Encarregado de Proteção de Dados

1. Introdução e Enquadramento Legal

A atuação do Encarregado de Proteção de Dados enquadra-se no Regulamento (UE) 2016/679 (RGPD), especialmente nos artigos 37.º, 38.º e 39.º, e na legislação nacional complementar, nomeadamente a Lei n.º 58/2019, de 8 de agosto.

O EPD desempenha funções de aconselhamento e acompanhamento da conformidade, constituindo também um ponto de contacto para os titulares dos dados e para a autoridade de controlo.

A responsabilidade pelo cumprimento das obrigações legais relativas ao tratamento de dados pessoais pertence à WebDig Host, enquanto responsável pelo tratamento ou subcontratante, conforme a natureza das operações realizadas.

A designação de um EPD não transfere para este profissional a responsabilidade legal da organização pelo cumprimento do RGPD.

2. Perfil, Independência e Funções do Encarregado de Proteção de Dados

Nos termos do artigo 37.º, n.º 5, do RGPD, o Encarregado de Proteção de Dados deve ser designado com base nas suas qualidades profissionais e, em especial, nos seus conhecimentos especializados da legislação e das práticas de proteção de dados.

As suas funções incluem, nos termos do artigo 39.º do RGPD:

• Informar e aconselhar a WebDig Host e as pessoas que tratam dados pessoais sobre as obrigações decorrentes do RGPD e de outras disposições legais aplicáveis;
• Controlar a conformidade com a legislação de proteção de dados e com as políticas internas relevantes;
• Promover a sensibilização e o conhecimento das responsabilidades associadas ao tratamento de dados pessoais;
• Prestar aconselhamento relativamente às Avaliações de Impacto sobre a Proteção de Dados (DPIA), quando solicitado, e acompanhar a sua realização;
• Cooperar com a Comissão Nacional de Proteção de Dados;
• Atuar como ponto de contacto da autoridade de controlo para questões relacionadas com o tratamento de dados pessoais.

O Encarregado de Proteção de Dados exerce estas funções tendo em consideração os riscos associados às operações de tratamento, a natureza dos dados, o contexto e as finalidades do tratamento.

3. Nomeação do Encarregado de Proteção de Dados

A WebDig Host indica ter procedido à designação de um Encarregado de Proteção de Dados, no âmbito da sua organização e das responsabilidades associadas à proteção de dados pessoais.

Nos termos do artigo 37.º, n.º 7, do RGPD, os contactos do EPD devem ser publicados e comunicados à autoridade de controlo competente.

A publicação dos contactos nesta página permite aos titulares dos dados estabelecer contacto com o EPD, sem prejuízo da obrigação de comunicação à CNPD.

Após a realização da comunicação, a WebDig Host atualizará a informação relevante desta página.

4. Contactos do Encarregado de Proteção de Dados

Os titulares de dados podem contactar o Encarregado de Proteção de Dados para solicitar esclarecimentos, apresentar questões relacionadas com o tratamento dos seus dados pessoais ou obter informações sobre o exercício dos seus direitos.

Estes contactos destinam-se a questões relacionadas com proteção de dados pessoais. Para assuntos técnicos, comerciais ou administrativos não relacionados com proteção de dados, devem ser utilizados os canais habituais de apoio ao cliente.

Nos termos do artigo 12.º do RGPD, os pedidos de exercício de direitos são, em regra, respondidos no prazo de um mês após a sua receção. Este prazo pode ser prorrogado por mais dois meses quando necessário, tendo em conta a complexidade e o número de pedidos, devendo o titular ser informado da prorrogação e dos respetivos motivos dentro do primeiro mês.

Quando a WebDig Host atue como subcontratante, poderá ser necessário encaminhar ou articular determinados pedidos com o cliente responsável pelo tratamento.

5. Responsabilidades Centrais do Encarregado de Proteção de Dados

O Encarregado de Proteção de Dados acompanha e aconselha a WebDig Host em matérias relacionadas com o tratamento de dados pessoais.

Entre as suas principais áreas de intervenção encontram-se:

• Acompanhamento da conformidade das operações de tratamento com o RGPD e a legislação aplicável;
• Aconselhamento sobre procedimentos de recolha, utilização, conservação e eliminação de dados pessoais;
• Emissão de recomendações sobre riscos e medidas técnicas e organizativas;
• Acompanhamento de avaliações e verificações de conformidade;
• Aconselhamento na elaboração e atualização de políticas de privacidade e documentos relacionados com proteção de dados;
• Acompanhamento das questões de proteção de dados relacionadas com subprocessadores;
• Aconselhamento na avaliação e gestão de violações de dados pessoais;
• Cooperação com a autoridade de controlo.

A execução operacional das medidas, a celebração de contratos, a gestão dos sistemas e a tomada de decisões sobre os tratamentos pertencem à WebDig Host ou às entidades responsáveis, conforme o caso.

6. Avaliação de Risco e DPIA em Proteção de Dados

O artigo 35.º do RGPD prevê a realização de uma Avaliação de Impacto sobre a Proteção de Dados (DPIA) quando um tipo de tratamento seja suscetível de implicar um elevado risco para os direitos e liberdades das pessoas singulares.

O Encarregado de Proteção de Dados presta aconselhamento sobre a necessidade e a realização destas avaliações, quando solicitado, acompanhando a sua execução.

A análise pode considerar:

• A natureza, o âmbito, o contexto e as finalidades do tratamento;
• A necessidade e proporcionalidade das operações realizadas;
• Os riscos para os direitos e liberdades dos titulares;
• As medidas técnicas e organizativas destinadas a reduzir esses riscos;
• Os riscos residuais após a aplicação das medidas previstas.

Quando uma avaliação revele que o tratamento continua a apresentar um risco elevado na ausência de medidas suficientes para o mitigar, poderá ser necessária consulta prévia à CNPD, nos termos do artigo 36.º do RGPD.

A responsabilidade pela realização da DPIA e pela decisão sobre as operações de tratamento pertence ao responsável pelo tratamento.

7. Encarregado de Proteção de Dados como Ponto de Contacto com a CNPD

O Encarregado de Proteção de Dados atua como ponto de contacto com a Comissão Nacional de Proteção de Dados (CNPD), no âmbito das funções previstas no RGPD.

Esta articulação pode abranger:

• Esclarecimentos sobre operações de tratamento de dados pessoais;
• Cooperação em procedimentos de fiscalização ou pedidos de informação;
• Aconselhamento sobre notificações de violações de dados pessoais;
• Questões relacionadas com avaliações de impacto e consultas prévias;
• Outras matérias enquadradas nas competências da autoridade de controlo.

A responsabilidade pela apresentação das notificações legalmente exigidas pertence à entidade sobre a qual recaia essa obrigação, podendo o EPD prestar aconselhamento e apoio técnico.

A comunicação formal da designação do EPD à CNPD encontra-se pendente, conforme indicado na secção 3.

8. Cooperação com Autoridades e Subprocessadores

O Encarregado de Proteção de Dados coopera com a CNPD e, quando aplicável, articula questões relacionadas com proteção de dados com outras autoridades competentes.

No âmbito da cadeia de fornecimento, o EPD pode aconselhar a WebDig Host sobre:

• A avaliação das garantias de proteção de dados oferecidas por subprocessadores;
• As obrigações contratuais previstas no artigo 28.º do RGPD;
• A identificação de riscos associados à contratação de serviços externos;
• A adoção de medidas corretivas quando sejam identificadas insuficiências;
• A atualização da documentação relacionada com subprocessadores.

A seleção, contratação e gestão dos subprocessadores compete à WebDig Host, no âmbito das suas responsabilidades contratuais e legais.

Os clientes podem consultar a Lista de Subprocessadores e o Acordo de Tratamento de Dados para obter informações adicionais.

9. Apoio no Exercício dos Direitos dos Titulares de Dados

O Encarregado de Proteção de Dados acompanha e presta aconselhamento sobre os pedidos relacionados com os direitos previstos no RGPD.

Entre estes direitos encontram-se, quando aplicáveis:

• Direito de acesso: artigo 15.º do RGPD;
• Direito de retificação: artigo 16.º;
• Direito ao apagamento: artigo 17.º;
• Direito à limitação do tratamento: artigo 18.º;
• Direito de portabilidade: artigo 20.º;
• Direito de oposição: artigo 21.º;
• Direitos relativos a decisões individuais automatizadas: artigo 22.º.

O exercício destes direitos depende dos pressupostos e limitações previstos na legislação aplicável.

Os pedidos podem ser apresentados através dos contactos indicados nesta página.

Quando a WebDig Host trate dados pessoais por conta de um cliente, na qualidade de subcontratante, prestará a assistência aplicável ao responsável pelo tratamento, nos termos do RGPD e do acordo contratual celebrado.

Os titulares que considerem que os seus direitos foram violados podem apresentar reclamação à CNPD, sem prejuízo de outros meios de recurso legalmente previstos.

10. Articulação com Procedimentos de Incidentes de Proteção de Dados

O Encarregado de Proteção de Dados desempenha funções de aconselhamento e acompanhamento na avaliação de incidentes que envolvam dados pessoais.

Perante uma suspeita ou confirmação de violação de dados pessoais, a sua intervenção pode incluir:

• Aconselhamento sobre a natureza e o impacto da violação;
• Avaliação dos riscos para os direitos e liberdades dos titulares;
• Aconselhamento sobre a necessidade de notificação à CNPD;
• Aconselhamento sobre a eventual comunicação aos titulares afetados;
• Recomendação de medidas destinadas a reduzir riscos e prevenir situações semelhantes.

Nos termos do artigo 33.º do RGPD, quando a WebDig Host atue como responsável pelo tratamento e exista obrigação de notificação, esta deve ser efetuada à autoridade de controlo sem demora injustificada e, sempre que possível, no prazo de 72 horas após ter tomado conhecimento da violação.

Quando a WebDig Host atue como subcontratante, deverá comunicar ao responsável pelo tratamento as violações de dados pessoais de que tome conhecimento sem demora injustificada.

A comunicação aos titulares dos dados é avaliada nos termos do artigo 34.º do RGPD, quando estejam preenchidos os respetivos pressupostos.

Para mais informações, consulta os Procedimentos de Incidentes.

11. Formação e Sensibilização em Proteção de Dados

O Encarregado de Proteção de Dados pode aconselhar e apoiar a WebDig Host na promoção de ações de sensibilização adequadas às funções desempenhadas pelas pessoas que intervêm no tratamento de dados pessoais.

As matérias abordadas podem incluir:

• Princípios fundamentais de proteção de dados pessoais;
• Confidencialidade e controlo de acessos;
• Identificação e comunicação de incidentes;
• Reconhecimento de tentativas de phishing e engenharia social;
• Tratamento adequado de pedidos dos titulares;
• Boas práticas de segurança da informação.

A natureza e a periodicidade das ações dependem das necessidades identificadas, das funções desempenhadas e dos riscos associados às operações de tratamento.

12. Garantias de Independência do Encarregado de Proteção de Dados

Nos termos do artigo 38.º do RGPD, a WebDig Host deve assegurar que o Encarregado de Proteção de Dados exerce as suas funções com independência.

Estas garantias incluem:

• Não receber instruções quanto ao exercício das suas funções legalmente previstas;
• Não ser destituído nem penalizado pelo desempenho legítimo dessas funções;
• Reportar diretamente ao nível mais elevado da direção da entidade;
• Dispor de condições adequadas para desempenhar as suas responsabilidades;
• Estar sujeito a deveres de sigilo e confidencialidade;
• Não exercer funções ou tarefas adicionais que originem conflitos de interesses.

A independência funcional do EPD não elimina a responsabilidade da WebDig Host pelas decisões relacionadas com o tratamento de dados pessoais.

A acumulação de funções de EPD com funções que determinam as finalidades e os meios do tratamento deve ser avaliada quanto a possíveis conflitos de interesses.

13. Registo, Documentação e Responsabilização em Proteção de Dados

O princípio da responsabilização (accountability), previsto no artigo 5.º, n.º 2, do RGPD, exige que o responsável pelo tratamento cumpra os princípios de proteção de dados e seja capaz de demonstrar esse cumprimento.

O Encarregado de Proteção de Dados pode acompanhar e aconselhar a WebDig Host relativamente à documentação relevante, incluindo:

• Registos de atividades de tratamento, nos termos do artigo 30.º do RGPD, quando aplicáveis;
• Avaliações de Impacto sobre a Proteção de Dados;
• Registos de violações de dados pessoais e das medidas adotadas;
• Políticas e procedimentos internos de proteção de dados;
• Avaliações de riscos associados ao tratamento;
• Documentação contratual relevante para a proteção de dados.

A elaboração, manutenção e conservação destes elementos compete às entidades legalmente responsáveis, com o aconselhamento e acompanhamento do EPD no âmbito das suas funções.

14. Atualizações desta Página

A presente página é revista sempre que ocorram alterações relevantes, incluindo:

• Alteração da designação ou dos contactos do Encarregado de Proteção de Dados;
• Conclusão da comunicação da designação à CNPD;
• Alterações nas operações da WebDig Host com impacto na proteção de dados;
• Alterações legislativas ou orientações relevantes da CNPD ou do Comité Europeu para a Proteção de Dados (EDPB);
• Atualização das políticas e dos procedimentos relacionados com proteção de dados.

A informação sobre o estado da comunicação à CNPD será atualizada após a realização desse procedimento.