Precisa de encarregado da proteção de dados ao abrigo do RGPD?

Saber se precisa de encarregado da proteção de dados não depende do número de trabalhadores nem do volume de negócios, pois cada responsável pelo tratamento e cada subcontratante tem de olhar para a entidade jurídica e para o tratamento que realmente realiza: três situações do artigo 37.º, n.º 1, mais qualquer exigência do direito da União ou nacional ¹.

Resposta rápida: Saber se precisa de encarregado da proteção de dados exige quatro testes, não uma medida da empresa: natureza pública, monitorização regular e sistemática em grande escala, tratamento principal de dados sensíveis em grande escala e lei nacional. Um sim cria a função protegida; quatro respostas negativas exigem uma avaliação datada e revisível.

Última atualização: 26 de agosto de 2026

Se a sua operação estiver sujeita ao regime britânico, consulte o guia sobre encarregado da proteção de dados no Reino Unido^EN(artigo em inglês), uma vez que este artigo trata o RGPD da União Europeia sem importar definições ou limiares do direito britânico.

Quatro rotas, uma decisão por entidade

A decisão pertence a uma entidade jurídica delimitada, porque, num grupo, uma resposta única pode ocultar que sociedades diferentes determinam operações diferentes e, numa prestação de serviços, seria igualmente errado presumir que apenas o cliente faz o teste. O artigo 37.º dirige a obrigação ao responsável pelo tratamento e ao subcontratante, segundo as respetivas atividades ¹.

Uma ficha curta deve mostrar o que a entidade faz com dados pessoais: finalidades, pessoas abrangidas, categorias de dados, frequência, alcance, duração, locais e dependência da atividade principal. Só depois faz sentido percorrer as quatro rotas. Um resultado afirmativo em qualquer linha termina a análise da necessidade, mas não decide ainda como a função será organizada.

O diagrama exprime uma ordem de decisão, não uma hierarquia entre obrigações: primeiro testa a natureza pública e, se o resultado for negativo, segue para a monitorização em grande escala, depois para os dados sensíveis em grande escala e finalmente para a lei nacional. Qualquer sim conduz à designação, à função protegida e à revisão, ao passo que um não em todas as rotas conduz ao registo da avaliação e à mesma disciplina de revisão.

A tabela perde valor se receber respostas vagas, porque “não somos grandes” nada diz sobre a escala concreta, “somos privados” não prova que a entidade fica fora da categoria pública e “não tratamos saúde” ignora outras categorias do artigo 9.º e os dados do artigo 10.º. Para que outra pessoa consiga repetir o raciocínio, cada não precisa de factos suficientes.

Os três casos do artigo 37.º

Os três casos do artigo 37.º, n.º 1, são autónomos e cumulam elementos dentro de cada rota. O primeiro abrange o tratamento efetuado por uma autoridade ou organismo público, excetuando os tribunais quando atuam no exercício da função jurisdicional. O segundo liga a obrigação às atividades principais que exijam monitorização regular e sistemática de pessoas em grande escala. O terceiro cobre atividades principais que consistam no tratamento, em grande escala, de categorias especiais do artigo 9.º ou de dados pessoais relativos a condenações penais e infrações do artigo 10.º ¹.

Todos os elementos de cada caso têm de estar presentes: ter um sistema de análise não basta quando a atividade não constitui monitorização regular e sistemática em grande escala, tal como tratar alguns dados de saúde não basta se esse tratamento não for simultaneamente atividade principal e de grande escala. A presença de um elemento chama a atenção para a rota, mas não prova os restantes.

Embora o número de trabalhadores, a faturação e a forma como a empresa se apresenta no mercado possam influenciar factos relevantes, como a escala de uma operação, nenhum aparece como atalho no n.º 1 nem substitui o teste. Uma equipa pequena pode acompanhar muitas pessoas de forma persistente, enquanto uma entidade maior pode tratar um conjunto limitado de dados numa atividade meramente auxiliar.

Como o responsável pelo tratamento e o subcontratante precisam de análises próprias, um prestador cuja atividade principal consiste em monitorizar pessoas para vários clientes não herda automaticamente a resposta de cada cliente: a sua entidade, a natureza dos serviços e a escala agregada que efetivamente executa podem sustentar outra conclusão.

Quando uma rota for afirmativa, registe exatamente qual. Esse detalhe orienta a seleção de conhecimentos, a capacidade necessária e os gatilhos de revisão. Também impede que uma designação correta seja mais tarde defendida por um motivo incorreto, o que fragilizaria a avaliação quando a atividade mudar.

A natureza pública depende da lei nacional

Como “autoridade ou organismo público” não recebe uma definição autónoma no RGPD para esta finalidade, a qualificação vem do direito nacional aplicável à entidade ⁴; transportar para todos os Estados-Membros a definição adotada por um país daria uma resposta falsa, tal como usar a forma societária como único critério.

A análise parte da norma nacional que estabelece o estatuto da entidade e da legislação de proteção de dados que desenvolve a obrigação, ficando registados o título oficial, a disposição concreta, a versão em vigor e a data da consulta. A esses elementos juntam-se os factos que ligam a entidade à categoria: criação legal, funções atribuídas, poderes exercidos e regime aplicável.

A exceção dos tribunais é estreita, pois se refere aos tribunais quando atuam no exercício da função jurisdicional ¹, sem criar uma exclusão geral de toda a administração da justiça nem uma regra para outros organismos que trabalham perto dos tribunais. Por isso, a conclusão depende da atividade e do estatuto delimitados.

Quando a pesquisa não permite fechar a qualificação de imediato, a ficha mantém a questão pendente, identifica quem obterá uma interpretação competente e não aceita uma conclusão negativa, porque a dúvida sobre direito nacional é uma dependência a resolver, nunca prova de que a obrigação não existe.

Também não se importa a resposta do regime britânico, uma vez que uma definição do direito do Reino Unido não decide o estatuto de uma entidade sujeita ao direito de um Estado-Membro: a disciplina europeia comum fornece a rota, enquanto o direito nacional fornece a categoria.

Atividade principal, escala e monitorização

Uma atividade principal pode gerar receita, mas essa não é a definição. A orientação WP243 aponta para as operações essenciais aos objetivos do responsável pelo tratamento ou do subcontratante: atividades inseparáveis da entrega central podem ser principais, enquanto funções de apoio habituais, como pagamentos a trabalhadores ou suporte informático normal, tendem a ser auxiliares ⁴.

A pergunta decisiva é se a entidade conseguiria entregar a sua finalidade principal da mesma forma sem aquele tratamento: um serviço clínico depende do tratamento de informação de saúde para prestar cuidados, ao passo que uma organização comum também trata dados de trabalhadores, mas essa administração pode continuar a ser apoio. O exemplo esclarece o método sem substituir a análise da operação concreta.

Como “grande escala” não tem um número universal, contam em conjunto o número de pessoas e a proporção da população relevante, o volume e a variedade dos dados, a duração ou permanência e a extensão geográfica ⁴. A ficha regista valores e intervalos observados na operação, a fonte interna desses números e a razão pela qual a combinação aponta, ou não, para grande escala.

Nenhum indicador deve transformar-se num limite escondido. Poucas categorias de dados sobre uma população muito extensa podem ter escala; muitos campos tratados uma única vez para poucas pessoas podem não a ter. A análise ganha força quando compara as dimensões e explica como se reforçam ou limitam mutuamente.

Enquanto a monitorização “regular” pode ser contínua, repetida em intervalos definidos, recorrente ou realizada segundo um plano, “sistemática” aponta para uma atividade organizada, preestabelecida, metódica ou integrada numa estratégia. A orientação inclui formas de acompanhamento e perfilagem online e offline, mas o nome de uma ferramenta não decide o teste ⁴.

Descreva o comportamento observado, a frequência, os identificadores, as inferências e a utilização posterior. Uma contagem agregada e transitória não é igual a um perfil persistente usado para decisões, ainda que ambas apareçam num painel chamado “analítica”. A entidade precisa de provar a configuração real, não a capacidade máxima anunciada por um fornecedor.

Por fim, ligue todos os termos: a obrigação desta rota exige monitorização regular e sistemática, em grande escala, como atividade principal. O registo deve mostrar cada elemento separadamente e depois explicar por que a combinação completa está ou não presente.

A lei do Estado-Membro é uma rota própria

Três respostas negativas não encerram a análise. O artigo 37.º, n.º 4, permite que o direito da União ou de um Estado-Membro exija a designação noutros casos ¹. Esta quarta rota merece a mesma visibilidade porque pode mudar a resposta de uma entidade que ficaria fora do teste comum.

Antes de procurar um limiar, é necessário identificar o direito aplicável através da sede, do estatuto jurídico, do estabelecimento relevante e da atividade abrangida. Só então se consulta uma fonte oficial nacional, registando título, disposição, versão e data exata, além dos factos que colocam, ou não, a entidade dentro da regra encontrada.

Uma exigência nacional nunca se converte num número europeu. A regra válida num Estado-Membro não prova a mesma obrigação noutro, e uma referência sem âmbito pode ser mais enganadora do que a ausência de referência. Por isso, este guia não compila um catálogo nacional nem fabrica um limiar comum que o RGPD não contém.

Uma verificação negativa também precisa de rasto, pois “não encontrámos nada” é fraco, ao passo que “foi consultada a versão em vigor do instrumento X, disposição Y, em determinada data, para uma entidade com estes factos” pode ser revisto. A ficha nomeia ainda a pessoa responsável por atualizar a fonte e os eventos que exigem nova consulta.

Entre esses eventos estão uma mudança de Estado-Membro aplicável, estatuto, setor, atividade, escala ou legislação. Uma revisão calendarizada pode servir de segurança adicional, mas não deve substituir a reabertura no momento em que um facto relevante muda.

Uma designação voluntária cria a função completa

A designação voluntária é possível, mas não existe uma versão reduzida da função. Quando uma organização usa o título de encarregado da proteção de dados numa designação ao abrigo do artigo 37.º, aplica-se por inteiro o regime dos artigos 37.º a 39.º ⁴. Não pode anunciar a função e retirar-lhe independência, acesso, recursos ou tarefas legais.

Quando nenhuma obrigação existe, a alternativa honesta consiste em atribuir responsabilidade operacional pela privacidade sem usar o título protegido. “Responsável de privacidade” ou outra designação interna clara pode servir. O mandato explica que não se trata do encarregado da proteção de dados e define autoridade, tarefas, escalamento e limites sem sugerir garantias legais que não foram criadas.

Quando a complexidade do tratamento justifica uma função protegida, a designação voluntária pode ser sensata, desde que a decisão confirme, antes do anúncio, os conhecimentos especializados, a disponibilidade, a linha de reporte, os conflitos, o orçamento, o acesso e a capacidade de cobrir todos os estabelecimentos relevantes.

Um encarregado pode ser trabalhador da organização ou exercer as funções por contrato ¹, e um grupo de empresas pode designar uma única pessoa se esta for facilmente acessível a partir de cada estabelecimento. “Partilhado” não significa distante, porque línguas, fusos horários, volume de pedidos, presença operacional e vias de contacto determinam se o acesso é real.

O mesmo vale para um serviço externo. Um contrato não cria capacidade por si só. Registe horas, equipa de apoio, conhecimentos, acesso a decisões, substituição, tratamento de conflitos e forma de contacto com pessoas e com a autoridade de controlo.

Se for obrigatório, torne a função real

A designação só tem valor quando a posição funciona. Os artigos 38.º e 39.º definem garantias e tarefas mínimas; uma linha no organograma sem acesso, independência ou tempo não cumpre esse desenho ². O plano de implementação liga cada garantia a um responsável, uma prova e um modo de funcionamento.

Na prática, o encarregado informa e aconselha o responsável pelo tratamento ou o subcontratante e as pessoas que executam o tratamento. Acompanha o cumprimento do RGPD, de outras regras aplicáveis e das políticas internas, incluindo atribuição de responsabilidades, sensibilização, formação e auditorias ³. Estas tarefas exigem acesso precoce aos projetos, não uma revisão feita depois de todas as decisões estarem fechadas.

Quando solicitado, presta aconselhamento sobre a avaliação de impacto sobre a proteção de dados e acompanha a sua realização. Coopera com a autoridade de controlo e atua como ponto de contacto, incluindo em matérias de consulta prévia ³. O plano deve indicar quem chama o encarregado, em que momento, como o parecer é registado e como uma divergência chega à gestão de topo.

O desempenho considera o risco associado às operações, atendendo à natureza, ao âmbito, ao contexto e às finalidades ³. Isso permite priorizar sem abandonar tarefas: uma operação de maior risco recebe mais atenção, enquanto assuntos rotineiros seguem canais proporcionais e documentados.

Embora a independência não isole a função, o encarregado pode aconselhar e acompanhar sem assumir a responsabilidade pelas decisões, que continua na organização. O registo distingue o parecer dado, a decisão tomada e a pessoa que a assumiu, sobretudo quando a decisão se afasta do aconselhamento.

Se não for obrigatório, registe a avaliação

Quatro respostas negativas merecem mais do que um correio eletrónico solto. A avaliação datada percorre as quatro rotas, reúne os factos disponíveis, indica a fonte nacional e atribui a decisão. Em seguida, a entidade nomeia uma pessoa responsável pela privacidade sem lhe atribuir o título protegido e define gatilhos observáveis.

A avaliação negativa descreve a entidade jurídica e as atividades analisadas, explicando por que cada uma é principal ou auxiliar, como a escala foi avaliada, que monitorização existe e que dados são tratados. Quando uma resposta depende de uma configuração técnica, conserva ainda essa configuração e a data, não apenas o nome do produto.

A fonte nacional tem de ser identificável pelo instrumento oficial, disposição, versão, endereço consultado internamente e data de acesso, porque esse registo é a citação da análise da entidade, não uma quinta fonte generalizável acrescentada a este guia europeu.

Os melhores gatilhos nascem da operação: novo serviço baseado em observação, aumento relevante de população ou geografia, entrada de categorias especiais, mudança da finalidade principal, aquisição, reorganização, novo estabelecimento, alteração legislativa ou designação voluntária. A pessoa responsável precisa de receber essas mudanças antes de entrarem em funcionamento.

Uma revisão periódica proporcional funciona como rede de segurança para mudanças que não foram comunicadas, mas não invente um intervalo universal. A entidade define-o segundo a estabilidade e o risco dos factos e documenta por que é suficiente.

Antes de aprovar o resultado, o decisor confirma que as quatro rotas foram concluídas e que nenhuma incerteza foi convertida em resposta negativa. A assinatura liga a conclusão aos factos daquela data; não transforma o registo numa dispensa permanente nem transfere para o responsável de privacidade a decisão da entidade.

Teste os casos de fronteira

Os casos de fronteira mostram por que o método é mais seguro do que um atalho. Cada cenário abaixo termina num produto de trabalho e identifica o facto que ainda precisa de ser provado; nenhum transforma a semelhança superficial numa conclusão.

A comparação útil é feita linha por linha com a atividade real. “Parecido com o quarto” não chega se a empresa ainda desconhece a escala ou não consultou a lei nacional. Da mesma forma, uma atividade intensa não conduz automaticamente à obrigação se monitorização, dados abrangidos ou condição de atividade principal não estiverem presentes como a rota exige.

O produto final só é binário quando os factos estão completos — designar ou registar que não é obrigatório —, pois uma questão nacional por resolver constitui um estado de trabalho, não uma terceira conclusão jurídica. Esse estado tem responsável e prazo, sem permitir o uso do título protegido nem a tranquilidade de um não ainda não demonstrado.

Perguntas frequentes sobre o encarregado

Precisa de encarregado da proteção de dados ao abrigo do RGPD?

Precisa se uma das três situações do artigo 37.º, n.º 1, abranger a entidade ou se outra norma aplicável exigir a designação ¹. A decisão segue a entidade e as atividades reais. Sem rota afirmativa, ficam registados a análise, os factos, a fonte nacional, a data, o decisor e os eventos de revisão.

O número de trabalhadores torna obrigatória a designação?

Não. O RGPD não fixa um número de trabalhadores ou um volume de negócios para esta decisão. Esses dados podem contribuir para compreender a escala, mas não substituem a natureza pública, a atividade principal, a monitorização, as categorias tratadas e a lei nacional. Uma entidade pequena pode executar tratamento em grande escala.

O que significa tratamento em grande escala?

Não há um número universal. Considere pessoas e proporção da população, volume e variedade dos dados, duração ou permanência e extensão geográfica ⁴. A avaliação deve apresentar os números disponíveis, a sua fonte e o modo como os fatores se combinam. Um único valor sem contexto não demonstra nem exclui grande escala.

O encarregado pode ser externo ou partilhado?

Sim. Pode ser trabalhador ou prestar funções por contrato, e um grupo pode designar uma pessoa comum quando esta for facilmente acessível em cada estabelecimento ¹. Verifique capacidade, línguas, tempo, recursos, independência, confidencialidade, conflitos e canais. A partilha só funciona quando pessoas, equipas e autoridade conseguem chegar à função na prática.

O que acontece se a designação for voluntária?

Aplicam-se integralmente os artigos 37.º a 39.º quando a organização designa voluntariamente um encarregado ⁴. Não use o título para uma função sem proteção, recursos ou tarefas legais. Se nenhuma obrigação existir e a organização não pretender esse regime, nomeie claramente um responsável de privacidade que não seja apresentado como encarregado da proteção de dados.

A lei nacional pode alargar os casos obrigatórios?

Sim. O artigo 37.º, n.º 4, admite exigências do direito da União ou de um Estado-Membro ¹. Consulte a fonte oficial aplicável à entidade e registe título, disposição, versão, data e factos. Não converta a regra ou o limiar de um país em requisito geral do RGPD para toda a União.