A Academy Europe confirma a aplicação da Proteção de Dados sob o Regulamento GDPR:
O Regulamento Geral de Proteção de Dados (GDPR) estabeleceu o conceito de um Data Protection Officer (DPO) na Europa. Ao contrário do que se pensa, decisivo para a obrigação legal de nomear um Encarregado de Proteção de Dados não é o tamanho da empresa, mas as atividades de processamento núcleo que são definidas como essenciais para alcançar os objetivos da empresa. Se essas atividades principais consistirem no processamento de dados pessoais confidenciais em grande escala ou em uma forma de processamento de dados particularmente abrangente para os direitos dos titulares dos dados, a empresa deve nomear um DPO. Os órgãos públicos, por outro lado, sempre têm que nomear um DPO, com exceção dos tribunais que atuam em sua capacidade judicial. Além disso, a norma legal para nomear um Encarregado da Proteção de Dados tem uma cláusula de flexibilidade para os Estados-Membros. Estes são livres para decidir se uma empresa deve nomear um responsável pela proteção de dados sob requisitos mais rigorosos (por exemplo, Seção 38 da Lei Federal de Proteção de Dados Alemã). Se tal obrigação existir ao abrigo do Regulamento Geral de Proteção de Dados ou de uma lei nacional mais específica, um grupo de empresas também pode nomear um único Encarregado de Proteção de Dados. Se o grupo decidir fazê-lo, ele deve ser facilmente acessível para as autoridades de supervisão, funcionários e titulares de dados externos. Se não existir nenhuma obrigação legal, as empresas podem nomear um DPO voluntariamente para ajudar na conformidade com a proteção de dados (o que é recomendado, por exemplo, pela autoridade francesa de proteção de dados CNIL).
Grupos e empresas têm duas possibilidades para cumprir sua obrigação de nomear um Encarregado de Proteção de Dados. Ou nomeiam um funcionário como Diretor de Proteção de Dados interno ou nomeiam um Diretor de Proteção de Dados externo. Ao selecionar essa pessoa, eles devem garantir que um Encarregado de Proteção de Dados interno não esteja sujeito a um conflito de interesses devido ao seu trabalho no Departamento de TI, no Departamento de RH ou na alta administração, onde ele teria que supervisionar a si mesmo. Independentemente da opção escolhida, um Encarregado de Proteção de Dados deve fornecer conhecimento profissional especializado em direito de proteção de dados e segurança de TI, o escopo dependendo da complexidade do processamento de dados e do tamanho da empresa.
As funções de um Encarregado de Proteção de Dados incluem: Trabalhar para o cumprimento de todas as leis de proteção de dados relevantes, monitorar processos específicos, como avaliações de impacto de proteção de dados ou a conscientização e treinamento de funcionários para proteção de dados, bem como colaborar com a supervisão autoridades. Portanto, o funcionário que atua como Encarregado de Proteção de Dados não deve ser demitido ou penalizado pelo cumprimento de suas tarefas. Apesar de sua função de monitoramento, a própria empresa continua responsável pelo cumprimento das leis de proteção de dados. Portanto, deve envolver o Encarregado de Proteção de Dados em todas as questões relacionadas à proteção de dados pessoais “de forma adequada e oportuna”. Quando é nomeado um Encarregado da Proteção de Dados, o seu superior deve publicar os seus dados de contacto e comunicar a sua nomeação e os seus dados de contacto às autoridades de controlo da proteção de dados. Se uma empresa nomeou voluntariamente um DPO, ela também deve aderir aos critérios e disposições estabelecidos acima. Observe também que a omissão dolosa ou negligente em nomear um Encarregado de Proteção de Dados, apesar de uma obrigação legal, é uma infração sujeita a multas.