Direito português
Prevenção, deteção, investigação ou repressão de infrações penais
2019-08-08
Prevenção, deteção, investigação ou repressão de infrações penais ou execução de sanções penais
Tratamento de dados pessoais
08-08-2019
Lei n.º 59/2019, de 8 de agosto / Assembleia da República. - Aprova as regras relativas ao tratamento de dados pessoais para efeitos de prevenção, deteção, investigação ou repressão de infrações penais ou de execução de sanções penais, transpondo a Diretiva (UE) 2016/680 do Parlamento Europeu e do Conselho, de 27 de abril de 2016. Diário da República. - Série I - n.º 151 (08-08-2019), p. 41 - 68.
CAPÍTULO I
Disposições gerais
Artigo 1.º
Objeto
A presente lei estabelece as regras relativas à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas autoridades competentes para efeitos de prevenção, deteção, investigação ou repressão de infrações penais ou de execução de sanções penais, incluindo a salvaguarda e a prevenção de ameaças à segurança pública, transpondo para a ordem jurídica interna a Diretiva (UE)2016/680do Parlamento Europeu e do Conselho, de 27 de abril de 2016.
Artigo 2.º
Âmbito de aplicação
1 - A preseicada;
k) «Subcontratante», a pessoa singular ou coletiva, a autoridade pública, o serviço ou outro organismo que trata dados pessoais por conta do responsável pelo tratamento;
l) «Destinatário», a pessoa singular ou coletiva, a autoridade pública, o serviço ou outro organismo que recebe comunicações de dados pessoais, independentemente de ser ou não um terceiro, com exceção das autoridades públicas que recebem dados pessoais no âmbito de inquéritos específicos nos termos da lei, as quais, não sendo destinatários, observam as regras de proteção de dados pessoais, em função das finalidades do tratamento;
m) «Violação de dados pessoais», uma violação da segurança que provoque, de modo acidental ou ilícito, a destruição, a perda, a alteração, a divulgação não autorizada de dados pessoais transmitidos, conservados ou tratados de outro modo, ou o acesso não autorizado a esses dados;
n) «Dados genéticos», dados pessoais relativos às características genéticas, hereditárias ou adquiridas, de uma pessoa singular, que forneçam informações únicas sobre a sua fisiologia ou sobre a sua saúde que resultem, designadamente, da análise de uma amostra biológica da pessoa singular em causa;
o) «Dados biométricos», dados pessoais resultantes de um tratamento técnico específico, relativos às características físicas, fisiológicas ou comportamentais de uma pessoa singular, que permitam ou confirmem a sua identificação única, tais como imagens faciais ou dados dactiloscópicos;
p) «Dados relativos à saúde», dados pessoais relativos à saúde física ou mental de uma pessoa singular, incluindo a prestação de serviços de saúde, que revelem informações sobre o seu estado de saúde;
q) «Autoridade de controlo», a Comissão Nacional de Proteção de Dados (CNPD), nos termos do disposto no artigo 43.º;nte lei é aplicável ao tratamento de dados pessoais para os efeitos previstos no artigo anterior, nos termos da lei processual penal e demais legislação aplicável.
2 - A presente lei aplica-se ao tratamento de dados pessoais por meios total ou parcialmente automatizados, bem como ao tratamento de dados pessoais contidos num ficheiro ou a ele destinados por meios não automatizados.
3 - A presente lei não se aplica ao tratamento de dados pessoais relacionados com a segurança nacional.
4 - O intercâmbio de dados pessoais entre autoridades competentes na União Europeia, quando legalmente exigido, não é limitado nem proibido por razões relacionadas com a proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais.
Artigo 3.º
Definições
1 - Para os efeitos do disposto na presente lei, entende-se por:
a) «Estado-Membro», Estado-Membro da União Europeia;
b) «País terceiro», Estado que não integra a União Europeia;
c) «Dados pessoais», informações relativas a uma pessoa singular identificada ou identificável («titular dos dados»);
d) «Tratamento», uma operação ou um conjunto de operações efetuadas sobre dados pessoais ou sobre conjuntos de dados pessoais, por meios automatizados ou não automatizados, tais como a recolha, o registo, a organização, a estruturação, a conservação, a adaptação ou alteração, a recuperação, a consulta, a utilização, a divulgação por transmissão, por difusão ou por qualquer outra forma de disponibilização, a comparação ou interconexão, a limitação, o apagamento ou a destruição;
e) «Limitação do tratamento», a inserção de uma marca nos dados pessoais conservados com o objetivo de limitar o seu tratamento no futuro;
f) «Definição de perfis», qualquer forma de tratamento automatizado de dados pessoais que consista em utilizar esses dados para avaliar certos aspetos pessoais de uma pessoa singular, nomeadamente para analisar ou prever aspetos relacionados com o seu desempenho profissional, a sua situação económica, a sua saúde, as suas preferências pessoais, os seus interesses, a sua fiabilidade, o seu comportamento, a sua localização ou as suas deslocações;
g) «Pseudonimização», o tratamento de dados pessoais para que deixem de poder ser atribuídos a um titular de dados específico sem recurso a informações suplementares, desde que estas sejam mantidas separadamente e sujeitas a medidas técnicas e organizativas para assegurar que os dados pessoais não possam ser atribuídos a uma pessoa singular identificada ou identificável;
h) «Ficheiro», um conjunto estruturado de dados pessoais acessíveis segundo critérios específicos, centralizado, descentralizado ou repartido de modo funcional ou geográfico;
i) «Autoridade competente», uma autoridade pública responsável pela prevenção, investigação, deteção ou repressão de infrações penais ou de execução de sanções penais, incluindo a salvaguarda e a prevenção de ameaças à segurança pública, ou qualquer outro organismo ou entidade que exerça, nos termos da lei, a autoridade pública e os poderes públicos para os referidos efeitos;
j) «Responsável pelo tratamento», a entidade competente que, individualmente ou em conjunto com outras, determina as finalidades e os meios de tratamento dos dados pessoais, ou, no caso em que estes são determinados por lei, a autoridade nela ind
r) «Organização internacional», uma organização internacional e os organismos de direito internacional público por ela tutelados, ou outro organismo criado por um acordo celebrado entre dois ou mais países ou com base num acordo dessa natureza.
2 - Para os efeitos do disposto na alínea c) do número anterior, considera-se identificável uma pessoa singular que possa ser identificada, direta ou indiretamente, em especial por referência a um identificador como o nome, o número de identificação, dados de localização, identificadores em linha ou um ou mais elementos específicos da identidade física, fisiológica, genética, mental, económica, cultural ou social dessa pessoa.
3 - Para os efeitos do disposto na alínea i) do n.º 1, são autoridades competentes as forças e os serviços de segurança, os órgãos de polícia criminal, as autoridades judiciárias e os serviços prisionais e de reinserção social, no âmbito das suas atribuições de prevenção, deteção, investigação ou repressão de infrações penais ou de execução de sanções penais, nos termos previstos nos respetivos estatutos e nas leis de segurança interna, de organização da investigação criminal e do processo penal.
CAPÍTULO III
Direitos do titular dos dados
Artigo 13.º
Comunicações e exercício dos direitos do titular dos dados
1 - O responsável pelo tratamento facilita o exercício dos direitos do titular dos dados nos termos dos artigos 11.º e 15.º a 19.º
2 - O responsável pelo tratamento fornece ao titular dos dados as informações a que se refere o artigo 14.º e efetua as comunicações relativas aos artigos 11.º, 15.º a 19.º e 33.º de uma forma concisa, inteligível e de fácil acesso, utilizando uma linguagem clara e simples, e pelos meios adequados, incluindo meios eletrónicos, e, sempre que possível, com recurso ao meio utilizado no pedido.
3 - O responsável pelo tratamento informa o titular dos dados do seguimento dado ao seu pedido, por escrito, e sem demora injustificada, num prazo não superior a 30 dias, que pode ser renovado por mais 30 dias, em caso de motivo justificado.
4 - A prestação de informações e o exercício dos direitos são gratuitos, sem prejuízo do disposto no número seguinte.
5 - Nos casos em que o pedido do titular dos dados seja manifestamente infundado ou excessivo, designadamente devido ao seu caráter repetitivo, o responsável pelo tratamento, mediante decisão fundamentada, pode:
a) Exigir o pagamento de uma taxa de montante a fixar por portaria do membro do Governo responsável pela área da justiça, tendo em conta os custos administrativos associados; ou
b) Recusar dar seguimento ao pedido.
6 - Se tiver dúvidas razoáveis quanto à identidade da pessoa que apresenta o pedido ao abrigo dos artigos 15.º e 17.º, o responsável pelo tratamento pode solicitar ao requerente que lhe sejam fornecidas as informações adicionais necessárias para confirmar a sua identidade.
Artigo 14.º
Informações a disponibilizar ou a fornecer pelo responsável pelo tratamento
1 - O responsável pelo tratamento disponibiliza publicamente e de forma permanentemente acessível as informações sobre:
a) A identidade e os contactos do responsável pelo tratamento;
b) Os contactos do encarregado da proteção de dados;
c) As finalidades do tratamento a que os dados pessoais se destinam;
d) O direito de apresentar queixa à autoridade de controlo e os contactos dessa autoridade;
e) O direito de solicitar ao responsável pelo tratamento acesso aos dados pessoais que lhe dizem respeito, bem como a sua retificação ou o seu apagamento e a limitação do tratamento.
2 - Para além das informações a que se refere o número anterior, e sem prejuízo do disposto no número seguinte, o responsável pelo tratamento fornece ao titular dos dados as seguintes informações adicionais a fim de lhe permitir exercer os seus direitos:
a) O fundamento jurídico do tratamento;
b) O prazo de conservação dos dados pessoais, os critérios utilizados para o definir ou os procedimentos previstos para revisão periódica da necessidade de conservação;
c) As categorias de destinatários dos dados pessoais, se for o caso, inclusivamente nos países terceiros ou nas organizações internacionais;
d) Se necessário, outras informações adicionais, especialmente se os dados pessoais tiverem sido recolhidos sem o conhecimento do seu titular.
3 - A prestação de informações a que se refere o número anterior pode ser adiada, limitada ou recusada se e enquanto tal for necessário e proporcional para:
a) Evitar prejuízo para investigações, inquéritos ou processos judiciais;
b) Evitar prejuízo para a prevenção, deteção, investigação ou repressão de infrações penais ou para a execução de sanções penais;
c) Proteger a segurança pública;
d) Proteger a segurança nacional; ou
e) Proteger os direitos, liberdades e garantias de terceiros.
Artigo 15.º
Direito de acesso do titular dos dados aos seus dados pessoais
1 - Sem prejuízo do disposto no artigo seguinte, o titular dos dados tem direito a obter do responsável pelo tratamento, com periodicidade razoável, informação sobre se os dados pessoais que lhe dizem respeito estão ou não a ser objeto de tratamento.
2 - Em caso afirmativo, o titular dos dados tem o direito de aceder aos seus dados pessoais e às informações sobre:
a) As finalidades e o fundamento jurídico do tratamento;
b) As categorias dos dados pessoais em causa;
c) Os destinatários ou as categorias de destinatários aos quais os dados pessoais foram transmitidos, especialmente se se tratar de destinatários de países terceiros ou de organizações internacionais;
d) Sempre que possível, o prazo previsto de conservação dos dados pessoais ou, se não for possível, os critérios utilizados para fixar esse prazo;
e) O direito de solicitar ao responsável pelo tratamento a retificação ou o apagamento dos dados pessoais ou a limitação do tratamento dos dados pessoais que lhe dizem respeito;
f) O direito de apresentar queixa à autoridade de controlo e de obter os contactos dessa autoridade;
g) A comunicação dos dados pessoais sujeitos a tratamento, bem como as informações disponíveis sobre a origem dos mesmos.
Artigo 16.º
Limitações do direito de acesso
1 - O responsável pelo tratamento pode recusar ou restringir o direito de acesso do titular dos dados enquanto tal limitação constituir uma medida necessária e proporcional para:
a) Evitar prejuízo para investigações, inquéritos ou processos judiciais;
b) Evitar prejuízo para a prevenção, deteção, investigação ou repressão de infrações penais ou para a execução de sanções penais;
c) Proteger a segurança pública;
d) Proteger a segurança nacional; ou
e) Proteger os direitos, liberdades e garantias de terceiros.
2 - Nos casos previstos no número anterior, o responsável pelo tratamento informa o titular dos dados, por escrito e sem demora injustificada, dos motivos da recusa ou da limitação do acesso.
3 - A informação a que se refere o número anterior pode ser omitida apenas na medida em que a sua prestação possa prejudicar uma das finalidades enunciadas no n.º 1.
4 - Nos casos previstos no número anterior, o responsável pelo tratamento informa o titular dos dados do direito que lhe assiste de apresentar um pedido de verificação à autoridade de controlo nos termos do artigo 18.º, ou de intentar a competente ação judicial.
5 - O responsável pelo tratamento disponibiliza à autoridade de controlo informação sobre os motivos de facto e de direito que fundamentam a decisão de recusa ou de limitação do direito de acesso, bem como da omissão de informação ao titular dos dados.
Artigo 17.º
Direito de retificação ou apagamento dos dados pessoais e de limitação do tratamento
1 - O titular dos dados tem o direito de obter do responsável pelo tratamento, sem demora injustificada, a retificação dos dados pessoais inexatos que lhe digam respeito, bem como o direito a que os seus dados pessoais incompletos sejam completados, nomeadamente por meio de declaração adicional.
2 - O titular dos dados tem o direito de obter do responsável pelo tratamento, sem demora injustificada, o apagamento dos dados pessoais que lhe digam respeito nos casos em que o tratamento não respeite o disposto nos artigos 4.º a 7.º ou nos casos em que o apagamento seja exigido para dar cumprimento a uma obrigação legal a que o responsável pelo tratamento esteja sujeito.
3 - Em vez de proceder ao apagamento, o responsável pelo tratamento limita o tratamento, no caso de:
a) O titular dos dados contestar a exatidão dos dados pessoais e a sua exatidão ou inexatidão não puder ser apurada;
b) Os dados pessoais deverem ser conservados para efeitos de prova.
4 - Nos casos previstos na alínea a) do número anterior, o responsável pelo tratamento informa o titular dos dados antes de pôr termo à limitação do tratamento.
5 - A limitação do tratamento implica que os dados só possam ser tratados para as finalidades que impediram o seu apagamento, devendo o responsável pelo tratamento adotar as medidas técnicas e organizativas adequadas para assegurar que a limitação é respeitada.
6 - O titular dos dados é informado, por escrito, da decisão de recusa do pedido de retificação ou de apagamento ou da limitação do tratamento e dos respetivos fundamentos.
7 - A informação a que se refere o número anterior pode ser omitida ou limitada pelo responsável pelo tratamento na medida em que tal omissão ou limitação constitua uma medida necessária e proporcional para:
a) Evitar prejuízo para investigações, inquéritos, ou processos judiciais;
b) Evitar prejuízo para a prevenção, deteção, investigação ou repressão de infrações penais ou a execução de sanções penais;
c) Proteger a segurança pública;
d) Proteger a segurança nacional; ou
e) Proteger os direitos e as liberdades de terceiros.
8 - Nos casos previstos no número anterior, o responsável pelo tratamento informa o titular dos dados do direito de apresentar um pedido de verificação à autoridade de controlo nos termos do artigo 18.º, ou de intentar a competente ação judicial.
9 - A retificação dos dados pessoais é comunicada à autoridade competente de origem dos dados inexatos.
10 - Em caso de transmissão de dados, o responsável pelo tratamento informa os destinatários da retificação ou do apagamento ou da limitação do tratamento, devendo estes retificar ou apagar os dados ou limitar o tratamento em conformidade com essa informação.
Artigo 18.º
Exercício dos direitos do titular dos dados e verificação pela autoridade de controlo
1 - Em caso de recusa de informação, acesso, retificação, apagamento ou limitação de tratamento com fundamento no disposto no n.º 3 do artigo 14.º, no n.º 1 do artigo 16.º ou no n.º 7 do artigo anterior, o titular dos dados pode solicitar à autoridade de controlo que verifique a licitude do tratamento.
2 - O responsável pelo tratamento informa o titular dos dados do direito que lhe assiste nos termos do número anterior.
3 - Nos casos referidos no n.º 1, a autoridade de controlo informa o titular dos dados de que procedeu a todas as verificações necessárias ou a um reexame do tratamento e do direito que lhe assiste de intentar a competente ação judicial.
Artigo 19.º
Direitos do titular dos dados em casos especiais
Os direitos de informação, de acesso, de retificação, de apagamento e de limitação do tratamento de dados pessoais constantes de um processo penal, de uma decisão judicial ou do registo criminal são exercidos nos termos da lei processual penal e da demais legislação aplicável.