Informação Jurídica

Regulamento Geral da Proteção de Dados (RGPD)

04-05-2016

(1) Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados) (Texto relevante para efeitos do EEE). JO L 119 de 4.5.2016, p. 1-88. Última versão consolidada (04-05-2016): 02016R0679 — PT — 04.05.2016 — 000.003 — 1/78.

(2) Regulamento (UE) 2018/1725 do Parlamento Europeu e do Conselho, de 23 de outubro de 2018, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas instituições e pelos órgãos e organismos da União e à livre circulação desses dados, e que revoga o Regulamento (CE) n.º 45/2001 e a Decisão n.º 1247/2002/CE (Texto relevante para efeitos do EEE) [PE/31/2018/REV/1]. JO L 295 de 21.11.2018, p. 39-98.

(3) Regulamento (UE) 2025/2518 do Parlamento Europeu e do Conselho, de 26 de novembro de 2025, que prevê normas processuais adicionais relativas à aplicação do Regulamento (UE) 2016/679, (Texto relevante para efeitos do EEE) [PE/31/2025/REV/1]. JO L, 2025/2518, 12.12.2025, pp.1-27.

Regulamento Geral sobre a Proteção de Dados (RGPD)

(1.1) Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados) (Texto relevante para efeitos do EEE). JO L 119 de 4.5.2016, p. 1-88. Última versão consolidada (04-05-2016): 02016R0679 — PT — 04.05.2016 — 000.003 — 1/78.

(1.2) Retificação do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados) (JO L 119 de 4.5.2016). JO L 127 de 23.5.2018, p. 2-5.

(1.3) Retificação do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados) («Jornal Oficial da União Europeia» L 119 de 4 de maio de 2016). JO L 74 de 4.3.2021, p. 35.

1. Na página 34, artigo 4.º, ponto 11: em vez de: «11) “Consentimento” do titular dos dados, uma manifestação de vontade, livre, específica, informada e explícita, …», deve ler-se: «11) “Consentimento” do titular dos dados, uma manifestação de vontade, livre, específica, informada e inequívoca, …».

2. Na página 72, artigo 61.º, n.º 4, alínea b): em vez de: «b) Dar seguimento ao viole o presente regulamento ou o direito da União ou do Estado-Membro …», deve ler-se: «b) Dar seguimento ao pedido viole o presente regulamento ou o direito da União ou do Estado-Membro …».

(2) Diretiva 95/46/CE do Parlamento Europeu e do Conselho, de 24 de outubro de 1995, relativa à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados. JO L 281 de 23.11.1995, p. 31-50. Data do termo de validade: 24/05/2018; revogado por 32016R0679. Última versão consolidada: 20/11/2003

(3) Decisão 2001/497/CE da Comissão, de 15 de junho de 2001, relativa às cláusulas contratuais-tipo aplicáveis à transferência de dados pessoais para países terceiros, nos termos da Diretiva 95/46/CE (JO L 181 de 4.7.2001, p. 19). Revogada pela Decisão de Execução (UE) 2021/914 da Comissão, de 4 de junho, com efeitos a partir de 27 de setembro de 2021 (Artigo 4.º).

(4) Diretiva 2002/58/CE do Parlamento Europeu e do Conselho, de 12 de julho de 2002, relativa ao tratamento de dados pessoais e à proteção da privacidade no setor das comunicações eletrónicas (Diretiva relativa à privacidade e às comunicações eletrónicas). JO L 201 de 31.7.2002, p. 37-47. Última versão consolidada (19-12-2009): 02002L0058 — PT — 19.12.2009 — 002.007 — 1/15.

(5) Decisão 2010/87/UE da Comissão, de 5 de fevereiro de 2010, relativa a cláusulas contratuais-tipo aplicáveis à transferência de dados pessoais para subcontratantes estabelecidos em países terceiros nos termos da Diretiva 95/46/CE do Parlamento Europeu e do Conselho (JO L 39 de 12.2.2010, p. 5). Revogada pela Decisão de Execução (UE) 2021/914 da Comissão, de 4 de junho, com efeitos a partir de 27 de setembro de 2021 (Artigo 4.º).

(6) Carta dos Direitos Fundamentais da União Europeia (2016/C 202/02). JO C 202 de 7.6.2016, p. 389-405: Artigo 7.º (Respeito pela vida privada e familiar);  Artigo 8.^{o (}Proteção de dados pessoais) e Artigo 47.º (Direito à ação e a um tribunal imparcial) [Artigo 58º, n.º 5 do RGPD].

(7) Acordo administrativo relativo à transferência de dados pessoais entre cada uma das autoridades do Espaço Económico Europeu («EEE») constantes do apêndice A e cada uma das autoridades de países não pertencentes ao EEE enumeradas no apêndice B:Administrative arrangement forthe transfer of personal databetween Each of the European Economic Area (“EEA”) Authorities set out in Appendix A and Each of the non-EEA Authorities set out in Appendix B.

(8) Parecer 4/2019 sobre o projeto de acordo administrativo relativo à transferência de dados pessoais entre as autoridades de supervisão financeira do Espaço Económico Europeu («EEE») e as autoridades de supervisão financeira de países não pertencentes ao EEE:Opinion 4/2019 EDPB, 12 February 2019, on the draft AA between EEA and non-EEA Financial Supervisory Authorities.

(9) The General Data Protection Regulation – one year on: Paper, June 2019, 28 p. The General Data Protection Regulation (GDPR) has applied across the European Union (EU) since 25 May 2018. One year on, this paper looks at how the new regulation has affected the daily work of civil society organisations (CSOs). FRA: Publications & resources.

(10) Regulamento Geral sobre a Proteção de Dados produz resultados, mas o trabalho deve prosseguir. Pouco mais de um ano após a entrada em vigor do Regulamento Geral sobre a Proteção de Dados (RGPD), a Comissão Europeia publicou hoje umrelatório que analisa o impacto das regras da UE em matéria de proteção de dadose a forma como a sua aplicação pode ser melhorada. Comunicado de imprensa, Bruxelas, 24 de julho de 2019 -IP/19/4449.

(11)Lei n.º 58/2019, de 8 de agosto / Assembleia da República. - Assegura a execução, na ordem jurídica nacional, do Regulamento (UE) 2016/679 do Parlamento e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados.Diário da República. - Série I - n.º 151 (08-08-2019), p. 3 - 40. 

(12) «Perguntas frequentes (FAQs) sobre a aplicação do RGPD. - A CNPD atualizou asperguntas mais frequentesdas organizações (FAQs), atendendo à nova legislação de proteção de dados. A CNPD disponibiliza aqui respostas a um conjunto de perguntas mais frequentes que nos têm chegado nos últimos dias. Iremos atualizar esta secção, alargando os temas tratados e acrescentando mais questões: Nova legislação de proteção de dados - Consentimento - Direitos dos titulares - Encarregado de Proteção de Dados (EPD/DPO) - Videovigilância - Violações de dados pessoais. CNPD - Comissão Nacional de Proteção de Dados».

(13) RGPD: dispensa de aplicação de coimas às entidades públicas -«A CNPD aprovou, na sua última reunião plenária, umadeliberação interpretativa[n.º 2019-495, de 03-09] sobre a dispensa de aplicação de coimas às entidades públicas, prevista no n.º 2 do artigo 44.º e no artigo 59.º da Lei 58/2019, de 8 de agosto, na sequência de vários pedidos feitos nesse sentido. A CNPD considera que só é possível requerer essa dispensa fundamentada após acusação da prática de um ilícito contraordenacional. A decisão da CNPD terá em conta o caso concreto, ponderados todos os interesses e direitos aí em presença. (9.9.2019). CNPD». 

(14) «CNPD decide desaplicar algumas normas da Lei nacional de execução do RGPD: - A CNPD deliberou que desaplicará algumas normas da Lei n.º 58/2019, de 8 de agosto, por estas contradizerem manifestamente o estatuído no RGPD, o que viola o princípio do primado da União, bem como prejudica seriamente o funcionamento do mecanismo de coerência que tem como objetivo uma aplicação uniforme das regras de proteção de dados em todo o espaço da UE. A decisão da CNPD fundamenta-se na Constituição Portuguesa e na jurisprudência do Tribunal de Justiça da UE: 

Deliberação 2019/494 da CNPD, aprovada na reunião de 03-09-2019 [PDF, 22 p.]: «CONCLUSÃO. - Com os fundamentos acima expostos, de forma a assegurar o primado do direito da União Europeia e a plena efetividade do RGPD, a CNPD delibera desaplicar, nas situações de tratamento de dados pessoais que venha a apreciar, as seguintes normas da Lei n.º 58/2019, de 8 de agosto:

i. Artigo 2.º, n.ºs 1 e 2
ii. Artigo 20.º, n.º 1
iii. Artigo 23.º
iv. Artigo 28.º, n.º 3, alínea a)
v. Artigo 37.º, n.º 1, alíneas a), h) e k), e n.º 2
vi. Artigo 38.º, n.º 1, alínea b), e n.º 2
vii. Artigo 39.º, n.ºs 1 e 3
viii. Artigo 61.º, n.º 2
ix. Artigo 62.º, n.º 2.

[Nota 20 - Para um desenvolvimento das consequências práticas da desaplicação por entidades administrativas de normas nacionais por violação do direito da União Europeia, pode ver-se Patrícia Fragoso Martins, Administrações Públicas Nacionais e Direito da União Europeia – Questões e Jurisprudência Essenciais, Lisboa, Universidade Católica Editora, 2018, em especial, pp. 84-85]. 

Consulte aqui o comunicado de imprensa: CNPD delibera desaplicar algumas normas da [Lei n.º 58/2019, de 8 de agosto] por violação do direito da União (23.9.2019). CNPD».

(15) Comunicação da Comissão ao Parlamento Europeu, ao Conselho, ao Comité Económico e Social Europeu e ao Comité das Regiões: Construir o futuro digital da Europa - COM(2020) 67 final, Bruxelas, 19.2.2020, 17 p.

(16) «Relatório da Comissão: normas de proteção de dados da UE capacitam cidadãos e são adequadas à era digital. Bruxelas, 24 de junho de 2020. Hoje, pouco mais de dois anos após a sua entrada em vigor, a Comissão Europeia publicou um relatório de avaliação do Regulamento Geral sobre a Proteção de Dados (RGPD). O relatório revela que o RGPD cumpriu a maior parte dos seus objetivos, em especial proporcionando aos cidadãos um conjunto sólido de direitos oponíveis e criando um novo sistema europeu de governação e de aplicação. O RGPD demonstrou ser suficientemente flexível para apoiar a adoção de soluções digitais em situações imprevistas, como a crise da COVID-19. O relatório conclui igualmente que está a aumentar a harmonização em todos os Estados-Membros, embora exista um certo nível de fragmentação que deve ser monitorizado de forma contínua. Além disso, conclui que as empresas estão a desenvolver uma cultura de cumprimento e recorrem cada vez mais à sólida proteção de dados enquanto vantagem concorrencial. O relatório contém uma lista de ações destinadas a facilitar ainda mais a aplicação do RGPD por parte de todas as partes interessadas, em especial as pequenas e médias empresas, bem como a promover e desenvolver uma cultura de proteção de dados verdadeiramente europeia e a sua aplicação rigorosa. Relatório sobre a aplicação do RGPD. Comissão Europeia - Comunicado de imprensa | IP/20/1163».

(18) Proposta de Regulamento do Parlamento Europeu e do Conselho relativo à disputabilidade e equidade dos mercados no setor digital (Regulamento Mercados Digitais) (Texto relevante para efeitos do EEE) {SEC(2020) 437 final} - {SWD(2020) 363 final} - {SWD(2020) 364 final} - COM(2020) 842 final, Bruxelas, 15.12.2020 - 2020/0374 (COD), 88 p.

(18.1) Commission Staff Working Document Impact Assessment: Report Accompanying the document Proposal for a regulation of the European Parliament and of the Council on contestable and fair markets in the digital sector (Digital Markets Act) {COM(2020) 842 final} - {SEC(2020) 437 final} - {SWD(2020) 364 final} - SWD(2020) 363 final - Part 1, Brussels, 15.12.2020, 128 p.

(18.2) Commission Staff Working Document Impact Assessment: ANNEXES Accompanying the document Proposal for a regulation of the European Parliament and of the Council on contestable and fair markets in the digital sector (Digital Markets Act) {COM(2020) 842 final} - {SEC(2020) 437 final} - {SWD(2020) 364 final} - SWD(2020) 363 final - Part 2, Brussels, 15.12.2020, 128 p.

(19) «EDPB-EDPS Joint Opinion 1/2021 on the European Commission’s Implementing Decision on standard contractual clauses between controllers and processors for the matters referred to in Article 28 (7) of Regulation (EU) 2016/679 and Article 29 (7) of Regulation (EU) 2018/1725», 11 p. [Parecer conjunto 1/2021 do CEPD e da AEPD sobre a Decisão de Execução da Comissão Europeia relativa às cláusulas contratuais-tipo entre os responsáveis pelo tratamento de dados pessoais e os subcontratantes para as matérias referidas no artigo 28.º, n.º 7, do Regulamento (UE) 2016/679 e no artigo 29.º, n.º 7, do Regulamento (UE) 2018/1725]. Comité Europeu para a Proteção de Dados (CEPD) | 14-01-2021.

(20) «EDPB-EDPS Joint Opinion 2/2021 on the European Commission’s Implementing Decision on standard contractual clauses for the transfer of personal data to third countries for the matters referred to in Article 46(2)(c) of Regulation (EU) 2016/679», 27 p. [Parecer conjunto 2/2021 do CEPD e da AEPD sobre a Decisão de Execução da Comissão Europeia relativa às cláusulas contratuais-tipo aplicáveis à transferência de dados pessoais para países terceiros para as matérias referidas no artigo 46.º, n.º 2, alínea c), do Regulamento (UE) 2016/679]. Comité Europeu para a Proteção de Dados (CEPD) | 14-01-2021.

(21) REGULATORY SCRUTINY BOARD OPINION: Proposal for a Regulation of the European Parliament and of the Council on contestable and fair markets in the digital sector (Digital Markets Act) {COM(2020) 842} {SWD(2020) 363} {SWD(2020) 364} - SEC(2020) 437/2, 19.1.2021, 16 p.

(22) Síntese do Parecer da Autoridade Europeia para a Proteção de Dados, de 10 de fevereiro de 2021, sobre a proposta de Regulamento Mercados Digitais (O texto integral sobre este Parecer poderá ser consultado nas versões alemão, francês e inglês no sítio Web da AEPD em: www.edps.europa.eu) (2021/C 147/04). JO C 147 de 26.4.2021, p. 4-6.

(23) Opinion 2/2021 on the Proposal for a Digital Markets Act, EDPS, 10 February 2021, 18 p. EDPS Opinions on the Digital Services Act and the Digital Markets Act. 

(24) Decisão de Execução (UE) 2021/914 da Comissão, de 4 de junho de 2021, relativa às cláusulas contratuais-tipo aplicáveis à transferência de dados pessoais para países terceiros nos termos do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho (Texto relevante para efeitos do EEE) [C/2021/3972]. JO L 199 de 7.6.2021, p. 31-61.

(25) Decisão de Execução (UE) 2021/915 da Comissão, de 4 de junho de 2021, relativa às cláusulas contratuais-tipo entre os responsáveis pelo tratamento de dados pessoais e os subcontratantes nos termos do artigo 28.º, n.º 7, do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho e do artigo 29.º, n.º 7, do Regulamento (UE) 2018/1725 do Parlamento Europeu e do Conselho (Texto relevante para efeitos do EEE) [C/2021/3701]. JO L 199 de 7.6.2021, p. 18-30.

(26.1) Acórdão do Tribunal de Justiça (Grande Secção), de 15 de junho de 2021 «Reenvio prejudicial — Proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais — Carta dos Direitos Fundamentais da União Europeia — Artigos 7.º, 8.º e 47.º — Regulamento (UE) 2016/679 — Tratamento transfronteiriço de dados pessoais — Mecanismo de “balcão único” — Cooperação leal e eficaz entre as autoridades de controlo — Competências e poderes — Poder para intentar uma ação ou de outro modo intervir em processos judiciais». No processo C‑645/19, que tem por objeto um pedido de decisão prejudicial apresentado, nos termos do artigo 267.º TFUE, pelo hof van beroep te Brussel (Tribunal de Recurso de Bruxelas, Bélgica), por Decisão de 8 de maio de 2019, que deu entrada no Tribunal de Justiça em 30 de agosto de 2019, no processo Facebook Ireland Ltd, Facebook Inc., Facebook Belgium BVBA contra Gegevensbeschermingsautoriteit. InfoCuria Jurisprudência | ECLI:EU:C:2021:483 | Edição provisória

(26.2) Comunicado de Imprensa n.º 103/21, Luxemburgo, 15 de junho de 2021: Acórdão no processo C-645/19 Facebook Ireland e o. [PDF – 66 KB, 4 p. ] Regulamento Geral sobre a Proteção de Dados (RGPD): o Tribunal de Justiça precisa as condições de exercício dos poderes das autoridades nacionais de controlo para efetuarem o tratamento transfronteiriço de dados. Em certas condições, uma autoridade nacional de controlo pode exercer o seu poder de intentar uma ação relativa a pretensas violações do RGPD nos órgãos jurisdicionais de um Estado-Membro, ainda que não seja a autoridade de controlo principal responsável por esse tratamento.

(27) Regulamento Delegado (UE) 2021/1783 da Comissão, de 2 de julho de 2021, que completa o Regulamento (UE) n.º 596/2014 do Parlamento Europeu e do Conselho no que respeita às normas técnicas de regulamentação que incluam um modelo para os acordos de cooperação com países terceiros (Texto relevante para efeitos do EEE) [C/2021/4786]. JO L 359 de 11.10.2021, p. 1-5.

(28.1) Decisão de Execução (UE) 2021/1772 da Comissão, de 28 de junho de 2021, nos termos do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho sobre a adequação do nível de proteção dos dados pessoais assegurado pelo Reino Unido [notificada com o número C(2021) 4800] (Texto relevante para efeitos do EEE) [C/2021/4800]. JO L 360 de 11.10.2021, p. 1-68.

28-01-2026

Transferência de dados pessoais para países terceiros: Brasil

Autoridade Nacional de Proteção de Dados (ANPD) / Brasil 
Comité Europeu para a Proteção de Dados (CEPD)
Global Privacy Assembly (GPA): https://globalprivacyassembly.com
Lei Geral de Proteção de Dados Pessoais (LGPD) / Brasil
Responsáveis pelo tratamento e subcontratantes na União

Referências
LGPD/2018: Lei n.º 13.709, de 14-08-2018 / Brasil
Regulamento (UE) 2016/679: Capítulo V - Transferências internacionais de dados (artigos 44.º a 50.º) 

(1) Decisão de Execução (UE) 2026/179 da Comissão, de 26 de janeiro de 2026, nos termos do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho sobre a adequação do nível de proteção dos dados pessoais assegurado pelo Brasil [notificada com o número C(2026) 373] (Texto relevante para efeitos do EEE) [C/2026/373]. JO L, 2026/179, 28.1.2026, pp. 1-49.

Considerandos (1) a (245),

(3) Acórdão do Tribunal de Justiça de 6 de outubro de 2015, Schrems («Acórdão Schrems I»), C-362/14, ECLI:EU:C:2015:650, n.º 73.

(4) Referencial de adequação do Comité Europeu para a Proteção de Dados, WP 254 rev. 01. Disponível em:https://ec.europa.eu/newsroom/article29/item-detail.cfm?item_id=614108.

(5) Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados) (Texto relevante para efeitos do EEE). JO L 119 de 4.5.2016, p. 1-88. Última versão consolidada (04-05-2016): 02016R0679 — PT — 04.05.2016 — 000.003 — 1/78.

► APLICAÇÃO do artigo 45.º (Transferências com base numa decisão de adequação) do Regulamento (UE) 2016/679, de 27-04-2016, pela Decisão de Execução (UE) 2026/179, de 26-01-2026.

Artigo 45.º

Transferências com base numa decisão de adequação

1. Pode ser realizada uma transferência de dados pessoais para um país terceiro ou uma organização internacional se a Comissão tiver decidido que o país terceiro, um território ou um ou mais setores específicos desse país terceiro, ou a organização internacional em causa, assegura um nível de proteção adequado. Esta transferência não exige autorização específica.

2. Ao avaliar a adequação do nível de proteção, a Comissão tem nomeadamente em conta os seguintes elementos:

a) O primado do Estado de direito, o respeito pelos direitos humanos e liberdades fundamentais, a legislação pertinente em vigor, tanto a geral como a setorial, nomeadamente em matéria de segurança pública, defesa, segurança nacional e direito penal, e respeitante ao acesso das autoridades públicas a dados pessoais, bem como a aplicação dessa legislação e das regras de proteção de dados, das regras profissionais e das medidas de segurança, incluindo as regras para a transferência ulterior de dados pessoais para outro país terceiro ou organização internacional, que são cumpridas nesse país ou por essa organização internacional, e a jurisprudência, bem como os direitos dos titulares dos dados efetivos e oponíveis, e vias de recurso administrativo e judicial para os titulares de dados cujos dados pessoais sejam objeto de transferência;

b) A existência e o efetivo funcionamento de uma ou mais autoridades de controlo independentes no país terceiro ou às quais esteja sujeita uma organização internacional, responsáveis por assegurar e impor o cumprimento das regras de proteção de dados, e dotadas de poderes coercitivos adequados para assistir e aconselhar os titulares dos dados no exercício dos seus direitos, e cooperar com as autoridades de controlo dos Estados-Membros; e

c) Os compromissos internacionais assumidos pelo país terceiro ou pela organização internacional em causa, ou outras obrigações decorrentes de convenções ou instrumentos juridicamente vinculativos, bem como da sua participação em sistemas multilaterais ou regionais, em especial em relação à proteção de dados pessoais.

3. Após avaliar a adequação do nível de proteção, a Comissão pode decidir, através de um ato de execução, que um país terceiro, um território ou um ou mais setores específicos de um país terceiro, ou uma organização internacional, garante um nível de proteção adequado na aceção do n.º 2 do presente artigo. O ato de execução prevê um procedimento de avaliação periódica, no mínimo de quatro em quatro anos, que deverá ter em conta todos os desenvolvimentos pertinentes no país terceiro ou na organização internacional. O ato de execução especifica o âmbito de aplicação territorial e setorial e, se for caso disso, identifica a autoridade ou autoridades de controlo a que se refere o n.º 2, alínea b), do presente artigo. O referido ato de execução é adotado pelo procedimento de exame a que se refere o artigo 93.º, n.º 2.

4. A Comissão controla, de forma continuada, os desenvolvimentos nos países terceiros e nas organizações internacionais que possam afetar o funcionamento das decisões adotadas nos termos do n.º 3 do presente artigo e das decisões adotadas com base no artigo 25.º, n.º 6, da Diretiva 95/46/CE.

5. A Comissão, sempre que a informação disponível revelar, nomeadamente na sequência da revisão a que se refere o n.º 3 do presente artigo, que um país terceiro, um território ou um ou mais setores específicos de um país terceiro, ou uma organização internacional, deixou de assegurar um nível de proteção adequado na aceção do n.º 2 do presente artigo, na medida do necessário, revoga, altera ou suspende a decisão referida no n.º 3 do presente artigo, através de atos de execução, sem efeitos retroativos. Os referidos atos de execução são adotados pelo procedimento de exame a que se refere o artigo 93.º, n.º 2.
Por imperativos de urgência devidamente justificados, a Comissão adota atos de execução imediatamente aplicáveis pelo procedimento a que se refere o artigo 93.º, n.º 3.

6. A Comissão inicia consultas com o país terceiro ou a organização internacional com vista a corrigir a situação que tiver dado origem à decisão tomada nos termos do n.º 5.

7. As decisões tomadas ao abrigo do n.º 5 do presente artigo não prejudicam as transferências de dados pessoais para o país terceiro, um território ou um ou mais setores específicos desse país terceiro, ou para a organização internacional em causa, nos termos dos artigos 46.º a 49.º.

8. A Comissão publica no Jornal Oficial da União Europeia e no seu sítio web uma lista dos países terceiros, territórios e setores específicos de um país terceiro e de organizações internacionais relativamente aos quais tenha declarado, mediante decisão, se asseguram ou não um nível de proteção adequado.

9. As decisões adotadas pela Comissão com base no artigo 25.º, n.º 6, da Diretiva 95/46/CE permanecem em vigor até que sejam alteradas, substituídas ou revogadas por uma decisão da Comissão adotada em conformidade com o n.º 3 ou o n.º 5 do presente artigo.

(6) Lei n.º 13.709, de 14 de agosto de 2018, Lei Geral de Proteção de Dados Pessoais (LGPD). Disponível em:http://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/L13709compilado.htme em inglês, em:https://www.gov.br/anpd/pt-br/centrais-de-conteudo/outros-documentos-e-publicacoes-institucionais/lgpd-en-lei-no-13-709-capa.pdf. / Brasil

(7) Lei n.º 13.853, de 8 de julho de 2019, que altera a LGPD para, entre outros, criar a Autoridade Nacional de Proteção de Dados (ANPD). Disponível em:http://www.planalto.gov.br/ccivil_03/_Ato2019-2022/2019/Lei/L13853.htm#art2. / Brasil

(8) Acórdão do Tribunal de Justiça de 16 de julho de 2020, Facebook Ireland e Schrems («Acórdão Schrems II»), C-311/18, ECLI:EU:C:2020:559.

(9) Conselho da Europa, Observadores do Comité da Convenção 108. Disponível em:https://rm.coe.int/list-of-observers-december-2022-bilingual-2781-7012-1734-1/1680a962eb.

(10) ANPD, Regulamento de Transferência Internacional de Dados Pessoais, agosto de 2024. Disponível em português em: https://www.in.gov.br/en/web/dou/-/resolucao-cd/anpd-n-19-de-23-de-agosto-de-2024-580095396 e em inglês em: https://www.gov.br/anpd/pt-br/centrais-de-conteudo/outros-documentos-e-publicacoes-institucionais/regulation-on-international-transfer-of-personal-data.pdf.

(11) Comité Europeu para a Proteção de Dados, opinion on an adequacy decision concerning Brazil [não traduzida para português], novembro de 2025. Disponível em: https://www.edpb.europa.eu/our-work-tools/our-documents/opinion-art-70/opinion-282025-regarding-european-commission-draft_en.

12-12-2025

Regulamento Geral sobre a Proteção de Dados (RGPD)

Normas processuais adicionais relativas à aplicação do Regulamento (UE) 2016/679

(1) Regulamento (UE) 2025/2518 do Parlamento Europeu e do Conselho, de 26 de novembro de 2025, que prevê normas processuais adicionais relativas à aplicação do Regulamento (UE) 2016/679, (Texto relevante para efeitos do EEE) [PE/31/2025/REV/1]. JO L, 2025/2518, 12.12.2025, pp.1-27.

Considerandos (1) a (68),

04-05-2016

Prevenção, investigação, deteção ou repressão de infrações penais ou execução de sanções penais: tratamento de dados pessoais

(1) Diretiva (UE) 2016/680 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativa à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas autoridades competentes para efeitos de prevenção, investigação, deteção ou repressão de infrações penais ou execução de sanções penais, e à livre circulação desses dados, e que revoga a Decisão-Quadro 2008/977/JAI do Conselho. JO L 119 de 4.5.2016, p. 89-131. Versão consolidada atual: 04/05/2016

(2) Decisão de Execução (UE) 2021/1773 da Comissão, de 28 de junho de 2021, nos termos da Diretiva (UE) 2016/680 do Parlamento Europeu e do Conselho sobre a adequação do nível de proteção dos dados pessoais assegurado pelo Reino Unido [notificada com o número C(2021) 4801][C/2021/4801]. JO L 360 de 11.10.2021, p. 69-107.

x

04-05-2016

Registos de identificação dos passageiros (PNR)

Diretiva (UE) 2016/681 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativa à utilização dos dados dos registos de identificação dos passageiros (PNR) para efeitos de prevenção, deteção, investigação e repressão das infrações terroristas e da criminalidade grave. JO L 119 de 4.5.2016, p. 132-149.

05-02-2024

Metadados referentes a comunicações eletrónicas para fins de investigação criminal

(1) Lei n.º 18/2024, de 5 de fevereiro / ASSEMBLEIA DA REPÚBLICA. - Regula o acesso a metadados referentes a comunicações eletrónicas para fins de investigação criminal, procedendo à alteração da Lei n.º 32/2008, de 17 de julho, que transpõe para a ordem jurídica interna a Diretiva 2006/24/CE, do Parlamento Europeu e do Conselho, de 15 de março, relativa à conservação de dados gerados ou tratados no contexto da oferta de serviços de comunicações eletrónicas publicamente disponíveis ou de redes públicas de comunicações, conformando-a com os Acórdãos do Tribunal Constitucional n.ºs 268/2022 e 800/2023, e da Lei da Organização do Sistema Judiciário. Diário da República. - Série I - n.º 25 (05-02-2024), p. 9 - 22.

(2)Diretiva 2002/58/CE do Parlamento Europeu e do Conselho, de 12 de julho de 2002, relativa ao tratamento de dados pessoais e à proteção da privacidade no setor das comunicações eletrónicas (Diretiva relativa à privacidade e às comunicações eletrónicas). JO L 201 de 31.7.2002, p. 37-47. Última versão consolidada (19-12-2009): 02002L0058 — PT — 19.12.2009 — 002.007 — 1/15.

(3) Lei n.º 41/2004, de 18 de agosto / Assembleia da República. - Transpõe para a ordem jurídica nacional a Directiva n.º 2002/58/CE, do Parlamento Europeu e do Conselho, de 12 de Julho, relativa ao tratamento de dados pessoais e à proteção da privacidade no sector das comunicações eletrónicas. Diário da República. - Série I-A - n.º 194 (18-08-2004), p. 5241 - 5245. Versão Consolidada + Índice

(4) Diretiva 2006/24/CEdo Parlamento Europeu e do Conselho, de 15 de Março de 2006 , relativa à conservação de dados gerados ou tratados no contexto da oferta de serviços de comunicações eletrónicas publicamente disponíveis ou de redes públicas de comunicações, e que altera a Diretiva 2002/58/CE. JO L 105 de 13.4.2006, p. 54-63. REVOGADA. Data do termo de validade: 03/05/2006.

(5) Lei n.º 32/2008, de 17 de julho / Assembleia da República. - Transpõe para a ordem jurídica interna a Directiva n.º 2006/24/CE, do Parlamento Europeu e do Conselho, de 15 de março, relativa à conservação de dados gerados ou tratados no contexto da oferta de serviços de comunicações eletrónicas publicamente disponíveis ou de redes públicas de comunicações. Diário da República. - Série I - n.º 25 (17-07-2008), p. 4454 - 4458. Versão Consolidada+ Índice

►REPUBLICAÇÃO da Lei n.º 32/2008, de 17 de julho, pela Lei n.º 18/2024, de 5 de fevereiro.

(6) Lei n.º 62/2013, de 26 de agosto / Assembleia da República. - Lei da Organização do Sistema Judiciário. Diário da República. - Série I - n.º 163 (26-08-2013), p. 5114 - 5145. Versão Consolidada+ Índice

►ALTERAÇÃO do n.º 4 do artigos 47.º (Organização) e do n.º 4 do artigo 54.º (Especialização das secções) da Lei n.º 62/2013, de 26 de agosto, pelo artigo 3.º da Lei n.º 18/2024, de 5 de fevereiro.

(7)Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados) (Texto relevante para efeitos do EEE).JO L 119 de 4.5.2016, p. 1-88. Última versão consolidada (04-05-2016): 02016R0679 — PT — 04.05.2016 — 000.002 — 1/78.

(8) Diretiva (UE) 2016/1148, do Parlamento Europeu e do Conselho, de 6 de julho, de 6 de julho de 2016, relativa a medidas destinadas a garantir um elevado nível comum de segurança das redes e da informação em toda a União. JO L 194 de 19.7.2016, p. 1-30. 

(9)Lei n.º46/2018, de 13 de agosto / Assembleia da República. - Estabelece o regime jurídico da segurança do ciberespaço, transpondo a Diretiva (UE) 2016/1148, do Parlamento Europeu e do Conselho, de 6 de julho de 2016, relativa a medidas destinadas a garantir um elevado nível comum de segurança das redes e da informação em toda a União. Diário da República. - Série I - n.º 155 (13-08-2018), p. 4031 - 4037.

(10) Lei n.º 58/2019, de 8 de agosto / Assembleia da República. - Assegura a execução, na ordem jurídica nacional, do Regulamento (UE) 2016/679 do Parlamento e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados.Diário da República. -Série I - n.º 151 (08-08-2019), p. 3 - 40. 

11-10-2021

Nível de proteção dos dados pessoais assegurado pelo Reino Unido | Prevenção, investigação, deteção ou repressão de infrações penais  

Normas aplicáveis ao tratamento de dados pessoais por autoridades competentes para fins de aplicação do direito penal

(1.1) Decisão de Execução (UE) 2021/1773 da Comissão, de 28 de junho de 2021, nos termos da Diretiva (UE) 2016/680 do Parlamento Europeu e do Conselho sobre a adequação do nível de proteção dos dados pessoais assegurado pelo Reino Unido [notificada com o número C(2021) 4801][C/2021/4801]. JO L 360 de 11.10.2021, p. 69-107.

3. CONCLUSÃO

(157) A Comissão entende que a parte 3 do DPA 2018 assegura um nível de proteção dos dados pessoais transferidos para efeitos de aplicação do direito penal das autoridades competentes da União para as autoridades competentes do Reino Unido que é essencialmente equivalente ao garantido pela Diretiva (UE) 2016/680.

(158) Além disso, a Comissão considera que os mecanismos de controlo e as vias de recurso previstas na legislação do Reino Unido permitem, no seu conjunto, identificar e sancionar na prática as violações, proporcionando vias judiciais aos titulares dos dados para ter acesso aos respetivos dados pessoais e, em última instância, requerer a retificação ou o apagamento dos mesmos.

(159) Por último, com base nas informações disponíveis sobre o quadro jurídico do Reino Unido, a Comissão entende que qualquer ingerência nos direitos fundamentais das pessoas singulares, cujos dados pessoais sejam transferidos da União Europeia para o Reino Unido pelas autoridades públicas do Reino Unido para fins de interesse público, incluindo no contexto da partilha de dados pessoais entre autoridades de aplicação da lei e outras autoridades públicas como organismos de segurança nacional, será limitada ao estritamente necessário para alcançar o objetivo legítimo em causa, existindo uma proteção jurídica eficaz contra tal ingerência.

(160) Assim, há que decidir que o Reino Unido garante um nível adequado de proteção na aceção do artigo 36.º, n.º 2, da Diretiva (UE) 2016/680, interpretado à luz da Carta dos Direitos Fundamentais da União Europeia.

(161) Esta conclusão baseia-se tanto no regime interno britânico relevante como nos seus compromissos internacionais, em particular a adesão à Convenção Europeia dos Direitos Humanos e a submissão à competência jurisdicional do Tribunal Europeu dos Direitos do Humanos. Por conseguinte, a adesão contínua a essas obrigações internacionais é um elemento particularmente importante da avaliação em que se baseia a presente decisão. (...)

07-06-2021

Cláusulas contratuais-tipo entre os responsáveis pelo tratamento de dados pessoais e os subcontratantes

Regulamento Geral sobre a Proteção de Dados - RGPD
Tratamento de dados pessoais pelas instituições e organismos da União

(1) Decisão de Execução (UE) 2021/915 da Comissão, de 4 de junho de 2021, relativa às cláusulas contratuais-tipo entre os responsáveis pelo tratamento de dados pessoais e os subcontratantes nos termos do artigo 28.º, n.º 7, do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho e do artigo 29.º, n.º 7, do Regulamento (UE) 2018/1725 do Parlamento Europeu e do Conselho (Texto relevante para efeitos do EEE) [C/2021/3701]. JO L 199 de 7.6.2021, p. 18-30.

ANEXO

Cláusulas contratuais-tipo

ANEXO I

Lista das partes

ANEXO II

Descrição do tratamento

ANEXO III

Medidas técnicas e organizativas, incluindo medidas técnicas e organizativas destinadas a garantir a segurança dos dados

ANEXO IV

Lista de subcontratantes ulteriores

(2.1) Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados) (Texto relevante para efeitos do EEE).JO L 119 de 4.5.2016, p. 1-88. Última versão consolidada (04-05-2016): 02016R0679 — PT — 04.05.2016 — 000.002 — 1/78.

(2.2) Retificação do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados) («Jornal Oficial da União Europeia» L 119 de 4 de maio de 2016).JO L 74 de 4.3.2021, p. 35.

- Artigo 28.º, n.ºs 3 e 4

Artigo 28.º

Subcontratante

1. Quando o tratamento dos dados for efetuado por sua conta, o responsável pelo tratamento recorre apenas a subcontratantes que apresentem garantias suficientes de execução de medidas técnicas e organizativas adequadas de uma forma que o tratamento satisfaça os requisitos do presente regulamento e assegure a defesa dos direitos do titular dos dados.

2. O subcontratante não contrata outro subcontratante sem que o responsável pelo tratamento tenha dado, previamente e por escrito, autorização específica ou geral. Em caso de autorização geral por escrito, o subcontratante informa o responsável pelo tratamento de quaisquer alterações pretendidas quanto ao aumento do número ou à substituição de outros subcontratantes, dando assim ao responsável pelo tratamento a oportunidade de se opor a tais alterações.

3. O tratamento em subcontratação é regulado por contrato ou outro ato normativo ao abrigo do direito da União ou dos Estados-Membros, que vincule o subcontratante ao responsável pelo tratamento, estabeleça o objeto e a duração do tratamento, a natureza e finalidade do tratamento, o tipo de dados pessoais e as categorias dos titulares dos dados, e as obrigações e direitos do responsável pelo tratamento. Esse contrato ou outro ato normativo estipulam, designadamente, que o subcontratante:

a) Trata os dados pessoais apenas mediante instruções documentadas do responsável pelo tratamento, incluindo no que respeita às transferências de dados para países terceiros ou organizações internacionais, a menos que seja obrigado a fazê-lo pelo direito da União ou do Estado-Membro a que está sujeito, informando nesse caso o responsável pelo tratamento desse requisito jurídico antes do tratamento, salvo se a lei proibir tal informação por motivos importantes de interesse público;

b) Assegura que as pessoas autorizadas a tratar os dados pessoais assumiram um compromisso de confidencialidade ou estão sujeitas a adequadas obrigações legais de confidencialidade;

c) Adota todas as medidas exigidas nos termos do artigo 32.º;

d) Respeita as condições a que se referem os n.ºs 2 e 4 para contratar outro subcontratante;

e) Toma em conta a natureza do tratamento, e na medida do possível, presta assistência ao responsável pelo tratamento através de medidas técnicas e organizativas adequadas, para permitir que este cumpra a sua obrigação de dar resposta aos pedidos dos titulares dos dados tendo em vista o exercício dos seus direitos previstos no capítulo III;

f) Presta assistência ao responsável pelo tratamento no sentido de assegurar o cumprimento das obrigações previstas nos artigos 32.º a 36.º, tendo em conta a natureza do tratamento e a informação ao dispor do subcontratante;

g) Consoante a escolha do responsável pelo tratamento, apaga ou devolve-lhe todos os dados pessoais depois de concluída a prestação de serviços relacionados com o tratamento, apagando as cópias existentes, a menos que a conservação dos dados seja exigida ao abrigo do direito da União ou dos Estados-Membros; e

h) Disponibiliza ao responsável pelo tratamento todas as informações necessárias para demonstrar o cumprimento das obrigações previstas no presente artigo e facilita e contribui para as auditorias, inclusive as inspeções, conduzidas pelo responsável pelo tratamento ou por outro auditor por este mandatado.

No que diz respeito ao primeiro parágrafo, alínea h), o subcontratante informa imediatamente o responsável pelo tratamento se, no seu entender, alguma instrução violar o presente regulamento ou outras disposições do direito da União ou dos Estados-Membros em matéria de proteção de dados.

4. Se o subcontratante contratar outro subcontratante para a realização de operações específicas de tratamento de dados por conta do responsável pelo tratamento, são impostas a esse outro subcontratante, por contrato ou outro ato normativo ao abrigo do direito da União ou dos Estados-Membros, as mesmas obrigações em matéria de proteção de dados que as estabelecidas no contrato ou outro ato normativo entre o responsável pelo tratamento e o subcontratante, referidas no n.º 3, em particular a obrigação de apresentar garantias suficientes de execução de medidas técnicas e organizativas adequadas de uma forma que o tratamento seja conforme com os requisitos do presente regulamento. Se esse outro subcontratante não cumprir as suas obrigações em matéria de proteção de dados, o subcontratante inicial continua a ser plenamente responsável, perante o responsável pelo tratamento, pelo cumprimento das obrigações desse outro subcontratante.

5. O facto de o subcontratante cumprir um código de conduta aprovado conforme referido no artigo 40.º ou um procedimento de certificação aprovado conforme referido no artigo 42.º pode ser utilizado como elemento para demonstrar as garantias suficientes a que se referem os n.ºs 1 e 4 do presente artigo.

6. Sem prejuízo de um eventual contrato individual entre o responsável pelo tratamento e o subcontratante, o contrato ou outro ato normativo referidos nos n.ºs 3 e 4 do presente artigo podem ser baseados, totalmente ou em parte, nas cláusulas contratuais-tipo referidas nos n.ºs 7 e 8 do presente artigo, inclusivamente quando fazem parte de uma certificação concedida ao responsável pelo tratamento ou ao subcontratante por força dos artigos 42.º e 43.º.

7. A Comissão pode estabelecer cláusulas contratuais-tipo para as matérias referidas nos n.ºs 3 e 4 do presente artigo pelo procedimento de exame a que se refere o artigo 93.º, n.º 2.

8. A autoridade de controlo pode estabelecer cláusulas contratuais-tipo para as matérias referidas nos n.ºs 3 e 4 do presente artigo e de acordo com o procedimento de controlo da coerência referido no artigo 63.º.

9. O contrato ou outro ato normativo a que se referem os n.ºs 3 e 4 devem ser feitos por escrito, incluindo em formato eletrónico.

10. Sem prejuízo do disposto nos artigos 82.º, 83.º e 84.º, o subcontratante que, em violação do presente regulamento, determinar as finalidades e os meios de tratamento, é considerado responsável pelo tratamento no que respeita ao tratamento em questão.

(3) Regulamento (UE) 2018/1725do Parlamento Europeu e do Conselho, de 23 de outubro de 2018, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas instituições e pelos órgãos e organismos da União e à livre circulação desses dados, e que revoga o Regulamento (CE) n.º 45/2001 e a Decisão n.º 1247/2002/CE (Texto relevante para efeitos do EEE) [PE/31/2018/REV/1].JO L 295 de 21.11.2018, p. 39-98.

- Artigo 29.º, n.ºs 3 e 4

Artigo 29.º

Subcontratantes

1. Caso o tratamento dos dados seja efetuado por sua conta, o responsável pelo tratamento deve recorrer apenas a subcontratantes que apresentem garantias suficientes de execução de medidas técnicas e organizativas adequadas de tal forma que o tratamento satisfaça os requisitos do presente regulamento e assegure a defesa dos direitos do titular dos dados.

2. O subcontratante não pode contratar outro subcontratante sem autorização escrita prévia, específica ou geral, do responsável pelo tratamento. Em caso de autorização geral por escrito, o subcontratante deve informar o responsável pelo tratamento das alterações pretendidas quanto ao aumento do número ou à substituição de outros subcontratantes, dando assim ao responsável pelo tratamento a oportunidade de se opor a essas alterações.

3. O tratamento por subcontratação é regulado por contrato ou por outro ato normativo ao abrigo do direito da União ou do direito dos Estados-Membros, que vincule o subcontratante ao responsável pelo tratamento, estabeleça o objeto e a duração do tratamento, a sua natureza e a sua finalidade, o tipo de dados pessoais e as categorias dos titulares dos dados, e as obrigações e os direitos do responsável pelo tratamento. Esse contrato, ou outro ato normativo, deve estipular, em especial, que o subcontratante:

a) Trata os dados pessoais apenas mediante instruções documentadas do responsável pelo tratamento, nomeadamente no que respeita às transferências de dados pessoais para países terceiros ou para organizações internacionais, salvo se for obrigado a fazê-lo pelo direito da União ou pelo direito do Estado-Membro a que está sujeito; nesse caso, o subcontratante informa o responsável pelo tratamento desse requisito jurídico antes do tratamento, salvo se a lei proibir tal informação por motivos importantes de interesse público;

b) Assegura que as pessoas autorizadas a tratar os dados pessoais assumiram um compromisso de confidencialidade ou estão sujeitas às obrigações legais de confidencialidade adequadas;

c) Adota todas as medidas exigidas nos termos do artigo 33.º;

d) Respeita as condições a que se referem os n.ºs 2 e 4 para contratar outro subcontratante;

e) Tendo em conta a natureza do tratamento, e na medida do possível, presta assistência ao responsável pelo tratamento através de medidas técnicas e organizativas adequadas destinadas a permitir que este cumpra a sua obrigação de dar resposta aos pedidos dos titulares dos dados para o exercício dos seus direitos previstos no capítulo III;

f) Presta assistência ao responsável pelo tratamento para assegurar o cumprimento das obrigações previstas nos artigos 33.º a 41.º, tendo em conta a natureza do tratamento e as informações ao seu dispor;

g) Consoante a escolha do responsável pelo tratamento, apaga todos os dados pessoais ou devolve-lhos uma vez concluída a prestação de serviços relacionados com o tratamento, e apaga as cópias existentes, salvo se a conservação dos dados pessoais for exigida ao abrigo do direito da União ou do direito dos Estados-Membros;

h) Disponibiliza ao responsável pelo tratamento todas as informações necessárias para demonstrar o cumprimento das obrigações previstas no presente artigo e facilita e contribui para as auditorias, incluindo as inspeções, realizadas pelo responsável pelo tratamento ou por outro auditor por ele mandatado.

No que diz respeito ao primeiro parágrafo, alínea h), o subcontratante deve informar imediatamente o responsável pelo tratamento se, no seu entender, alguma instrução violar o presente regulamento ou outras disposições do direito da União ou do direito dos Estados-Membros em matéria de proteção de dados.

4. Caso o subcontratante contrate outro subcontratante para realizar operações específicas de tratamento por conta do responsável pelo tratamento, são impostas a esse outro subcontratante, por contrato ou por outro ato normativo ao abrigo do direito da União ou do direito dos Estados-Membros, as mesmas obrigações em matéria de proteção de dados que as estabelecidas no contrato ou noutro ato normativo entre o responsável pelo tratamento e o subcontratante, referidas no n.º 3, em particular a obrigação de apresentar garantias suficientes de aplicar as medidas técnicas e organizativas adequadas de forma que o tratamento satisfaça os requisitos do presente regulamento. Se esse outro subcontratante não cumprir as suas obrigações em matéria de proteção de dados, o subcontratante inicial continua a ser plenamente responsável perante o responsável pelo tratamento pelo cumprimento das obrigações desse outro subcontratante.

5. Caso o subcontratante não seja uma instituição ou um órgão da União, o cumprimento de um código de conduta aprovado a que se refere o artigo 40.º, n.º 5, do Regulamento (UE) 2016/679, ou de um procedimento de certificação aprovado a que se refere o artigo 42.º do Regulamento (UE) 2016/679, pode ser utilizado como um elemento demonstrativo das garantias suficientes referidas nos n.ºs 1 e 4 do presente artigo.

6. Sem prejuízo da existência de um contrato entre o responsável pelo tratamento e o subcontratante, o contrato ou o outro ato normativo referidos nos n.ºs 3 e 4 do presente artigo podem basear-se, total ou parcialmente, nas cláusulas contratuais-tipo referidas nos n.ºs 7 e 8 do presente artigo, inclusive caso façam parte de uma certificação concedida ao subcontratante que não seja uma instituição ou um órgão da União ao abrigo do artigo 42.º do Regulamento (UE) 2016/679.

7. A Comissão pode estabelecer cláusulas contratuais-tipo para as matérias referidas nos n.ºs 3 e 4 do presente artigo pelo procedimento de exame a que se refere o artigo 96.º, n.º 2.

8. A Autoridade Europeia para a Proteção de Dados pode adotar cláusulas contratuais-tipo para as matérias referidas nos n.ºs 3 e 4.

9. O contrato ou o outro ato normativo a que se referem os n.ºs 3 e 4 é feito por escrito, inclusive em formato eletrónico.

10. Sem prejuízo dos artigos 65.º e 66.º, o subcontratante que, em violação do presente regulamento, determine as finalidades e os meios de tratamento, é considerado responsável pelo tratamento no que respeita ao tratamento em questão.

(4) «EDPB — EDPS Joint Opinion 1/2021 on the European Commission’s Implementing Decision on standard contractual clauses between controllers and processors for the matters referred to in Article 28 (7) of Regulation (EU) 2016/679 and Article 29 (7) of Regulation (EU) 2018/1725», 11 p. [Parecer conjunto 1/2021 do CEPD e da AEPD sobre a Decisão de Execução da Comissão Europeia relativa às cláusulas contratuais-tipo entre os responsáveis pelo tratamento de dados pessoais e os subcontratantes para as matérias referidas no artigo 28.º, n.º 7, do Regulamento (UE) 2016/679 e no artigo 29.º, n.º 7, do Regulamento (UE) 2018/1725]. Comité Europeu para a Proteção de Dados (CEPD) | 14-01-2021.

07-06-2021

Cláusulas contratuais-tipo aplicáveis à transferência de dados pessoais para países terceiros

Regulamento Geral sobre a Proteção de Dados - RGPD
Tratamento de dados pessoais pelas instituições e organismos da União

(1) Decisão de Execução (UE) 2021/914 da Comissão, de 4 de junho de 2021, relativa às cláusulas contratuais-tipo aplicáveis à transferência de dados pessoais para países terceiros nos termos do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho (Texto relevante para efeitos do EEE) [C/2021/3972]. JO L 199 de 7.6.2021, p. 31-61.

(2) Diretiva 95/46/CE do Parlamento Europeu e do Conselho, de 24 de outubro de 1995, relativa à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados (JO L 281 de 23.11.1995, p. 31). Revogada pelo Regulamento (UE) 2016/679, de 27 de abril de 2016 [RGPD].

(3) Decisão 2001/497/CE da Comissão, de 15 de junho de 2001, relativa às cláusulas contratuais-tipo aplicáveis à transferência de dados pessoais para países terceiros, nos termos da Diretiva 95/46/CE (JO L 181 de 4.7.2001, p. 19). Revogada pela Decisão de Execução (UE) 2021/914 da Comissão, de 4 de junho, com efeitos a partir de 27 de setembro de 2021 (Artigo 4.º).

(4) Decisão 2010/87/UE da Comissão, de 5 de fevereiro de 2010, relativa a cláusulas contratuais-tipo aplicáveis à transferência de dados pessoais para subcontratantes estabelecidos em países terceiros nos termos da Diretiva 95/46/CE do Parlamento Europeu e do Conselho (JO L 39 de 12.2.2010, p. 5). Revogada pela Decisão de Execução (UE) 2021/914 da Comissão, de 4 de junho, com efeitos a partir de 27 de setembro de 2021 (Artigo 4.º).

(5.1) Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados) (Texto relevante para efeitos do EEE).JO L 119 de 4.5.2016, p. 1-88. Última versão consolidada (04-05-2016): 02016R0679 — PT — 04.05.2016 — 000.002 — 1/78.

(5.2) Retificação do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados) («Jornal Oficial da União Europeia» L 119 de 4 de maio de 2016).JO L 74 de 4.3.2021, p. 35.

- Considerandos 108, 109 e 114 do Regulamento (UE) 2016/679.

(108) Na falta de uma decisão sobre o nível de proteção adequado, o responsável pelo tratamento ou o subcontratante deverá adotar as medidas necessárias para colmatar a insuficiência da proteção de dados no país terceiro dando para tal garantias adequadas ao titular dos dados. Tais garantias adequadas podem consistir no recurso a regras vinculativas aplicáveis às empresas, cláusulas-tipo de proteção de dados adotadas pela Comissão, cláusulas-tipo de proteção de dados adotadas por uma autoridade de controlo, ou cláusulas contratuais autorizadas por esta autoridade. Essas medidas deverão assegurar o cumprimento dos requisitos relativos à proteção de dados e o respeito pelos direitos dos titulares dos dados adequados ao tratamento no território da União, incluindo a existência de direitos do titular de dados e de medidas jurídicas corretivas eficazes, nomeadamente o direito de recurso administrativo ou judicial e de exigir indemnização, quer no território da União quer num país terceiro. Deverão estar relacionadas, em especial, com o respeito pelos princípios gerais relativos ao tratamento de dados pessoais e pelos princípios de proteção de dados desde a conceção e por defeito. Também podem ser efetuadas transferências por autoridades ou organismos públicos para autoridades ou organismos públicos em países terceiros ou para organizações internacionais que tenham deveres e funções correspondentes, nomeadamente com base em disposições a inserir no regime administrativo, como seja um memorando de entendimento, que prevejam a existência de direitos efetivos e oponíveis dos titulares dos dados. Deverá ser obtida a autorização da autoridade de controlo competente quando as garantias previstas em regimes administrativos não forem juridicamente vinculativas.

(109) A possibilidade de o responsável pelo tratamento ou o subcontratante utilizarem cláusulas-tipo de proteção de dados adotadas pela Comissão ou por uma autoridade de controlo não os deverá impedir de incluírem estas cláusulas num contrato mais abrangente, como um contrato entre o subcontratante e outro subcontratante, nem de acrescentarem outras cláusulas ou garantias adicionais desde que não entrem, direta ou indiretamente, em contradição com as cláusulas contratuais-tipo adotadas pela Comissão ou por uma autoridade de controlo, e sem prejuízo dos direitos ou liberdades fundamentais dos titulares dos dados. Os responsáveis pelo tratamento e os subcontratantes deverão ser encorajados a apresentar garantias suplementares através de compromissos contratuais que complementem as cláusulas-tipo de proteção.

(114) Em qualquer caso, se a Comissão não tiver tomado nenhuma decisão relativamente ao nível de proteção adequado de dados num determinado país terceiro, o responsável pelo tratamento ou o subcontratante deverá adotar soluções que confiram aos titulares dos dados direitos efetivos e oponíveis quanto ao tratamento dos seus dados na União, após a transferência dos mesmos, e lhes garantam que continuarão a beneficiar dos direitos e garantias fundamentais.

- Artigo 28.º, n.ºs 3 e 4

Artigo 28.º

Subcontratante

1. Quando o tratamento dos dados for efetuado por sua conta, o responsável pelo tratamento recorre apenas a subcontratantes que apresentem garantias suficientes de execução de medidas técnicas e organizativas adequadas de uma forma que o tratamento satisfaça os requisitos do presente regulamento e assegure a defesa dos direitos do titular dos dados.

2. O subcontratante não contrata outro subcontratante sem que o responsável pelo tratamento tenha dado, previamente e por escrito, autorização específica ou geral. Em caso de autorização geral por escrito, o subcontratante informa o responsável pelo tratamento de quaisquer alterações pretendidas quanto ao aumento do número ou à substituição de outros subcontratantes, dando assim ao responsável pelo tratamento a oportunidade de se opor a tais alterações.

3. O tratamento em subcontratação é regulado por contrato ou outro ato normativo ao abrigo do direito da União ou dos Estados-Membros, que vincule o subcontratante ao responsável pelo tratamento, estabeleça o objeto e a duração do tratamento, a natureza e finalidade do tratamento, o tipo de dados pessoais e as categorias dos titulares dos dados, e as obrigações e direitos do responsável pelo tratamento. Esse contrato ou outro ato normativo estipulam, designadamente, que o subcontratante:

a) Trata os dados pessoais apenas mediante instruções documentadas do responsável pelo tratamento, incluindo no que respeita às transferências de dados para países terceiros ou organizações internacionais, a menos que seja obrigado a fazê-lo pelo direito da União ou do Estado-Membro a que está sujeito, informando nesse caso o responsável pelo tratamento desse requisito jurídico antes do tratamento, salvo se a lei proibir tal informação por motivos importantes de interesse público;

b) Assegura que as pessoas autorizadas a tratar os dados pessoais assumiram um compromisso de confidencialidade ou estão sujeitas a adequadas obrigações legais de confidencialidade;

c) Adota todas as medidas exigidas nos termos do artigo 32.º;

d) Respeita as condições a que se referem os n.ºs 2 e 4 para contratar outro subcontratante;

e) Toma em conta a natureza do tratamento, e na medida do possível, presta assistência ao responsável pelo tratamento através de medidas técnicas e organizativas adequadas, para permitir que este cumpra a sua obrigação de dar resposta aos pedidos dos titulares dos dados tendo em vista o exercício dos seus direitos previstos no capítulo III;

f) Presta assistência ao responsável pelo tratamento no sentido de assegurar o cumprimento das obrigações previstas nos artigos 32.º a 36.º, tendo em conta a natureza do tratamento e a informação ao dispor do subcontratante;

g) Consoante a escolha do responsável pelo tratamento, apaga ou devolve-lhe todos os dados pessoais depois de concluída a prestação de serviços relacionados com o tratamento, apagando as cópias existentes, a menos que a conservação dos dados seja exigida ao abrigo do direito da União ou dos Estados-Membros; e

h) Disponibiliza ao responsável pelo tratamento todas as informações necessárias para demonstrar o cumprimento das obrigações previstas no presente artigo e facilita e contribui para as auditorias, inclusive as inspeções, conduzidas pelo responsável pelo tratamento ou por outro auditor por este mandatado.

No que diz respeito ao primeiro parágrafo, alínea h), o subcontratante informa imediatamente o responsável pelo tratamento se, no seu entender, alguma instrução violar o presente regulamento ou outras disposições do direito da União ou dos Estados-Membros em matéria de proteção de dados.

4. Se o subcontratante contratar outro subcontratante para a realização de operações específicas de tratamento de dados por conta do responsável pelo tratamento, são impostas a esse outro subcontratante, por contrato ou outro ato normativo ao abrigo do direito da União ou dos Estados-Membros, as mesmas obrigações em matéria de proteção de dados que as estabelecidas no contrato ou outro ato normativo entre o responsável pelo tratamento e o subcontratante, referidas no n.º 3, em particular a obrigação de apresentar garantias suficientes de execução de medidas técnicas e organizativas adequadas de uma forma que o tratamento seja conforme com os requisitos do presente regulamento. Se esse outro subcontratante não cumprir as suas obrigações em matéria de proteção de dados, o subcontratante inicial continua a ser plenamente responsável, perante o responsável pelo tratamento, pelo cumprimento das obrigações desse outro subcontratante.

5. O facto de o subcontratante cumprir um código de conduta aprovado conforme referido no artigo 40.º ou um procedimento de certificação aprovado conforme referido no artigo 42.º pode ser utilizado como elemento para demonstrar as garantias suficientes a que se referem os n.ºs 1 e 4 do presente artigo.

6. Sem prejuízo de um eventual contrato individual entre o responsável pelo tratamento e o subcontratante, o contrato ou outro ato normativo referidos nos n.ºs 3 e 4 do presente artigo podem ser baseados, totalmente ou em parte, nas cláusulas contratuais-tipo referidas nos n.ºs 7 e 8 do presente artigo, inclusivamente quando fazem parte de uma certificação concedida ao responsável pelo tratamento ou ao subcontratante por força dos artigos 42.º e 43.º.

7. A Comissão pode estabelecer cláusulas contratuais-tipo para as matérias referidas nos n.ºs 3 e 4 do presente artigo pelo procedimento de exame a que se refere o artigo 93.º, n.º 2.

8. A autoridade de controlo pode estabelecer cláusulas contratuais-tipo para as matérias referidas nos n.ºs 3 e 4 do presente artigo e de acordo com o procedimento de controlo da coerência referido no artigo 63.º.

9. O contrato ou outro ato normativo a que se referem os n.ºs 3 e 4 devem ser feitos por escrito, incluindo em formato eletrónico.

10. Sem prejuízo do disposto nos artigos 82.º, 83.º e 84.º, o subcontratante que, em violação do presente regulamento, determinar as finalidades e os meios de tratamento, é considerado responsável pelo tratamento no que respeita ao tratamento em questão.

- Artigo 46.º, n.º 1, e n.º 2, alínea c)

Artigo 46.º

Transferências sujeitas a garantias adequadas

1. Não tendo sido tomada qualquer decisão nos termos do artigo 45.º, n.º 3, os responsáveis pelo tratamento ou subcontratantes só podem transferir dados pessoais para um país terceiro ou uma organização internacional se tiverem apresentado garantias adequadas, e na condição de os titulares dos dados gozarem de direitos oponíveis e de medidas jurídicas corretivas eficazes.

2. Podem ser previstas as garantias adequadas referidas no n.º 1, sem requerer nenhuma autorização específica de uma autoridade de controlo, por meio de:

a) Um instrumento juridicamente vinculativo e com força executiva entre autoridades ou organismos públicos;

b) Regras vinculativas aplicáveis às empresas em conformidade com o artigo 47.º;

c) Cláusulas-tipo de proteção de dados adotadas pela Comissão pelo procedimento de exame referido no artigo 93.º, n.º 2;

d) Cláusulas-tipo de proteção de dados adotadas por uma autoridade de controlo e aprovadas pela Comissão pelo procedimento de exame referido no artigo 93.º, n.º 2;

e) Um código de conduta, aprovado nos termos do artigo 40.º, acompanhado de compromissos vinculativos e com força executiva assumidos pelos responsáveis pelo tratamento ou pelos subcontratantes no país terceiro no sentido de aplicarem as garantias adequadas, nomeadamente no que respeita aos direitos dos titulares dos dados; ou

f) Um procedimento de certificação, aprovado nos termos do artigo 42.º, acompanhado de compromissos vinculativos e com força executiva assumidos pelos responsáveis pelo tratamento ou pelos subcontratantes no país terceiro no sentido de aplicarem as garantias adequadas, nomeadamente no que respeita aos direitos dos titulares dos dados.

3. Sob reserva de autorização da autoridade de controlo competente, podem também ser previstas as garantias adequadas referidas no n.º 1, nomeadamente por meio de:

a) Cláusulas contratuais entre os responsáveis pelo tratamento ou subcontratantes e os responsáveis pelo tratamento, subcontratantes ou destinatários dos dados pessoais no país terceiro ou organização internacional; ou

b) Disposições a inserir nos acordos administrativos entre as autoridades ou organismos públicos que contemplem os direitos efetivos e oponíveis dos titulares dos dados.

4. A autoridade de controlo aplica o procedimento de controlo da coerência a que se refere o artigo 63.º nos casos enunciados no n.º 3 do presente artigo.

5. As autorizações concedidas por um Estado-Membro ou uma autoridade de controlo com base no artigo 26.º, n.º 2, da Diretiva 95/46/CE continuam válidas até que a mesma autoridade de controlo as altere, substitua ou revogue, caso seja necessário. As decisões adotadas pela Comissão com base no artigo 26.º, n.º 4, da Diretiva 95/46/CE permanecem em vigor até que sejam alteradas, substituídas ou revogadas, caso seja necessário, por uma decisão da Comissão adotada em conformidade com o n.º 2 do presente artigo.

- Artigo 58.º

Artigo 58.º

Poderes

1. Cada autoridade de controlo dispõe dos seguintes poderes de investigação:

a) Ordenar que o responsável pelo tratamento e o subcontratante e, se existir, o seu representante, lhe forneçam as informações de que necessite para o desempenho das suas funções;

b) Realizar investigações sob a forma de auditorias sobre a proteção de dados;

c) Rever as certificações emitidas nos termos do artigo 42.º, n.º 7;

d) Notificar o responsável pelo tratamento ou o subcontratante de alegadas violações do presente regulamento;

e) Obter, da parte do responsável pelo tratamento e do subcontratante, acesso a todos os dados pessoais e a todas as informações necessárias ao exercício das suas funções;

f) Obter acesso a todas as instalações do responsável pelo tratamento e do subcontratante, incluindo os equipamentos e meios de tratamento de dados, em conformidade com o direito processual da União ou dos Estados-Membros.

2. Cada autoridade de controlo dispõe dos seguintes poderes de correção:

a) Fazer advertências ao responsável pelo tratamento ou ao subcontratante no sentido de que as operações de tratamento previstas são suscetíveis de violar as disposições do presente regulamento;

b) Fazer repreensões ao responsável pelo tratamento ou ao subcontratante sempre que as operações de tratamento tiverem violado as disposições do presente regulamento;

c) Ordenar ao responsável pelo tratamento ou ao subcontratante que satisfaça os pedidos de exercício de direitos apresentados pelo titular dos dados nos termos do presente regulamento;

d) Ordenar ao responsável pelo tratamento ou ao subcontratante que tome medidas para que as operações de tratamento cumpram as disposições do presente regulamento e, se necessário, de uma forma específica e dentro de um prazo determinado;

e) Ordenar ao responsável pelo tratamento que comunique ao titular dos dados uma violação de dados pessoais;

f) Impor uma limitação temporária ou definitiva ao tratamento de dados, ou mesmo a sua proibição;

g) Ordenar a retificação ou o apagamento de dados pessoais ou a limitação do tratamento nos termos dos artigos 16.º, 17.º e 18.º, bem como a notificação dessas medidas aos destinatários a quem tenham sido divulgados os dados pessoais nos termos do artigo 17.º, n.º 2, e do artigo 19.º;

h) Retirar a certificação ou ordenar ao organismo de certificação que retire uma certificação emitida nos termos dos artigos 42.º e 43.º, ou ordenar ao organismo de certificação que não emita uma certificação se os requisitos de certificação não estiverem ou deixarem de estar cumpridos;

i) Impor uma coima nos termos do artigo 83.º, para além ou em vez das medidas referidas no presente número, consoante as circunstâncias de cada caso;

j) Ordenar a suspensão do envio de dados para destinatários em países terceiros ou para organizações internacionais.

3. Cada autoridade de controlo dispõe dos seguintes poderes consultivos e de autorização:

a) Aconselhar o responsável pelo tratamento, pelo procedimento de consulta prévia referido no artigo 36.º;

b) Emitir, por iniciativa própria ou se lhe for solicitado, pareceres dirigidos ao Parlamento nacional, ao Governo do Estado-Membro ou, nos termos do direito do Estado-Membro, a outras instituições e organismos, bem como ao público, sobre qualquer assunto relacionado com a proteção de dados pessoais;

c) Autorizar o tratamento previsto no artigo 36.º, n.º 5, se a lei do Estado-Membro exigir tal autorização prévia;

d) Emitir pareceres e aprovar projetos de códigos de conduta nos termos do artigo 40.º, n.º 5;

e) Acreditar organismos de certificação nos termos do artigo 43.º;

f) Emitir certificações e aprovar os critérios de certificação nos termos do artigo 42.º, n.º 5;

g) Adotar as cláusulas-tipo de proteção de dados previstas no artigo 28.º, n.º 8, e no artigo 46.º, n.º 2, alínea d);

h) Autorizar as cláusulas contratuais previstas no artigo 46.º, n.º 3, alínea a);

i) Autorizar os acordos administrativos previstos no artigo 46.º, n.º 3, alínea b);

j) Aprovar as regras vinculativas aplicáveis às empresas nos termos do artigo 47.º.

4. O exercício dos poderes conferidos à autoridade de controlo nos termos do presente artigo está sujeito a garantias adequadas, que incluem o direito à ação judicial efetiva e a um processo equitativo, previstas no direito da União e dos Estados-Membros, em conformidade com a Carta.

5. Os Estados-Membros estabelecem por lei que as suas autoridades de controlo estão habilitadas a levar as violações do presente regulamento ao conhecimento das autoridades judiciais e, se necessário, a intentar ou de outro modo intervir em processos judiciais, a fim de fazer aplicar as disposições do presente regulamento.

6. Os Estados-Membros podem estabelecer por lei que as suas autoridades de controlo terão outros poderes para além dos previstos nos n.ºs 1, 2 e 3. O exercício desses poderes não deve prejudicar o efetivo funcionamento do capítulo VII.

- Artigo 97.º

Artigo 97.º

Relatórios da Comissão

1. Até 25 de maio de 2020 e subsequentemente de quatro anos em quatro anos, a Comissão apresenta ao Parlamento Europeu e ao Conselho um relatório sobre a avaliação e revisão do presente regulamento. Os relatórios são tornados públicos.
2. No contexto das avaliações e revisões referidas no n.º 1, a Comissão examina, nomeadamente, a aplicação e o funcionamento do:

a) Capítulo V sobre a transferência de dados pessoas para países terceiros ou organizações internacionais, com especial destaque para as decisões adotadas nos termos do artigo 45.º, n.º 3, do presente regulamento, e as decisões adotadas com base no artigo 25.º, n.º 6, da Diretiva 95/46/CE;

b) Capítulo VII sobre cooperação e coerência.

3. Para o efeito do n.º 1, a Comissão pode solicitar informações aos Estados-Membros e às autoridades de controlo.

4. Ao efetuar as avaliações e as revisões a que se referem os n.ºs 1 e 2, a Comissão tem em consideração as posições e as conclusões a que tenham chegado o Parlamento Europeu, o Conselho e outros organismos ou fontes pertinentes.

5. Se necessário, a Comissão apresenta propostas adequadas com vista à alteração do presente regulamento atendendo, em especial, à evolução das tecnologias da informação e aos progressos da Sociedade da Informação.

(6) Regulamento (UE) 2018/1725do Parlamento Europeu e do Conselho, de 23 de outubro de 2018, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas instituições e pelos órgãos e organismos da União e à livre circulação desses dados, e que revoga o Regulamento (CE) n.º 45/2001 e a Decisão n.º 1247/2002/CE (Texto relevante para efeitos do EEE) [PE/31/2018/REV/1].JO L 295 de 21.11.2018, p. 39-98.

(7) Acórdão do Tribunal de Justiça, de 16 de julho de 2020, no processo C-311/18, Data Protection Commissioner/Facebook Ireland Ltd e Maximillian Schrems («Schrems II»), «Reenvio prejudicial – Proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais – Carta dos Direitos Fundamentais da União Europeia – Artigos 7.°, 8.° e 47.° – Regulamento (UE) 2016/679 – Artigo 2.º, n.º 2 – Âmbito de aplicação – Transferências de dados pessoais para países terceiros para fins comerciais (...). InfoCuria | Jurisprudência | ECLI:EU:C:2020:559.

(8) «EDPB-EDPS Joint Opinion 2/2021 on the European Commission’s Implementing Decision on standard contractual clauses for the transfer of personal data to third countries for the matters referred to in Article 46(2)(c) of Regulation (EU) 2016/679», 27 p. [Parecer conjunto 2/2021 do CEPD e da AEPD sobre a Decisão de Execução da Comissão Europeia relativa às cláusulas contratuais-tipo aplicáveis à transferência de dados pessoais para países terceiros para as matérias referidas no artigo 46.o, n.o 2, alínea c), do Regulamento (UE) 2016/679]. Comité Europeu para a Proteção de Dados (CEPD) | 14-01-2021.

21-12-2020

Tratamento de dados pessoais pela Procuradoria Europeia

Regulamento Delegado (UE) 2020/2153da Comissão, de 7 de outubro de 2020, que altera o Regulamento (UE) 2017/1939 do Conselho no que respeita às categorias de dados pessoais operacionais e às categorias de titulares de dados cujos dados pessoais operacionais podem ser tratados no índice de processos pela Procuradoria Europeia [C/2020/6797]. JO L 431 de 21.12.2020, p. 1-4. 

I. Regulamento (UE) 2017/1939 do Conselho, de 12 de outubro de 2017, que dá execução a uma cooperação reforçada para a instituição da Procuradoria Europeia. JO L 283 de 31.10.2017, p. 1-71. Versão consolidada atual (31/10/2017): 02017R1939 — PT — 31.10.2017 — 000.002 — 1/70. 

24-06-2020

Regulamento Geral sobre a Proteção de Dados (RGPD): Relatório da Comissão 

«Relatório da Comissão: normas de proteção de dados da UE capacitam cidadãos e são adequadas à era digital. Bruxelas, 24 de junho de 2020. Hoje, pouco mais de dois anos após a sua entrada em vigor, a Comissão Europeia publicou um relatório de avaliação do Regulamento Geral sobre a Proteção de Dados (RGPD). O relatório revela que o RGPD cumpriu a maior parte dos seus objetivos, em especial proporcionando aos cidadãos um conjunto sólido de direitos oponíveis e criando um novo sistema europeu de governação e de aplicação. O RGPD demonstrou ser suficientemente flexível para apoiar a adoção de soluções digitais em situações imprevistas, como a crise da COVID-19. O relatório conclui igualmente que está a aumentar a harmonização em todos os Estados-Membros, embora exista um certo nível de fragmentação que deve ser monitorizado de forma contínua. Além disso, conclui que as empresas estão a desenvolver uma cultura de cumprimento e recorrem cada vez mais à sólida proteção de dados enquanto vantagem concorrencial. O relatório contém uma lista de ações destinadas a facilitar ainda mais a aplicação do RGPD por parte de todas as partes interessadas, em especial as pequenas e médias empresas, bem como a promover e desenvolver uma cultura de proteção de dados verdadeiramente europeia e a sua aplicação rigorosa. (...)

Para mais informações

Relatório sobre a aplicação do RGPD

Brussels, 24.6.2020, COM(2020) 264 final - COMMUNICATION FROM THE COMMISSION TO THE EUROPEAN PARLIAMENT AND THE COUNCIL «Data protection as a pillar of citizens’ empowerment and the EU’s approach to the digital transition - two years of application of the General Data Protection Regulation {SWD(2020) 115 final}, (577 KB - PDF), 19 p.

Comunicação: Alinhamento dos atos da UE com a Diretiva sobre a Proteção de Dados na Aplicação da Lei

Brussels, 24.6.2020, COM(2020) 262 final - COMMUNICATION FROM THE COMMISSION TO THE EUROPEAN PARLIAMENT AND THE COUNCIL
«Way forward on aligning the former third pillar acquis with data protection rules«, (381 KB - PDF)

Comissão Europeia - Comunicado de imprensa | IP/20/1163»

08-08-2019

Proteção de dados na prevenção, investigação, deteção ou repressão de infrações penais: transposição da Diretiva (UE) 2016/680, de 27-04

Acesso indevido aos dados (pena de prisão até um ano ou com pena de multa até 120 dias)
Autoridade de controlo: Comissão Nacional de Proteção de Dados (CNPD)
Autoridades competentes
Avaliação de impacto
Comunicação de uma violação de dados pessoais ao titular dos dados
Concurso de infrações
Condições específicas de tratamento
Consulta prévia da autoridade de controlo
Contraordenações
Cooperação internacional no domínio da proteção de dados pessoais
Crimes
Dados biométricos
Dados genéticos
Dados relativos à saúde
Decisões individuais automatizadas
Definição de perfis
Desobediência qualificada
Destinatário dos dados pessoais
Desvio de dados (pena de prisão até 2 anos ou com pena de multa até 240 dias)
Dever de colaboração
Dever de sigilo
Direito de apresentar queixa à autoridade de controlo
Direito de indemnização
Direito de intentar ação judicial contra a autoridade de controlo
Direito de intentar ação judicial contra um responsável pelo tratamento ou um subcontratante
Direitos, liberdades e garantias das pessoas
Distinção entre diferentes categorias de titulares de dados
Direitos do titular dos dados
Encarregado de proteção de dados
Finalidades do tratamento
Inserção de dados falsos (pena de prisão até 2 anos ou com pena de multa até 240 dias)
Interconexão ilegal de dados (pena de prisão até 2 anos ou com pena de multa até 240 dias)
Lei da Proteção de Dados Pessoais, aprovada pela Lei n.º 67/98, de 26 de outubro
Licitude do tratamento
Limitação do tratamento
Notificação de uma violação de dados pessoais à autoridade de controlo
Pena acessória
Pseudonimização
Punibilidade da tentativa
Prazos para conservação
Registo cronológico das operações de tratamento
Representação dos titulares dos dados (sem prejuízo da obrigatoriedade de representação por advogado)
Requisitos mínimos da proteção de dados
Responsabilidade civil e disciplinar
Responsabilidade das pessoas coletivas (nos termos do artigo 11.º do Código Penal)
Responsável pelo tratamento
Responsáveis conjuntos pelo tratamento
Segurança do tratamento
Sistema integrado de informação criminal (instituído nos termos da Lei n.º 73/2009, de 12 de agosto, alterada pela Lei n.º 38/2015, de 11 de maio)
Subcontratante
Transferências com base numa decisão de adequação
Transferências de dados pessoais para organizações internacionais
Transferências de dados pessoais para países terceiros
Transferências sujeitas a garantias adequadas
Tratamento de categorias especiais de dados pessoais
Tratamento de dados constante de processo penal (regulado nos termos da lei processual penal)
Tratamento de dados referentes ao sistema judicial (regime jurídico próprio, constante da Lei n.º 34/2009, de 14 de julho)
Utilização de dados de forma incompatível com a finalidade da recolha (pena de prisão até 2 anos ou com pena de multa até 240 dias)
Verificação da qualidade dos dados pessoais
Viciação ou destruição de dados (pena de prisão até 2 anos ou com pena de multa até 240 dias)
Violação do dever de sigilo ( pena de prisão até 2 anos ou com pena de multa até 240 dias)

(1) Lei n.º 59/2019, de 8 de agosto / Assembleia da República. - Aprova as regras relativas ao tratamento de dados pessoais para efeitos de prevenção, deteção, investigação ou repressão de infrações penais ou de execução de sanções penais, transpondo a Diretiva (UE) 2016/680 do Parlamento Europeu e do Conselho, de 27 de abril de 2016. Diário da República. - Série I - n.º 151 (08-08-2019), p. 41 - 68.

Artigo 1.º

Objeto

A presente lei estabelece as regras relativas à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas autoridades competentes para efeitos de prevenção, deteção, investigação ou repressão de infrações penais ou de execução de sanções penais, incluindo a salvaguarda e a prevenção de ameaças à segurança pública, transpondo para a ordem jurídica interna a Diretiva (UE)2016/680do Parlamento Europeu e do Conselho, de 27 de abril de 2016.

Artigo 2.º

Âmbito de aplicação

1 - A presente lei é aplicável ao tratamento de dados pessoais para os efeitos previstos no artigo anterior, nos termos da lei processual penal e demais legislação aplicável.

2 - A presente lei aplica-se ao tratamento de dados pessoais por meios total ou parcialmente automatizados, bem como ao tratamento de dados pessoais contidos num ficheiro ou a ele destinados por meios não automatizados.

3 - A presente lei não se aplica ao tratamento de dados pessoais relacionados com a segurança nacional.

4 - O intercâmbio de dados pessoais entre autoridades competentes na União Europeia, quando legalmente exigido, não é limitado nem proibido por razões relacionadas com a proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais.

Artigo 5.º

Licitude do tratamento

1 - O tratamento de dados pessoais só é lícito se estiver previsto na lei e na medida em que for necessário para o exercício de uma atribuição da autoridade competente para os efeitos previstos no artigo 1.º, sem prejuízo do disposto no n.º 3.

2 - A lei indica, pelo menos, os objetivos do tratamento, os dados pessoais a tratar e as finalidades do tratamento.

3 - Caso não esteja autorizado por lei, o tratamento dos dados pessoais apenas pode ser realizado se for necessário para a proteção dos interesses vitais do titular dos dados ou de outra pessoa singular.

Artigo 7.º

Finalidades do tratamento

1 - É permitido o tratamento dos dados pessoais, pelo mesmo ou por outro responsável pelo tratamento, para finalidades diferentes daquelas para as quais os dados pessoais foram recolhidos, desde que essas outras finalidades se enquadrem nos fins previstos no artigo 1.º e que:

a) O responsável pelo tratamento esteja autorizado por lei a tratar os dados pessoais para essa finalidade; e

b) O tratamento seja necessário e proporcional a essa outra finalidade, nos termos da lei.

2 - O tratamento pelo mesmo ou por outro responsável inclui o arquivo de interesse público e a utilização científica, estatística ou histórica dos dados para os efeitos previstos no artigo 1.º, sob reserva de garantias adequadas dos direitos, liberdades e garantias do titular dos dados.

Artigo 47.º

Direito de apresentar queixa à autoridade de controlo

1 - Sem prejuízo de outros meios de tutela legalmente previstos, o titular dos dados tem o direito de apresentar queixa à autoridade de controlo, com o fundamento de que o tratamento dos seus dados pessoais viola disposições da presente lei.

2 - Se a queixa não for apresentada à autoridade de controlo competente nos termos do n.º 1 do artigo 43.º, a autoridade de controlo a que é apresentada transmite-a, sem demora injustificada, à autoridade de controlo competente, informando o titular dos dados dessa transmissão e prestando-lhe, caso este o solicite, assistência complementar.

3 - O titular dos dados é informado pela autoridade de controlo do andamento e do resultado da queixa, nomeadamente da possibilidade de intentar ação judicial nos termos do artigo seguinte.

Artigo 48.º

Direito de intentar ação judicial contra a autoridade de controlo

1 - Sem prejuízo de outros meios de tutela legalmente previstos, qualquer pessoa singular ou coletiva tem o direito de intentar uma ação judicial contra qualquer decisão juridicamente vinculativa que lhe diga respeito tomada pela autoridade de controlo.

2 - Os titulares dos dados têm o direito de intentar ação judicial nos casos em que a autoridade de controlo não apreciar a queixa apresentada ou não informar o titular dos dados, no prazo de três meses, do andamento ou do resultado da queixa apresentada.

Artigo 49.º

Direito de intentar ação judicial contra um responsável pelo tratamento ou um subcontratante

Sem prejuízo de outros meios de tutela legalmente previstos, nomeadamente do direito de apresentar queixa à autoridade de controlo, os titulares dos dados têm o direito de intentar ação judicial contra o responsável pelo tratamento ou contra o subcontratante com fundamento em violação dos direitos conferidos pela presente lei.

Artigo 50.º

Representação dos titulares dos dados

O titular dos dados tem o direito de mandatar um organismo, organização ou associação sem fins lucrativos, devidamente constituído nos termos da lei, cujos objetivos estatutários sejam de interesse público e cuja atividade abranja a proteção dos direitos e liberdades dos titulares de dados no que respeita à proteção dos seus dados pessoais, para apresentar queixa ou intentar ação judicial em seu nome, ao abrigo dos artigos anteriores, sem prejuízo da obrigatoriedade de representação por advogado, nos termos da legislação aplicável.

Artigo 51.º

Direito de indemnização

Qualquer pessoa que tenha sofrido danos, patrimoniais ou não patrimoniais, causados por uma violação das disposições da presente lei tem direito a receber do responsável pelo tratamento ou de qualquer outra autoridade competente uma indemnização pelos danos sofridos, nos termos do regime da responsabilidade civil extracontratual do Estado e demais entidades públicas.

Artigo 68.º

Dados referentes ao sistema judiciário

1 - O tratamento de dados constante de processo penal, de decisão judicial ou do registo criminal é regulado nos termos da lei processual penal.

2 - Ao tratamento de dados referentes ao sistema judicial é aplicável o regime jurídico próprio, constante daLei n.º 34/2009, de 14 de julho.

Artigo 69.º

Sistema integrado de informação criminal

O disposto na presente lei não implica qualquer restrição ou limitação na partilha e intercâmbio de dados entre os órgãos de polícia criminal e destes com as autoridades judiciárias, no âmbito do dever de cooperação estabelecido na lei de organização da investigação criminal, designadamente do sistema integrado de informação criminal instituído nos termos daLei n.º 73/2009, de 12 de agosto, alterada pelaLei n.º 38/2015, de 11 de maio.

Artigo 70.º

Regime transitório

1 - A conformação dos sistemas de tratamento automatizado criados antes de 6 de maio de 2016 com os requisitos previstos no artigo 27.º deve ser assegurada pelos responsáveis pelo tratamento logo que possível, até 6 de maio de 2023, ou, quando o cumprimento deste prazo cause graves dificuldades ao funcionamento de um sistema de tratamento automatizado, até 6 de maio de 2026.

2 - Sem prejuízo do disposto no número anterior, o responsável pelo tratamento de dados deve dispor de métodos eficazes para, até ao final do prazo de conformação, poder demonstrar a licitude do tratamento de dados, permitir o autocontrolo e garantir a integridade e segurança dos dados, tais como registos cronológicos ou outros.

Artigo 71.º

Entrada em vigor

A presente lei entra em vigor no dia seguinte ao da sua publicação.

(2) Diretiva (UE) 2016/680 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativa à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas autoridades competentes para efeitos de prevenção, investigação, deteção ou repressão de infrações penais ou execução de sanções penais, e à livre circulação desses dados, e que revoga a Decisão-Quadro 2008/977/JAI do Conselho. JO L 119 de 4.5.2016, p. 89-131. Última versão consolidada (04-05-2016): 02016L0680 — PT — 04.05.2016 — 000.001 — 1/39.

Artigo 1.º

Objeto e objetivos

1. A presente diretiva estabelece as regras relativas à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas autoridades competentes para efeitos de prevenção, investigação, deteção ou repressão de infrações penais ou execução de sanções penais, incluindo a salvaguarda e prevenção de ameaças à segurança pública.

2. Nos termos da presente diretiva, os Estados-Membros asseguram:

a) A proteção dos direitos e das liberdades fundamentais das pessoas singulares e, em especial, o seu direito à proteção dos dados pessoais; e

b) Que o intercâmbio de dados pessoais entre autoridades competentes na União, caso seja previsto pelo direito da União ou do Estado-Membro, não seja limitado nem proibido por razões relacionadas com a proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais.

3. A presente diretiva não obsta a que os Estados-Membros prevejam garantias mais elevadas do que as nela estabelecidas para a proteção dos direitos e liberdades do titular dos dados no que diz respeito ao tratamento de dados pessoais pelas autoridades competentes.

Artigo 2.º

Âmbito de aplicação

1. A presente diretiva aplica-se ao tratamento de dados pessoais pelas autoridades competentes para os efeitos estabelecidos no artigo 1.º, n.º 1.

2. A presente diretiva aplica-se ao tratamento de dados pessoais por meios total ou parcialmente automatizados, bem como ao tratamento de dados pessoais contidos num ficheiro ou a ele destinados por meios não automatizados.

3. A presente diretiva não se aplica ao tratamento de dados pessoais:

a) Efetuado no exercício de atividades não sujeitas à aplicação do direito da União;

b) Efetuado pelas instituições, organismos, serviços e agências da União.

Artigo 63.º

Transposição

1. Os Estados-Membros adotam e publicam, até 6 de maio de 2018, as disposições legislativas, regulamentares e administrativas necessárias para dar cumprimento à presente diretiva. Os Estados-Membros comunicam imediatamente à Comissão o texto dessas disposições. Os Estados-Membros aplicam as referidas disposições a partir de 6 de maio de 2018.

Quando os Estados-Membros adotarem essas disposições, estas incluem uma referência à presente diretiva ou são acompanhadas dessa referência aquando da sua publicação oficial. As modalidades dessa referência são estabelecidas pelos Estados-Membros.

2. Em derrogação do n.º 1, um Estado-Membro pode estabelecer que, excecionalmente, quando o esforço envolvido for desproporcionado, os sistemas de tratamento automatizado estabelecidos antes de 6 de maio de 2016 seja tornado conforme com o artigo 25.º, n.º 1, até 6 de maio de 2023.

3. Em derrogação dos n.ºs 1 e 2 do presente artigo, um Estado-Membro pode, em circunstâncias excecionais, tornar um sistema de tratamento automatizado, referido no n.º 2 do presente artigo, conforme com o artigo 25.º, n.º 1, num prazo fixado após o período a que se refere o n.º 2 do presente artigo, caso, de outra forma, sejam causadas graves dificuldades ao funcionamento desse sistema de tratamento automatizado. O Estado-Membro em causa notifica a Comissão dos motivos para essas graves dificuldades e dos motivos para o prazo especificado em que tornará esse particular sistema de tratamento automatizado conforme com o artigo 25.º, n.º 1. O prazo fixado não pode, em caso algum, ir além de 6 de maio de 2026.

4. Os Estados-Membros comunicam à Comissão o texto das principais disposições de direito interno que adotarem no domínio abrangido pela presente diretiva.

Artigo 64.º

Entrada em vigor

A presente diretiva entra em vigor no dia seguinte ao da sua publicação no Jornal Oficial da União Europeia.

08-08-2019

Regulamento Geral sobre a Proteção de Dados (RGPD): execução na ordem jurídica nacional

Acesso a documentos administrativos (remissão para a Lei n.º 26/2016, de 22 de agosto)
Acesso à informação administrativa e ambiental
Acesso indevido (pena de prisão até 1 ano ou com pena de multa até 120 dias)
Acreditação e certificação
Arquivo de interesse público (remissão para o Decreto-Lei n.º 16/93, de 23 de janeiro)
Bases de dados ou registos centralizados de saúde
Códigos de conduta
Coimas aplicáveis às entidades públicas e privadas (ver artigo 44.º, n.º 2, e artigo 59.º)
Comissão Nacional de Proteção de Dados (CNPD)
Concurso de infrações
Consentimento de menores
Consentimento do titular
Contraordenações graves
Contraordenações muito graves
Crimes
Dados pessoais tratados para fins estatísticos (anonimizados ou pseudonimizados)
Desobediência (pena de prisão até 1 ano ou com pena de multa até 120 dias)
Desvio de dados (pena de prisão até 1 ano ou com pena de multa até 120 dias)
Dever de segredo
Direito excecional ao apagamento de dados pessoais publicados em jornal oficial (desindexação dos dados pessoais em motores de busca)
Encarregado de proteção de dados
Inserção de dados falsos (pena de prisão até 2 anos ou com pena de multa até 240 dias)
Instituto Português de Acreditação, I. P. (IPAC, I. P.)
Legitimidade da CNPD
Liberdade de expressão e informação
Orientações técnicas
Parecer quanto à oponibilidade do dever de segredo
Portabilidade e interoperabilidade dos dados
Prazo de conservação de dados pessoais
Princípios da finalidade e da minimização
Proteção de dados pessoais de pessoas falecidas
Publicação de dados no âmbito da contratação pública
Publicação de dados pessoais em jornais oficiais
Publicidade das deliberações da CNPD
Punibilidade da tentativa
Regimes de proteção de dados pessoais
Relações laborais
Representação dos titulares dos dados (prejuízo da observância das regras relativas ao patrocínio judiciário)
Responsabilidade civil
Responsabilidade das pessoas coletivas (nos termos do artigo 11.º do Código Penal)
Responsabilidade do Estado e demais pessoas coletivas públicas
Sanções acessórias
Situações de tratamentos de dados pessoais pré-existentes objeto de registo público, nos termos do artigo 31.º da Lei n.º 67/98, de 26 de outubro
Tutela administrativa
Tutela jurisdicional
Transferências de dados para países terceiros
Tratamento de dados de saúde e dados genéticos (princípio da necessidade de conhecer a informação)
Tratamento de dados pessoais por entidades públicas para finalidades diferentes
Utilização de dados de forma incompatível com a finalidade da recolha (pena de prisão até um ano ou com pena de multa até 120 dias)
Viciação ou destruição de dados (pena de prisão até 2 anos ou com pena de multa até 240 dias)
Videovigilância (requisitos previstos no artigo 31.º da Lei n.º 34/2013, de 16 de maio)
Violação do dever de sigilo (pena de prisão até 1 ano ou com pena de multa até 120 dias)

(1) Lei n.º 58/2019, de 8 de agosto / Assembleia da República. - Assegura a execução, na ordem jurídica nacional, do Regulamento (UE) 2016/679 do Parlamento e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados. Diário da República. - Série I - n.º 151 (08-08-2019), p. 3 - 40.

Artigo 1.º

Objeto

A presente lei assegura a execução, na ordem jurídica interna, do Regulamento (UE)2016/679do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados, doravante designado abreviadamente por Regulamento Geral de Proteção de Dados (RGPD).

Artigo 2.º

Âmbito de aplicação

1 - A presente lei aplica-se aos tratamentos de dados pessoais realizados no território nacional, independentemente da natureza pública ou privada do responsável pelo tratamento ou do subcontratante, mesmo que o tratamento de dados pessoais seja efetuado em cumprimento de obrigações legais ou no âmbito da prossecução de missões de interesse público, aplicando-se todas as exclusões previstas no artigo 2.º do RGPD.

2 - A presente lei aplica-se ainda aos tratamentos de dados pessoais realizados fora do território nacional quando:

a) Sejam efetuados no âmbito da atividade de um estabelecimento situado no território nacional; ou

b) Afetem titulares de dados que se encontrem no território nacional, quando as atividades de tratamento estejam subordinadas ao disposto no n.º 2 do artigo 3.º do RGPD; ou

c) Afetem dados que estejam inscritos nos postos consulares de que sejam titulares portugueses residentes no estrangeiro.

3 - A presente lei não se aplica aos ficheiros de dados pessoais constituídos e mantidos sob a responsabilidade do Sistema de Informações da República Portuguesa, que se rege por disposições específicas, nos termos da lei.

Artigo 3.º

Autoridade de controlo nacional

A Comissão Nacional de Proteção de Dados (CNPD) é a autoridade de controlo nacional para efeitos do RGPD e da presente lei.

Artigo 9.º

Disposição geral

1 - O encarregado de proteção de dados é designado com base nos requisitos previstos no n.º 5 do artigo 37.º do RGPD, não carecendo de certificação profissional para o efeito.

2 - Independentemente da natureza da sua relação jurídica, o encarregado de proteção de dados exerce a sua função com autonomia técnica perante a entidade responsável pelo tratamento ou subcontratante.

Artigo 14.º

Acreditação e certificação

1 - Nos termos da alínea b) do n.º 1 do artigo 43.º do RGPD, a autoridade competente para a acreditação dos organismos de certificação em matéria de proteção de dados é o IPAC, I. P.

2 - O ato de acreditação emitido pelo IPAC, I. P., deve tomar em consideração os requisitos previstos no RGPD, bem como os requisitos adicionais estabelecidos pela CNPD.

3 - A certificação, bem como a emissão de selos e marcas de proteção de dados, é efetuada por organismos de certificação acreditados nos termos do n.º 1, destinando-se a atestar que os procedimentos implementados cumprem o disposto no RGPD e na presente lei.

Artigo 21.º

Prazo de conservação de dados pessoais

1 - O prazo de conservação de dados pessoais é o que estiver fixado por norma legal ou regulamentar ou, na falta desta, o que se revele necessário para a prossecução da finalidade.

2 - Quando, pela natureza e finalidade do tratamento, designadamente para fins de arquivo de interesse público, fins de investigação científica ou histórica ou fins estatísticos, não seja possível determinar antecipadamente o momento em que o mesmo deixa de ser necessário, é lícita a conservação dos dados pessoais, desde que sejam adotadas medidas técnicas e organizativas adequadas a garantir os direitos do titular dos dados, designadamente a informação da sua conservação.

3 - Quando os dados pessoais sejam necessários para o responsável pelo tratamento, ou o subcontratante, comprovar o cumprimento de obrigações contratuais ou de outra natureza, os mesmos podem ser conservados enquanto não decorrer o prazo de prescrição dos direitos correspetivos.

4 - Quando cesse a finalidade que motivou o tratamento, inicial ou posterior, de dados pessoais, o responsável pelo tratamento deve proceder à sua destruição ou anonimização.

5 - Nos casos em que existe um prazo de conservação de dados imposto por lei, só pode ser exercido o direito ao apagamento previsto no artigo 17.º do RGPD findo esse prazo.

6 - Os dados relativos a declarações contributivas para efeitos de aposentação ou reforma podem ser conservados sem limite de prazo, a fim de auxiliar o titular na reconstituição das carreiras contributivas, desde que sejam adotadas medidas técnicas e organizativas adequadas a garantir os direitos do titular dos dados.

Artigo 25.º

Publicação em jornal oficial

1 - A publicação de dados pessoais em jornais oficiais deve obedecer ao artigo 5.º do RGPD, nomeadamente aos princípios da finalidade e da minimização.

2 - Sempre que o dado pessoal «nome» seja suficiente para garantir a identificação do titular e a eficácia do tratamento, não devem ser publicados outros dados pessoais.

3 - Os dados pessoais publicados em jornal oficial não podem, em circunstância alguma, ser alterados, rasurados ou ocultados.

4 - O direito ao apagamento de dados pessoais publicados em jornal oficial tem natureza excecional e só se pode concretizar nas condições previstas no artigo 17.º do RGPD, nos casos em que essa seja a única forma de acautelar o direito ao esquecimento e ponderados os demais interesses em presença.

5 - O disposto no número anterior realiza-se através da desindexação dos dados pessoais em motores de busca, sempre sem eliminação da publicação que faz fé pública.

6 - Em caso de publicação de dados pessoais em jornais oficiais, considera-se responsável pelo tratamento a entidade que manda proceder à publicação, ou, no caso dos gabinetes dos membros do Governo, as respetivas secretarias-gerais.

Artigo 27.º

Publicação de dados no âmbito da contratação pública

No âmbito da contratação pública, e caso seja necessária a publicação de dados pessoais, não devem ser publicados outros dados pessoais para além do nome, sempre que este seja suficiente para garantir a identificação do contraente público e do cocontratante.

Artigo 28.º

Relações laborais

1 - O empregador pode tratar os dados pessoais dos seus trabalhadores para as finalidades e com os limites definidos no Código do Trabalho e respetiva legislação complementar ou noutros regimes setoriais, com as especificidades estabelecidas no presente artigo.

2 - O número anterior abrange igualmente o tratamento efetuado por subcontratante ou contabilista certificado em nome do empregador, para fins de gestão das relações laborais, desde que realizado ao abrigo de um contrato de prestação de serviços e sujeito a iguais garantias de sigilo.

3 - Salvo norma legal em contrário, o consentimento do trabalhador não constitui requisito de legitimidade do tratamento dos seus dados pessoais:

a) Se do tratamento resultar uma vantagem jurídica ou económica para o trabalhador; ou

b) Se esse tratamento estiver abrangido pelo disposto na alínea b) do n.º 1 do artigo 6.º do RGPD.

4 - As imagens gravadas e outros dados pessoais registados através da utilização de sistemas de vídeo ou outros meios tecnológicos de vigilância à distância, nos termos previstos no artigo 20.º do Código do Trabalho, só podem ser utilizados no âmbito do processo penal.

5 - Nos casos previstos no número anterior, as imagens gravadas e outros dados pessoais podem também ser utilizados para efeitos de apuramento de responsabilidade disciplinar, na medida em que o sejam no âmbito do processo penal.

6 - O tratamento de dados biométricos dos trabalhadores só é considerado legítimo para controlo de assiduidade e para controlo de acessos às instalações do empregador, devendo assegurar-se que apenas se utilizem representações dos dados biométricos e que o respetivo processo de recolha não permita a reversibilidade dos referidos dados.

Artigo 32.º

Tutela administrativa

Sem prejuízo do direito de apresentação de queixa à CNPD, qualquer pessoa pode recorrer a meios de tutela administrativa, designadamente de cariz petitório ou impugnatório, para garantir o cumprimento das disposições legais em matéria de proteção de dados pessoais, nos termos previstos no Código do Procedimento Administrativo.

Artigo 33.º

Responsabilidade civil

1 - Qualquer pessoa que tenha sofrido um dano devido ao tratamento ilícito de dados ou a qualquer outro ato que viole disposições do RGPD ou da lei nacional em matéria de proteção de dados pessoais, tem o direito de obter do responsável ou subcontratante a reparação pelo dano sofrido.

2 - O responsável pelo tratamento e o subcontratante não incorrem em responsabilidade civil se provarem que o facto que causou o dano não lhes é imputável.

3 - À responsabilidade do Estado e demais pessoas coletivas públicas é aplicável o regime previsto naLei n.º 67/2007, de 31 de dezembro, alterado pelaLei n.º 31/2008, de 17 de julho.

Artigo 34.º

Tutela jurisdicional

1 - Qualquer pessoa, de acordo com as regras gerais de legitimidade processual, pode propor ações contra as decisões, nomeadamente de natureza contraordenacional, e omissões da CNPD, bem como ações de responsabilidade civil pelos danos que tais atos ou omissões possam ter causado.

2 - As ações propostas contra a CNPD são da competência dos tribunais administrativos.

3 - O titular dos dados pode propor ações contra o responsável pelo tratamento ou o subcontratante, incluindo ações de responsabilidade civil.

4 - As ações intentadas contra o responsável pelo tratamento ou um subcontratante são propostas nos tribunais nacionais se o responsável ou subcontratante tiver estabelecimento em território nacional ou se o titular dos dados aqui residir habitualmente.

Artigo 35.º

Representação dos titulares dos dados

Sem prejuízo da observância das regras relativas ao patrocínio judiciário, o titular dos dados tem o direito de mandatar um organismo, uma organização ou uma associação sem fins lucrativos constituída em conformidade com o direito nacional, cujos fins estatutários sejam de interesse público e cuja atividade abranja a defesa dos direitos, liberdades e garantias do titular dos dados quanto à proteção de dados pessoais para, em seu nome, exercer os direitos previstos nos artigos 77.º, 78.º, 79.º e 82.º do RGPD.

Artigo 36.º

Legitimidade da CNPD

A CNPD tem legitimidade para intervir em processos judiciais no caso de violação das disposições do RGPD e da presente lei, e deve denunciar ao Ministério Público as infrações penais de que tiver conhecimento, no exercício das suas funções e por causa delas, bem como praticar os atos cautelares necessários e urgentes para assegurar os meios de prova.

Artigo 63.º

Alteração àLei n.º 43/2004, de 18 de agosto

1 - Os artigos 2.º, 3.º (Composição, designação e mandato dos membros), 8.º, 16.º (Publicidade), 17.º (Denúncias e participações), 18.º, 19.º, 20.º, 21.º e 22.º e 24.º (Unidade de Direitos e Sanções), 25.º (Unidade de Relações Públicas e Internacionais), 26.º (Unidade de Informática), 27.º (Unidade de Apoio Administrativo e Financeiro), 28.º, 29.º, 30.º e 31.º (Trabalhadores em funções públicas) da Lei de Organização e Funcionamento da Comissão Nacional de Proteção de Dados, aprovada pelaLei n.º 43/2004, de 18 de agosto, alterada pelaLei n.º 55-A/2010, de 31 de dezembro, passam a ter a seguinte redação: (...).

Artigo 64.º

Aditamento àLei n.º 43/2004, de 18 de agosto

São aditados os artigos 19.º-A (Fiscal único) e 24.º-A (Unidade de Inspeção) àLei n.º 43/2004, de 18 de agosto, com a seguinte redação: (...).

Artigo 65.º

Alteração àLei n.º 26/2016, de 22 de agosto

O artigo 6.º do regime de acesso à informação administrativa e ambiental e de reutilização dos documentos administrativos aprovado pelaLei n.º 26/2016, de 22 de agosto, passa a ter a seguinte redação: (...).

Artigo 66.º

Norma revogatória

1 - É revogada aLei n.º 67/98, de 26 de outubro, que transpõe para a ordem jurídica portuguesa a Diretiva95/45/CE, do Parlamento Europeu e do Conselho, de 24 de outubro de 1995, relativa à proteção de pessoas singulares no que diz respeito ao tratamento dos dados pessoais e à livre circulação desses dados.

2 - São revogados o n.º 3 do artigo 15.º e o n.º 2 do artigo 17.º daLei n.º 43/2004, de 18 de agosto, alterada pelaLei n.º 55-A/2010, de 31 de dezembro.

Artigo 67.º

Republicação

É republicada em anexo à presente lei, da qual faz parte integrante, aLei n.º 43/2004, de 18 de agosto, com a redação atual e com as necessárias correções formais.

Artigo 68.º

Entrada em vigor e produção de efeitos

1 - A presente lei entra em vigor no dia seguinte ao da sua publicação.

2 - O fiscal único a eleger nos termos do disposto no artigo 19.º-A daLei n.º 43/2004, de 18 de agosto, só pode iniciar o seu mandato a partir de 1 de janeiro de 2020.

ANEXO
(a que se refere o artigo 67.º)

Republicação da Lei n.º 43/2004, de 18 de agosto
[Artigo 1.º (Âmbito) a Artigo 36.º (Norma revogatória) + ANEXO - MAPA I (a que se refere o n.º 1 do artigo 32.º)

(2) Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados) (Texto relevante para efeitos do EEE).JO L 119 de 4.5.2016, p. 1-88. Última versão consolidada (04-05-2016): 02016R0679 — PT — 04.05.2016 — 000.002 — 1/78.

Artigo 1.º

Objeto e objetivos

1. O presente regulamento estabelece as regras relativas à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados.

2. O presente regulamento defende os direitos e as liberdades fundamentais das pessoas singulares, nomeadamente o seu direito à proteção dos dados pessoais.

3. A livre circulação de dados pessoais no interior da União não é restringida nem proibida por motivos relacionados com a proteção das pessoas singulares no que respeita ao tratamento de dados pessoais.

Artigo 2.º

Âmbito de aplicação material

1. O presente regulamento aplica-se ao tratamento de dados pessoais por meios total ou parcialmente automatizados, bem como ao tratamento por meios não automatizados de dados pessoais contidos em ficheiros ou a eles destinados.

2. O presente regulamento não se aplica ao tratamento de dados pessoais:

a) Efetuado no exercício de atividades não sujeitas à aplicação do direito da União:

b) Efetuado pelos Estados-Membros no exercício de atividades abrangidas pelo âmbito de aplicação do título V, capítulo 2, do TUE;

c) Efetuado por uma pessoa singular no exercício de atividades exclusivamente pessoais ou domésticas;

d) Efetuado pelas autoridades competentes para efeitos de prevenção, investigação, deteção e repressão de infrações penais ou da execução de sanções penais, incluindo a salvaguarda e a prevenção de ameaças à segurança pública.

3. O Regulamento (CE) n.º 45/2001 aplica-se ao tratamento de dados pessoais pelas instituições, órgãos, organismos ou agências da União. O Regulamento (CE) n.º 45/2001, bem como outros atos jurídicos da União aplicáveis ao tratamento de dados pessoais, são adaptados aos princípios e regras do presente regulamento nos termos previstos no artigo 98.o.

4. O presente regulamento não prejudica a aplicação da Diretiva 2000/31/CE, nomeadamente as normas em matéria de responsabilidade dos prestadores intermediários de serviços previstas nos seus artigos 12.º a 15.º.

Artigo 99.º

Entrada em vigor e aplicação

1. O presente regulamento entra em vigor no vigésimo dia seguinte ao da sua publicação no Jornal Oficial da União Europeia.

2. O presente regulamento é aplicável a partir de 25 de maio de 2018.

O presente regulamento é obrigatório em todos os seus elementos e diretamente aplicável em todos os Estados-Membros.

(3) Regulamento Geral sobre a Proteção de Dados produz resultados, mas o trabalho deve prosseguir. Pouco mais de um ano após a entrada em vigor do Regulamento Geral sobre a Proteção de Dados (RGPD), a Comissão Europeia publicou hoje umrelatório que analisa o impacto das regras da UE em matéria de proteção de dadose a forma como a sua aplicação pode ser melhorada. Comunicado de imprensa, Bruxelas, 24 de julho de 2019 -IP/19/4449.

21-11-2018 

Tratamento de dados pessoais pelas instituições e organismos da União

(1) Regulamento (UE) 2018/1725do Parlamento Europeu e do Conselho, de 23 de outubro de 2018, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas instituições e pelos órgãos e organismos da União e à livre circulação desses dados, e que revoga o Regulamento (CE) n.º 45/2001 e a Decisão n.º 1247/2002/CE (Texto relevante para efeitos do EEE) [PE/31/2018/REV/1].JO L 295 de 21.11.2018, p. 39-98.

(2)Decisão (UE) 2018/1927 da Comissão, de 5 de dezembro de 2018, que estabelece regras internas relativas ao tratamento de dados pessoais pela Comissão Europeia no domínio da concorrência em relação à comunicação de informações aos titulares dos dados e à limitação de certos direitos [C/2018/8109]. JO L 313 de 10.12.2018, p. 39-44.

(3) Decisão (UE) 2019/154 da Comissão, de 30 de janeiro de 2019, que estabelece as regras internas relativas à limitação do direito de acesso dos titulares de dados aos seus processos médicos [C/2019/627]. JO L 27 de 31.1.2019, p. 33-35.

(4) Decisão do Banco Europeu de Investimento, de 26 de fevereiro de 2019, que estabelece as normas internas para o tratamento dos dados pessoais pela Direção de Pessoal do Banco Europeu de Investimento no que respeita à comunicação de informações aos titulares de dados e à limitação de alguns dos seus direitos. JO L 112I de 26.4.2019, p. 1-5.

(5) Autoridade Europeia da Proteção de Dados: avaliação de impacto (DPIA), registo das atividades e consulta prévia (17-07-2019):Guidance on documenting processing operations for EU institutions, bodies and agencies (EUIs).These documents provide provisional guidance for controllers and DPO in the EUIs on how to generate records for their processing operations, how to decide whether they need to carry out data protection impact assessments (DPIAs), how to do DPIAs and when to do prior consultations to the EDPS (Articles 31, 39 and 40 of Regulation (EU) 2018/1725): Part I: Records and threshold assessment; Part II: DPIAs and prior consultation. EDPS Guidelines.

(6) Decisão da Mesa, de 17 de junho de 2019, sobre as regras de execução do Regulamento (UE) 2018/1725 do Parlamento Europeu e do Conselho relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas instituições e pelos órgãos e organismos da União e à livre circulação desses dados, e que revoga o Regulamento (CE) n.º 45/2001 e a Decisão n.º 1247/2002/CE (2019/C 259/02).JO C 259 de 2.8.2019, p. 2-24.

______________________________________________________

BIBLIOTECA DA ORDEM DOS ADVOGADOS
Catálogo da Biblioteca | boa@cg.oa.pt  |Informação Jurídica
2026-01-28 / 15:42