Uma certificação de EPD pode ajudar a demonstrar conhecimentos, mas a escolha deve começar pelas funções que a pessoa vai desempenhar e pelas competências que lhe faltam. Comprar a formação com o nome mais reconhecível não resolve necessariamente uma dificuldade em avaliar um contrato, aconselhar sobre uma AIPD ou discutir uma medida técnica com a equipa de sistemas.
Em Portugal, a CNPD esclarece que não é necessária certificação profissional para exercer as funções de EPD. A seleção deve considerar qualidades profissionais e conhecimentos especializados no direito e nas práticas de proteção de dados. O objetivo deste guia é construir uma decisão fundamentada sobre formação e certificação, com um plano de aplicação prática e critérios para comparar propostas.
Separar obrigação legal, certificado e competência
O artigo 37.º, n.º 5, do RGPD relaciona a designação do EPD com qualidades profissionais, conhecimentos especializados e capacidade para cumprir as suas funções. Não impõe uma marca de certificação. Uma entidade pode incluir um requisito profissional numa proposta de contratação, mas isso não transforma o requisito contratual numa obrigação geral para todos os EPD.
Distinga também um certificado de frequência de uma certificação baseada em avaliação. O primeiro pode demonstrar presença numa ação; o segundo deve ter critérios, âmbito e condições de validade identificáveis. Nenhum dos dois permite concluir automaticamente que a pessoa conhece os tratamentos específicos de uma organização.
A certificação de uma pessoa é ainda diferente de um mecanismo de certificação de operações de tratamento nos termos dos artigos 42.º e 43.º. Uma apresentação comercial que mistura estes conceitos merece esclarecimento. Peça a identificação exata do certificado emitido, da entidade que o emite e do que ele atesta.
O guia sobre o encarregado de proteção de dados ajuda a delimitar as funções. A formação deve ser escolhida depois de compreender esse âmbito, sobretudo quando o candidato já exerce outras responsabilidades na organização.
Fazer um diagnóstico por tarefas
Liste tarefas que o EPD precisa de compreender e executar com autonomia adequada: interpretar o enquadramento, aconselhar, acompanhar o cumprimento, analisar riscos, comunicar com pessoas e cooperar com a autoridade. Para cada tarefa, identifique evidência existente e uma lacuna concreta.
Uma jurista fictícia domina fundamentos jurídicos e direitos dos titulares, mas tem dificuldade em avaliar a separação de chaves e o acesso de administradores. Um administrador de sistemas compreende permissões e arquitetura, mas confunde interesse legítimo com consentimento. Uma responsável de conformidade conhece a lei e a técnica básica, mas precisa de organizar uma rede de interlocutores e um plano de acompanhamento.
Estas três pessoas não precisam necessariamente da mesma sequência de cursos. A escolha melhora quando se formula o resultado pretendido: «conseguir discutir a eficácia de uma medida de pseudonimização» é mais útil do que «obter uma certificação avançada».
Comparar famílias de formação e certificação
Entre as opções internacionais, a IAPP apresenta o CIPP/E como uma certificação centrada no enquadramento europeu de proteção de dados. O CIPM incide na gestão de programas de privacidade. O CIPT trata competências tecnológicas de proteção de dados. Estes âmbitos permitem uma primeira comparação; os conteúdos e condições concretos devem ser confirmados nos programas atuais da entidade emissora.
| Necessidade observada | Tipo de percurso a comparar | Evidência prática procurada |
|---|---|---|
| Fundamentos europeus incompletos | Programa jurídico europeu, incluindo CIPP/E quando adequado | Análise fundamentada de finalidade, base e direitos |
| Programa desorganizado | Gestão de privacidade, incluindo CIPM quando adequado | Plano com responsáveis, dependências e acompanhamento |
| Dificuldade na discussão técnica | Privacidade tecnológica, incluindo CIPT quando adequado | Avaliação de fluxos, acessos e limites de uma medida |
| Lacuna em regras portuguesas | Formação nacional ou setorial específica | Aplicação de fontes portuguesas ao tratamento real |
| Comunicação difícil com os serviços | Formação com exercícios e revisão de pareceres | Explicação utilizável por pessoas de outras áreas |
A tabela não estabelece uma classificação universal de prestígio. Não presume uma taxa de aprovação, uma percentagem de anúncios de emprego ou um aumento salarial associado a cada credencial. Para uma vaga concreta, leia os requisitos do empregador e verifique se a experiência ou outras formações são aceites.
Tratar formações estrangeiras com cuidado
Um programa nacional francês, alemão ou espanhol pode ser útil para quem trabalha nesses mercados. Contudo, a presença de legislação nacional no curso pode reduzir o tempo dedicado às regras portuguesas que a organização precisa de aplicar. Uma designação que refere uma autoridade estrangeira também não significa que a CNPD certifique a pessoa ou aprove o seu trabalho.
Peça exemplos do material: uma AIPD baseada numa lista nacional estrangeira pode exigir adaptação; uma regra laboral ou de marketing não deve ser transposta apenas por existir um RGPD comum. A formação escolhida deve ensinar a localizar e interpretar as fontes aplicáveis, incluindo alterações posteriores ao curso.
Quando um grupo atua em vários países, pode ser razoável combinar um núcleo europeu com módulos nacionais. A decisão deve indicar quem acompanha cada jurisdição e como o EPD obtém apoio quando não domina uma questão local. Não é necessário apresentar uma coleção de certificados como substituto de uma rede de competência efetiva.
Examinar o programa e a avaliação
Leia o programa antes de comparar a duração. Verifique a versão do conteúdo, o equilíbrio entre teoria e exercícios e a forma de avaliação. Um curso curto pode ser adequado para atualizar uma regra específica; pode ser insuficiente para alguém que ainda não compreende a estrutura do RGPD.
Procure exercícios em que a resposta não seja apenas escolher uma opção. Por exemplo, peça uma análise de contrato de subcontratação com papéis e instruções ambíguos, ou uma revisão de avaliação de impacto que explique riscos para as pessoas. O participante deve justificar a decisão e reconhecer informação em falta.
Verifique também a língua do ensino e do exame, as condições de acessibilidade, os materiais autorizados e o processo de remarcação. Uma pessoa pode compreender bem o tema e precisar de preparação específica para o formato da avaliação. Esse esforço faz parte do plano, mas não deve consumir todo o tempo destinado à aplicação prática.
Comparar o custo total das opções de formação
Peça propostas que separem formação, materiais, exame, repetição, manutenção da certificação, deslocações e impostos aplicáveis. Confirme se a compra de um curso inclui efetivamente o exame ou apenas preparação. As condições podem mudar e variar segundo o percurso.
Acrescente o custo do tempo interno. Uma formação realizada durante horas de trabalho exige redistribuição de tarefas; estudo fora desse horário pode não ser sustentável. A decisão deve considerar também quem apoia o profissional quando surgem questões operacionais antes de concluir a preparação.
No exemplo, a organização recebe duas propostas para a responsável de conformidade. A primeira inclui muitas horas de revisão jurídica de temas que já domina. A segunda dedica parte substancial a governação, aplicação e discussão de casos. A organização escolhe a segunda após verificar o conteúdo e a avaliação, reservando um módulo jurídico específico para a lacuna nacional identificada. Não presume retorno financeiro garantido nem usa o preço mais elevado como indicador de qualidade.
Exemplo preenchido: plano de desenvolvimento de seis meses
A responsável de conformidade da empresa fictícia conhece os fundamentos do RGPD, mas o acompanhamento depende de pedidos informais e não existe uma visão consistente das ações abertas. O objetivo do plano é conseguir aconselhar e acompanhar o programa com informação verificável, mantendo a distinção entre a decisão da organização e a função do EPD.
Nos primeiros dois meses, frequenta formação em gestão de privacidade e analisa um processo existente. Entrega uma proposta de fluxo para comunicar alterações de tratamento, com responsáveis e critérios de escalamento. O resultado é revisto por uma pessoa experiente, que identifica duas lacunas: o processo não inclui novos fornecedores e não prevê a ausência do interlocutor principal.
Nos meses seguintes, aplica as correções e prepara um exercício de incidente com dados fictícios. O exercício liga-se ao procedimento de notificação de violações à CNPD, distinguindo recolha de factos, avaliação e decisão. A avaliação da formação considera a qualidade do raciocínio e a capacidade de explicar dúvidas, não apenas a conclusão do exame.
No fim dos seis meses, apresenta um dossiê de evidências de cumprimento com o estado das ações e as recomendações emitidas. A direção continua responsável pelas decisões que lhe cabem. O plano não transforma o EPD em proprietário de todos os tratamentos nem lhe atribui a aprovação operacional de cada mudança.
Avaliar experiência numa seleção profissional
Numa entrevista, use um caso fictício com informação suficiente e algumas lacunas deliberadas. Por exemplo, um fornecedor pretende receber dados adicionais para melhorar o serviço. Peça ao candidato que identifique perguntas, fontes e possíveis decisões. Um bom resultado distingue o que sabe do que precisa de verificar e explica por que motivo uma conclusão depende de um facto.
Pergunte como comunicaria uma recomendação que o responsável operacional não quer seguir. A independência do EPD e os conflitos de funções são relevantes para essa resposta. Uma certificação não corrige uma posição organizacional em que a pessoa determina as finalidades ou os meios que depois deve acompanhar de forma independente.
Não solicite documentos confidenciais de antigos clientes como prova de experiência. É possível apresentar exemplos expurgados, descrições de método ou exercícios criados para a seleção. A própria forma de apresentar o portefólio revela cuidado com os dados e os compromissos profissionais.
Manter conhecimentos após o certificado
Verifique as condições atuais de manutenção da credencial junto da entidade emissora e planeie os recursos necessários. Separe a manutenção formal do certificado da atualização profissional que o trabalho exige. Uma nova orientação da CNPD ou uma alteração legal relevante pode precisar de atenção imediata, mesmo quando ainda faltam meses para a renovação.
Registe temas estudados, fontes e aplicação prática. Um objetivo anual pode incluir rever o procedimento de transparência e exercício de direitos e acompanhar uma mudança técnica importante. A evidência deve mostrar o que melhorou na capacidade de aconselhar, e não apenas quantos certificados foram acumulados.
A decisão final de formação deve indicar a lacuna, o percurso escolhido, o custo confirmado, o tempo disponível e a forma de verificar aprendizagem. Assim, a certificação ocupa o seu lugar: um elemento de evidência e desenvolvimento profissional, acompanhado de experiência, atualização e condições adequadas para exercer a função.
Fontes consultadas em 8 de setembro de 2026.