era uma obrigação legal. Com o regulamento europeu, a designação pode ser feita de forma não escrita. O empresário nomeia o Responsável pela Proteção de Dados de acordo com o regulamento e compromete-se a informar imediatamente a autoridade de supervisão e a publicar os contactos do representante. Como alternativa, os empresários podem optar por um Diretor de Proteção de Dados Corporativos, desde que sejam facilmente acessíveis de qualquer agência. Esta opção é particularmente vantajosa para empresas europeias com múltiplos escritórios, uma vez que elimina a necessidade de múltiplos contactos, garantindo maior transparência e segurança no processamento e gestão.
Uma atribuição externa não é necessariamente necessária se houver um DPO interno com as qualificações adequadas. O método mais adequado depende da forma e do tamanho da empresa, bem como da carga de trabalho do DPO.
A designação de uma pessoa responsável pelo cumprimento da Lei de Proteção de Dados e as futuras disposições do Regulamento Geral de Proteção de Dados tem, portanto, vários benefícios:
É também a prova de um compromisso ético e cívico e um instrumento de valorização do património informacional.
A função de Responsável pela Proteção de Dados é definida no Regulamento Geral de Proteção de Dados (GDPR) 2016/679 de 27 de abril de 2016, principalmente pelo considerando 97 e pela sua seção 4. A nomeação de um Responsável pela Proteção de Dados é obrigatória para qualquer organização atendendo a um dos seguintes critérios:
Em outros casos, as organizações podem nomear voluntariamente um responsável pela proteção de dados. Um oficial de proteção de dados pode ser compartilhado entre várias organizações. O responsável pela proteção de dados pode ser um membro da equipe ou exercer suas funções com base em um contrato de serviço.
As principais missões do Responsável pela Proteção de Dados são as seguintes (Art. 39):
Os atuais responsáveis pela proteção de dados têm perfis muito heterogêneos.
Estudo realizado a pedido da CNIL por ocasião do décimo aniversário da profissão de correspondente de informática e liberdades, em outubro de 2015, revelou que 47% dos profissionais possuíam formação técnica (informática), seguidos de pessoas com formação jurídica. Estudo semelhante, realizado em 2012 pela AFCDP, mostrou que os restantes CILs seguiram estudos iniciais de qualidade, gestão de riscos, controlo de gestão e gestão de recursos humanos.
Esta diversidade persiste no seio dos OPD, visto que o inquérito realizado em 2019 pela Delegação Geral do Emprego e Formação Profissional (DGEFIP) mostra uma distribuição equilibrada entre jurídicos (31,1%), informáticos (34,9%) e outros (34%). Esta diversidade encontra-se em diferentes setores, com um aumento do perfil jurídico confirmado pelos inquéritos realizados entre 2011 e 2019 pela rede SupDPO : em 2019, era composta por 38% de DPOs com perfil jurídico e 41% de DPOs com perfis legais. Perfil de TI.
Embora não seja obrigatório, existem certificações para se tornar um DPO. Em 20 de setembro de 2018, o CNIL adotou duas normas para a certificação das competências do oficial de proteção de dados:
Os cursos superiores também são dedicados à profissão, como mestrados especializados e diplomas universitários.
O estudo "Profissionais de privacidade - Pesquisa de funções, funções e salários 2011" conduzido pela IAPP ( Associação Internacional de Profissionais de Privacidade ) indica que os profissionais de privacidade dos EUA ganham mais de $ 300.000 por ano para 1% destes, entre 200.000 $ e 300.000 $ por ano a 5% entre eles, entre 150 000 $ e 200 000 $ para 13% e entre 100 000 $ e 150 000 $ a 37%.
O estudo "Profissionais de privacidade - Pesquisa de funções, funções e salários 2011" IAPP Canadá indica que a proteção profissional canadense da privacidade ganha entre 100.000 $ e 200.000 $ por ano no setor privado (mais o bônus), e entre 75.000 $ e 150 000 $ por ano no setor público.
O estudo "Privacy Professional's - Role, Function and Salary Survey 2010" IAPP Europe, diz que os profissionais europeus para proteger a privacidade ganham entre 150 000 $ e 200 000 $ por ano a 9% deles, entre 100 000 $ e 150 000 $ por 26% e entre 50.000 $ e 100.000 $ a 49%. Além disso, 30% desses profissionais também recebem opções de ações e 60% bônus.
De acordo com o estudo realizado pela AFCDP em 2012, o salário médio de um CIL era de 47.000 € bruto por ano.
Sendo o Data Protection Officer uma evolução do destacado para a protecção de dados pessoais da Directiva 95/46 / CE , foram mantidas muitas características, como a sua independência, a possibilidade de realizar missões a tempo parcial, o facto de dever permanecer isento de conflitos de interesses, a sua ligação o mais directamente possível ao responsável pelo tratamento ou órgão de decisão, o seu papel de interface com a CNIL , a sua ausência de responsabilidade pessoal. É também provável que o Responsável pela Proteção de Dados continue as tarefas do CIL: preparação de processos de formalidades com o CNIL para tratamento não isento de formalidades, desenvolvimento de uma política de proteção de dados pessoais , sensibilização do pessoal para as disposições da lei, desenvolvimento e controle da aplicação de códigos de conduta específicos.
As principais evoluções do oficial de proteção de dados em relação ao correspondente de TI e liberdades atuais são:
Outras alterações não são explicitamente mencionadas no regulamento, mas decorrem das suas disposições. Assim, o oficial de proteção de dados:
Até agora, foi imposta uma multa máxima de 50.000 euros por omissão intencional ou negligente de nomear um oficial de proteção de dados. A partir de 25 de maio de 2018, a multa aumentará para 2% do volume de negócios anual global até 10 milhões de euros. A autoridade supervisora reserva-se o direito de impor uma multa mais elevada. Os responsáveis pela proteção de dados devem demonstrar diferentes qualificações e estar preparados para se adaptar às mudanças na tecnologia da informação. A educação continuada e a experiência jurídica são essenciais. Pessoas que não fazem parte do conselho fiscal ou da administração da empresa são responsáveis pela proteção de dados. Mesmo se a combinação for permitida, esta constelação pode levar a enviesamentos e impedir o cumprimento do regulamento básico de proteção de dados.
As agências de crédito e as empresas de processamento de dados devem, com a entrada em vigor do OVDS da UE, estar sujeitos ao controlo de um responsável pela proteção de dados, garantindo assim a integridade e a competência da respetiva gestão de dados. O não cumprimento desta obrigação resultará em multas significativas para a empresa em questão.
O GDPR traz novos requisitos relativos à demissão e rescisão do contrato de trabalho de um Oficial de Proteção de Dados para autoridades públicas e organizações privadas. Os DPOs estão sujeitos a proteção especial contra demissão, ao dever de confidencialidade e ao direito de se recusar a testemunhar.