A Comissão Nacional para a Proteção de Dados (CNPD) multou uma empresa por não fornecer ao seu Data Protection Officer (DPO ou encarregado de proteção de dados) os recursos e o poder necessários para exercer suas funções adequadamente. Destaca-se que a companhia multada era uma subsidiária de um grupo francês, que havia nomeado um encarregado para o grupo (localizado na França), mas não nomeara um outro encarregado para Luxemburgo. Dessa forma, o DPO do grupo não estava sediado em Luxemburgo e se envolvia principalmente de forma indireta, através de um ponto de contato local, nos assuntos relacionados à proteção de dados da entidade luxemburguesa. A CNPD determinou que, embora o DPO participasse de várias reuniões a nível de grupo e organizasse reuniões regulares com seus pontos de contato locais, isso não era suficiente para demonstrar um envolvimento direto, formal e permanente do DPO em Luxemburgo.
A defesa do controlador argumentou que os contatos regulares entre o DPO e o ponto de contato local compensavam a falta de envolvimento direto. No entanto, a CNPD concluiu que essa ausência de envolvimento direto poderia criar o risco de que o DPO não estivesse suficientemente envolvido em todas as questões de proteção de dados. O ponto de contato local só acionava o DPO quando julgava necessário ou quando o reclamante não aceitava a decisão do ponto de contato local; caso contrário, decidia sem o envolvimento do DPO. Durante o processo, a Empresa A nomeou um novo DPO.
O Tribunal manteve que as infrações identificadas pela CNPD foram de fato cometidas pelo controlador e que a CNPD estabeleceu corretamente os fatos: O DPO não estava diretamente envolvido em todas as questões relacionadas à proteção de dados; O DPO não recebeu recursos suficientes nem acesso adequado à alta administração.
Embora o controlador tenha mencionado comunicações regulares via telefone, videoconferências e e-mails entre o ponto de contato local e o DPO, não apresentou qualquer documentação dessas comunicações. Também não foi demonstrado que o DPO havia sido consultado previamente, enquanto a organização estabelecida com o Conselho da GDPR se concentrava no ponto de contato local que lidava inicialmente com os incidentes e tomava decisões sobre questões relacionadas ao processamento de dados pessoais pelo controlador.
Em relação aos recursos suficientes disponibilizados para o DPO, o controlador não apresentou informações sobre a formalização do tempo de trabalho dedicado à proteção de dados da pessoa ou pessoas que lidavam com proteção de dados antes que o ponto de contato local fosse nomeado DPO para Luxemburgo. O tribunal também observou que o ponto de contato local era o único advogado da empresa em Luxemburgo. O volume de atividades do controlador em Luxemburgo, com 70 locais, entre 1600 e 2100 empregados e 25000 consumidores por dia, justificaria pelo menos uma pessoa em tempo integral dedicada à proteção de dados.
Com informações Comission Nationale pour la Protection des Données
Este post foi traduzido e resumido a partir de sua versão original com o uso do ChatGPT versão 4, com revisão humana.
