sou obrigado a designar um encarregado de proteção de dados para a minha empresa

Para a maioria das pequenas e médias empresas e trabalhadores independentes não existe obrigação

Um responsável pela proteção de dados, abreviado RPD, geralmente não é obrigatório para as PME normais e para a maioria dos trabalhadores independentes. O RGPD menciona várias situações específicas em que um RPD é obrigatório, e fora dessas situações, uma organização tem liberdade para designar um por sua própria iniciativa, sem que a lei o exija. Na prática, um RPD obrigatório ocorre principalmente em organizações públicas e em empresas cuja atividade principal consiste em monitoramento em larga escala e estruturado de pessoas ou no processamento em larga escala de categorias especiais de dados pessoais, como dados de saúde.

Uma loja online, um escritório de consultoria, um empreiteiro ou um trabalhador independente com um software de contabilidade e algumas ferramentas SaaS geralmente não se enquadram nessas categorias. Isso não significa que não haja nada a fazer: mesmo sem um RPD, existe a obrigação de demonstrar quais dados pessoais são processados e para que fim, por exemplo em o registo de atividades de processamento, e essa obrigação se aplica igualmente a uma empresa individual. Quem tem dúvidas se as suas próprias atividades realmente se enquadram na categoria "em larga escala" ou "estruturado", encontra mais orientação na pergunta quando uma AIPD é necessária, porque essa mesma avaliação de risco muitas vezes surge junto com a questão do RPD.

Baseado em: artigos 2 e 30 do RGPD

O RGPD estabelece no artigo 2º o âmbito material da aplicação do regulamento, e o artigo 30 regula o registo de atividades de processamento com as exceções aplicáveis — a obrigação do RPD em si está noutro local do regulamento, mas o escopo e a natureza do processamento que desempenham um papel estão alinhados com os mesmos critérios que se aplicam ao registo e à obrigação de AIPD. Parte dessa avaliação é factual: quantas pessoas são monitoradas, como sistematicamente, e que tipo de dados estão envolvidos. A Autoridade Portuguesa de Proteção de Dados publica orientações adicionais para a prática portuguesa, enquanto a questão de saber se um RPD é obrigatório baseia-se no mesmo regulamento em toda a UE — no entanto, a autoridade de supervisão nacional, em Portugal a Autoridade Portuguesa de Proteção de Dados e noutros Estados-Membros a autoridade de supervisão desse país, pode aplicar a sua própria orientação ou requisitos de registo adicionais relativos à designação de um RPD.