PORTULAN/parlamento-pt huggingface dataset:
II SÉRIE-A — NÚMERO 131 74 Conselho, de 27 de abril de 2016, no âmbito de aplicação da presente lei constituem contraordenações graves as seguintes condutas: a) O incumprimento da obrigação de informar previamente o responsável pelo tratamento de dados das alterações à contratação de outros subcontratantes, prevista no n.o 3 do artigo 23.o; b) O incumprimento da obrigação de notificar o responsável pelo tratamento, sem demora justificada, em caso de violação de dados pessoais, prevista no n.o 7 do artigo 32.o; c) O incumprimento da obrigação de conservar um registo de atividades ou a conservação de um registo de atividades que não cumpra a totalidade das exigências previstas nos n.os 3 e 4 do artigo 26.o. 3 - A prática das contraordenações previstas no n.o 1 é punida com coima: a) De 5000 € a 20 000 000 € ou 4% do volume de negócios anual, a nível mundial, conforme o que for mais elevado, tratando-se de grande empresa; b) De 2000 € a 2 000 000 € ou 4% do volume de negócios anual, a nível mundial, conforme o que for mais elevado, tratando-se de pequena e média empresa; c) De 1000 € a 500 000 €, tratando-se de pessoa singular. 4 - A prática das contraordenações previstas no n.o 2 é punida com coima: a) De 2500 € a 10 000 000 € ou 2% do volume de negócios anual, a nível mundial, conforme o que for mais elevado, tratando-se de grande empresa; b) De 1000 € a 1 000 000 € ou 2% do volume de negócios anual, a nível mundial, conforme o que for mais elevado, tratando-se de pequena e média empresa; c) De 500 € a 250 000 €, tratando-se de pessoa singular. 5 - O disposto nos números anteriores aplica-se de igual modo às entidades públicas e privadas, sem prejuízo de as entidades públicas, mediante pedido devidamente fundamentado, poderem solicitar à CNPD a dispensa da aplicação de coimas durante o prazo de três anos a contar da entrada em vigor da presente lei. SECÇÃO II Crimes Artigo 53.o Acesso indevido aos dados 1 - Quem, sem a devida autorização ou justificação, aceder, por qualquer modo, a dados pessoais tratados ao abrigo da presente lei, é punido com pena de prisão até um ano ou com pena de multa até 120 dias. 2 - A pena é agravada para o dobro nos seus limites quando o acesso: a) For conseguido através de violação de regras técnicas de segurança; b) Tiver proporcionado ao agente ou a terceiros benefício ou vantagem patrimonial; ou c) Tiver prejudicado inquéritos, investigações, processos judiciais ou a execução de sanções penais. Artigo 54.o Desvio de dados 1 - Quem copiar, subtrair, ceder ou transferir, a título oneroso ou gratuito, dados pessoais tratados ao abrigo da presente lei, sem previsão legal ou consentimento, é punido com pena de prisão até 2 anos ou com pena de multa até 240 dias. 2 - A pena é agravada para o dobro nos seus limites quando a conduta:
22 DE JULHO DE 2019 75 a) For conseguida através de violação de regras técnicas de segurança; b) Tiver proporcionado ao agente ou a terceiros benefício ou vantagem patrimonial; ou c) Tiver prejudicado inquéritos, investigações, processos judiciais ou a execução de sanções penais. Artigo 55.o Utilização de dados de forma incompatível com a finalidade da recolha Quem utilizar dados pessoais tratados ao abrigo da presente lei de forma incompatível com a finalidade determinante da respetiva recolha é punido com pena de prisão até 2 anos ou com pena de multa até 240 dias. Artigo 56.o Interconexão ilegal de dados Quem, intencionalmente, promover ou efetuar uma interconexão ilegal de dados pessoais tratados ao abrigo da presente lei, é punido com pena de prisão até 2 anos ou com pena de multa até 240 dias. Artigo 57.o Viciação ou destruição de dados 1 - Quem, sem a devida autorização ou justificação, apagar, destruir, danificar, ocultar, suprimir ou modificar dados pessoais tratados ao abrigo da presente lei, tornando-os inutilizáveis ou afetando o seu potencial de utilização, é punido com pena de prisão até 2 anos ou com pena de multa até 240 dias. 2 - A pena é agravada para o dobro nos seus limites se o dano produzido for particularmente grave. 3 - Nas situações previstas nos números anteriores, se o agente atuar com negligência, é punido: a) Com pena de prisão até 1 ano ou com pena de multa até 120 dias, no caso previsto no n.o 1; b) Com pena de prisão até 2 anos ou multa até 240 dias, no caso previsto no n.o 2. Artigo 58.o Violação do dever de sigilo 1 - Quem, obrigado a sigilo profissional nos termos da lei, sem justa causa e sem o devido consentimento, revelar ou divulgar, no todo ou em parte, dados pessoais tratados ao abrigo da presente lei, é punido com pena de prisão até 2 anos ou com pena de multa até 240 dias. 2 - A pena é agravada para o dobro nos seus limites se o agente: a) For funcionário ou equiparado, nos termos da lei penal, advogado ou solicitador; b) For encarregado de proteção de dados; c) For determinado pela intenção de obter qualquer vantagem patrimonial ou outro benefício ilegítimo; d) Puser em perigo a reputação, a honra ou a intimidade da vida privada de terceiros; ou e) Tiver prejudicado inquéritos, investigações, processos judiciais ou a execução de sanções penais. 3 - A negligência é punível com pena de prisão até 6 meses ou com pena de multa até 120 dias. Artigo 59.o Desobediência qualificada 1 - Quem não cumprir as obrigações previstas na presente lei, depois de ultrapassado o prazo que tiver sido fixado pela autoridade de controlo para o respetivo cumprimento é punido com a pena correspondente ao crime de desobediência qualificada. 2 - Incorre na mesma pena do número anterior quem, depois de notificado:
II SÉRIE-A — NÚMERO 131 76 a) Não disponibilizar os registos cronológicos à CNPD, nos termos do n.o 4 do artigo 27.o; b) Recusar, sem justa causa, a colaboração que concretamente lhe for exigida nos termos do artigo 28.o; c) Recusar o acesso previsto no n.o 2 do artigo 45.o; d) Não cumprir ordem dada nos termos da alínea b) do n.o 3 do artigo 45.o, em especial não proceder ao apagamento ou retificação de dados pessoais; e) Não respeitar a imposição de limitação temporária ou definitiva ao tratamento de dados pessoais, nos termos da alínea c) do n.o 3 do artigo 45.o. Artigo 60.o Inserção de dados falsos 1 - Quem inserir ou facilitar a inserção de dados pessoais falsos, com a intenção de obter vantagem indevida para si ou para terceiro, ou para causar prejuízo, é punido com pena de prisão até 2 anos ou com pena de multa até 240 dias. 2 - A pena é agravada para o dobro nos seus limites se da inserção referida no número anterior resultar um prejuízo efetivo. Artigo 61.o Punibilidade da tentativa Nos crimes previstos no presente capítulo, a tentativa é sempre punível. Artigo 62.o Responsabilidade das pessoas coletivas As pessoas coletivas e entidades equiparadas, com exceção do Estado, de pessoas coletivas no exercício de prerrogativas de poder público e de organizações de direito internacional público, são responsáveis pelos crimes previstos na presente secção, nos termos do artigo 11.o do Código Penal. SECÇÃO III Disposições comuns Artigo 63.o Concurso de infrações 1 - Se o mesmo facto constituir simultaneamente crime e contraordenação, o agente é sempre punido a título de crime. 2 - Quando se verifique concurso de crime e contraordenação, ou quando, pelo mesmo facto, uma pessoa deva responder a título de crime e outra a título de contraordenação, o processamento da contraordenação cabe às autoridades competentes para o processo criminal, nos termos do regime geral do ilícito de mera ordenação social. Artigo 64.o Pena acessória Conjuntamente com as penas previstas no presente capítulo, podem ser aplicadas as sanções acessórias previstas no artigo 56.o da Lei n.o [PPL 120/XIII].Artigo 65.o Aplicabilidade de outros regimes sancionatórios 1 - O disposto no presente capítulo não prejudica a aplicação dos artigos 37.o a 56.o da Lei n.o [PPL 120/XIII], ou das disposições do Código Penal, se de tal aplicação resultar, em concreto, uma sanção mais
22 DE JULHO DE 2019 77 grave. 2 - O disposto no presente capítulo não prejudica a aplicação da Lei n.o 109/2009, de 15 de setembro. Artigo 66.o Responsabilidade civil e disciplinar O disposto no presente capítulo não prejudica a efetivação da responsabilidade civil nem da responsabilidade disciplinar. CAPÍTULO IX Disposições finais e transitórias Artigo 67.o Relação com outros atos jurídicos da União Europeia e acordos internacionais em vigor 1 - As disposições específicas de proteção de dados pessoais previstas em atos jurídicos da União Europeia adotados antes de 6 de maio de 2016 no domínio da cooperação judiciária em matéria penal e da cooperação policial, que regulem o tratamento entre os Estados-Membros e o acesso das autoridades designadas dos Estados-Membros aos sistemas de informação criados por força dos Tratados, mantêm-se inalteradas. 2 - Os acordos internacionais que impliquem a transferência de dados pessoais para países terceiros ou para organizações internacionais, celebrados pelo Estado Português antes de 6 de maio de 2016, e que sejam conformes com o direito da União Europeia aplicável antes dessa data, continuam a vigorar até serem alterados, substituídos ou revogados. 3 - Todas as referências feitas à Lei da Proteção de Dados Pessoais, aprovada pela Lei n.o 67/98, de 26 de outubro, consideram-se feitas para o regime da presente lei, quando disserem respeito à proteção das pessoas singulares relativamente ao tratamento de dados pessoais pelas autoridades competentes para efeitos de prevenção, deteção, investigação ou repressão de infrações penais ou de execução de sanções penais, incluindo a salvaguarda e a prevenção de ameaças à segurança pública. Artigo 68.o Dados referentes ao sistema judiciário 1 – O tratamento de dados constante de processo penal, de decisão judicial ou do registo criminal é regulado nos termos da lei processual penal. 2 – Ao tratamento de dados referentes ao sistema judicial é aplicável o regime jurídico próprio, constante da Lei n.o 34/2009, de 14 de julho. Artigo 69.o Sistema integrado de informação criminal O disposto na presente lei não implica qualquer restrição ou limitação na partilha e intercâmbio de dados entre os órgãos de polícia criminal e destes com as autoridades judiciárias, no âmbito do dever de cooperação estabelecido na lei de organização da investigação criminal, designadamente do sistema integrado de informação criminal instituído nos termos da Lei n.o 73/2009, de 12 de agosto, alterada pela Lei n.o 38/2015, de 11 de maio. Artigo 70.o Regime transitório 1 - A conformação dos sistemas de tratamento automatizado criados antes de 6 de maio de 2016 com os
II SÉRIE-A — NÚMERO 131 78 requisitos previstos no artigo 27.o deve ser assegurada pelos responsáveis pelo tratamento logo que possível, até 6 de maio de 2023, ou, quando o cumprimento deste prazo cause graves dificuldades ao funcionamento de um sistema de tratamento automatizado, até 6 de maio de 2026. 2 - Sem prejuízo do disposto no número anterior, o responsável pelo tratamento de dados deve dispor de métodos eficazes para, até ao final do prazo de conformação, poder demonstrar a licitude do tratamento de dados, permitir o autocontrolo e garantir a integridade e segurança dos dados, tais como registos cronológicos ou outros. Artigo 71.o Entrada em vigor A presente lei entra em vigor no dia seguinte ao da sua publicação. Aprovado em 14 de junho de 2019. O Presidente da Assembleia da República, Eduardo Ferro Rodrigues. ——— DECRETO DA ASSEMBLEIA DA REPÚBLICA N.o 337/XIII REGULA O EXERCÍCIO DA PROFISSÃO DE CRIMINÓLOGOA Assembleia da República decreta, nos termos da alínea c) do artigo 161.o da Constituição, o seguinte: CAPÍTULO I Disposições gerais Artigo 1.o Objeto A presente lei procede à definição dos princípios gerais relativos ao exercício profissional dos criminólogos, reconhecendo e regulamentando a profissão de «criminólogo». Artigo 2.o Âmbito 1 – São abrangidos pelo presente regime todos os criminólogos que exerçam a sua atividade no território nacional, em regime de trabalho subordinado ou de forma independente. 2 – O exercício das funções de criminólogo em regime profissional depende da criação da profissão de criminólogo. 3 – O presente regime é vinculativo para todas as entidades empregadoras dos setores público, privado, cooperativo e social. Artigo 3.o Conceitos e competências 1 – Para os devidos efeitos, considera-se:
22 DE JULHO DE 2019 79 a) «Criminologia» a profissão que, na área das ciências sociais, analisa e estuda o fenómeno criminal, presta apoio às instituições de controlo e colabora na realização da prova pericial, entre outros atos de natureza análoga; b) «Criminólogo» o profissional habilitado com uma licenciatura em Criminologia, legalmente reconhecida. 2 – No exercício das suas funções, os criminólogos: a) Estudam os fenómenos criminógenos; b) Analisam os métodos utilizados no cometimento do crime, com o propósito de auxiliar à descoberta do crime; c) Estudam os fenómenos e causas da delinquência, da vitimação, da criminalidade e da sua relação com a segurança e do alarme social da reação social ao crime; d) Prestam apoio às autoridades judiciárias na produção da prova pericial requerida ao abrigo do n.o 6 do artigo 159.o e do n.o 2 do artigo 160.o do Código de Processo Penal, quando solicitados; e) Desempenham quaisquer outras funções, no âmbito da sua formação, para as quais a lei lhes atribua competência. CAPÍTULO II Exercício da profissão Artigo 4.o Funções dos criminólogos 1 – São funções dos criminólogos: a) Análise criminológica; b) Investigação criminal; c) Conceção e execução de programas de prevenção da criminalidade e de avaliação do risco de reincidência; d) Intervenção comunitária e conceção de políticas sociais e penais; e) Investigação científica e ensino, no âmbito da sua formação. 2 – Para efeitos do número anterior, os criminólogos podem exercer a sua atividade profissional, nomeadamente, em: a) Tribunais; b) Gabinetes de mediação; c) Estabelecimentos prisionais; d) Serviços de reinserção social; e) Avaliação de risco e competências do ofensor; f) Centros educativos para menores delinquentes; g) Centros e projetos de prevenção e tratamento da toxicodependência; h) Órgãos de polícia criminal; i) Equipas de gestão e local de crime; j) Laboratórios de polícia técnico-científica; k) Serviços de inspeção; l) Serviços de informações; m) Comissões de proteção de crianças e jovens; n) Centros de acolhimento e de assistência a vítimas; o) Autarquias locais;
II SÉRIE-A — NÚMERO 131 80 p) Polícia municipal; q) Forças e serviços de segurança; r) Empresas de segurança privada; s) Projetos de investigação científica; t) Universidades. 3 – As competências atribuídas na presente lei não podem prejudicar as competências próprias de outros profissionais definidas por lei. Artigo 5.o Modalidades do exercício da profissão 1 – A profissão de criminólogo pode ser exercida por conta própria, quer em nome individual quer em sociedade, ou por conta de outrem, tanto no setor público como no setor privado. 2 – O exercício da atividade profissional por conta de outrem não afeta a autonomia técnica nem dispensa o cumprimento dos deveres deontológicos. Artigo 6.o Deontologia profissional Constituem princípios de conduta profissional dos criminólogos: a) Pautar a sua ação, nas diferentes áreas de atuação profissional, pelos princípios éticos que regem a sua atividade; b) Cumprir e fazer cumprir todas as normas legais e regulamentares aplicáveis à profissão; c) Atuar com independência e isenção profissional; d) Respeitar e defender o respeito pela confidencialidade; e) Respeitar as incompatibilidades e os impedimentos legais. CAPÍTULO III Disposições transitórias e finais Artigo 7.o Profissão de criminólogo A profissão de criminólogo é criada por lei. Artigo 8.o Regulamentação O Governo regulamenta, nos 60 dias seguintes à publicação desta lei, as matérias de foro disciplinar a que ficam sujeitos os profissionais da criminologia. Artigo 9.o Reconhecimento da profissão de criminólogo As entidades fornecedoras de dados estatísticos, 30 dias após a publicação da presente lei, tomam as diligências necessárias ao reconhecimento da profissão de criminólogo.
22 DE JULHO DE 2019 81 Artigo 10.o Entrada em vigor A presente lei entra em vigor 30 dias após a sua publicação. Aprovado em 7 de junho de 2019. O Presidente da Assembleia da República, Eduardo Ferro Rodrigues. ——— DECRETO DA ASSEMBLEIA DA REPÚBLICA N.o 339/XIII ASSEGURA A EXECUÇÃO, NA ORDEM JURÍDICA NACIONAL, DO REGULAMENTO (UE) 2016/679 DO PARLAMENTO E DO CONSELHO, DE 27 DE ABRIL DE 2016, RELATIVO À PROTEÇÃO DAS PESSOAS SINGULARES NO QUE DIZ RESPEITO AO TRATAMENTO DE DADOS PESSOAIS E À LIVRE CIRCULAÇÃO DESSES DADOS A Assembleia da República decreta, nos termos da alínea c) do artigo 161.o da Constituição, o seguinte: CAPÍTULO I Disposições gerais Artigo 1.o Objeto A presente lei assegura a execução, na ordem jurídica interna, do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados, doravante designado abreviadamente por Regulamento Geral de Proteção de Dados (RGPD). Artigo 2.o Âmbito de aplicação 1 - A presente lei aplica-se aos tratamentos de dados pessoais realizados no território nacional, independentemente da natureza pública ou privada do responsável pelo tratamento ou do subcontratante, mesmo que o tratamento de dados pessoais seja efetuado em cumprimento de obrigações legais ou no âmbito da prossecução de missões de interesse público, aplicando-se todas as exclusões previstas no artigo 2.o do RGPD. 2 - A presente lei aplica-se ainda aos tratamentos de dados pessoais realizados fora do território nacional quando: a) Sejam efetuados no âmbito da atividade de um estabelecimento situado no território nacional; ou b) Afetem titulares de dados que se encontrem no território nacional, quando as atividades de tratamento estejam subordinadas ao disposto no n.o 2 do artigo 3.o do RGPD; ou c) Afetem dados que estejam inscritos nos postos consulares de que sejam titulares portugueses residentes no estrangeiro. 3 - A presente lei não se aplica aos ficheiros de dados pessoais constituídos e mantidos sob a
II SÉRIE-A — NÚMERO 131 82 responsabilidade do Sistema de Informações da República Portuguesa, que se rege por disposições específicas, nos termos da lei. CAPÍTULO II Comissão Nacional de Proteção de Dados Artigo 3.o Autoridade de controlo nacional AComissão Nacional de Proteção de Dados (CNPD) é a autoridade de controlo nacional para efeitos do RGPD e da presente lei. Artigo 4.o Natureza e independência 1 - A CNPD é uma entidade administrativa independente, com personalidade jurídica de direito público e poderes de autoridade, dotada de autonomia administrativa e financeira, que funciona junto da Assembleia da República. 2 - A CNPD controla e fiscaliza o cumprimento do RGPD e da presente lei, bem como das demais disposições legais e regulamentares em matéria de proteção de dados pessoais,a fim de defender os direitos, liberdades e garantias das pessoas singulares no âmbito dos tratamentos de dados pessoais. 3 - A CNPD age com independência na prossecução das suas atribuições e no exercício dos poderes que lhe são atribuídos pela presente lei. 4 - Os membros da CNPD ficam sujeitos ao regime de incompatibilidades estabelecido para os titulares de altos cargos públicos, não podendo, durante o seu mandato, desempenhar outra atividade, remunerada ou não, com exceção da atividade de docência no ensino superior e de investigação. Artigo 5.o Composição e funcionamento A composição, o modo de designação e o estatuto remuneratório dos membros da CNPD, bem como a respetiva orgânica e quadro de pessoal, são aprovados por lei da Assembleia da República.Artigo 6.o Atribuições e competências 1 - Para além do disposto no artigo 57.o do RGPD, a CNPD prossegue as seguintes atribuições: a) Pronunciar-se, a título não vinculativo, sobre as medidas legislativas e regulamentares relativas à proteção de dados pessoais, bem como sobre instrumentos jurídicos em preparação, em instituições europeias ou internacionais, relativos à mesma matéria; b) Fiscalizar o cumprimento das disposições do RGPD e das demais disposições legais e regulamentares relativas à proteção de dados pessoais e dos direitos, liberdades e garantias dos titulares dos dados, e corrigir e sancionar o seu incumprimento; c) Disponibilizar uma lista de tratamentos sujeitos à avaliação do impacto sobre a proteção de dados, nos termos do n.o 4 do artigo 35.o do RGPD, definindo igualmente critérios que permitam densificar a noção de elevado risco prevista nesse artigo; d) Elaborar e apresentar ao Comité Europeu para a Proteção de Dados, previsto no RGPD, os projetos de critérios para a acreditação dos organismos de monitorização de códigos de conduta e dos organismos de certificação, nos termos dos artigos 41.o e 43.o do RGPD, e assegurar a posterior publicação dos critérios, caso sejam aprovados;
22 DE JULHO DE 2019 83 e) Cooperar com o Instituto Português de Acreditação, I.P. (IPAC, I.P.), relativamente à aplicação do disposto no artigo 14.o da presente lei, bem como na definição de requisitos adicionais de acreditação, tendo em vista a salvaguarda da coerência de aplicação do RGPD. 2 - A CNPD exerce as competências previstas no artigo 58.o do RGPD. Artigo 7.o Avaliações prévias de impacto 1 - Nos termos do n.o 5 do artigo 35.o do RGPD, a CNPD difunde uma lista de tipos de tratamentos de dados cuja avaliação prévia de impacto não é obrigatória. 2 - O disposto no número anterior não impede os responsáveis pelo tratamento de efetuar uma avaliação prévia de impacto por iniciativa própria. 3 - As listas referidas nos n.os 4 e 5 do artigo 35.o do RGPD são publicitadas no sítio da CNPD na Internet. Artigo 8.o Dever de colaboração 1 - As entidades públicas e privadas devem prestar a sua colaboração à CNPD, facultando-lhe todas as informações que por esta lhes sejam solicitadas, no exercício das suas atribuições e competências. 2 - O dever de colaboração é assegurado, designadamente, quando a CNPD tiver necessidade, para o cabal exercício das suas funções, de examinar o sistema informático e os ficheiros de dados pessoais, bem como toda a documentação relativa ao tratamento e transmissão de dados pessoais. 3 - Os membros da CNPD, bem como os seus trabalhadores, prestadores de serviços ou pessoas por si mandatadas, estão obrigados ao dever de sigilo profissional, nomeadamente quanto aos dados pessoais, segredo profissional, segredo industrial ou comercial ou informações confidenciais a que tenham acesso no exercício das suas funções. 4 - O dever de sigilo mantém-se após o termo das respetivas funções. 5 - O dever de colaboração previsto nos números anteriores, bem como os poderes de fiscalização da CNPD, não prejudicam o dever de segredo a que o responsável pelo tratamento esteja obrigado nos termos da lei ou de normas internacionais. CAPÍTULO III Encarregado de proteção de dados Artigo 9.o Disposição geral 1- O encarregado de proteção de dados é designado com base nos requisitos previstos no n.o 5 do artigo 37.o do RGPD, não carecendo de certificação profissional para o efeito. 2- Independentemente da natureza da sua relação jurídica, o encarregado de proteção de dados exerce a sua função com autonomia técnica perante a entidade responsável pelo tratamento ou subcontratante. Artigo 10.o Dever de sigilo e confidencialidade 1 – De acordo com o disposto no n.o 5 do artigo 38.o do RGPD, o encarregado de proteção de dados está obrigado a um dever de sigilo profissional em tudo o que diga respeito ao exercício dessas funções, que se mantém após o termo das funções que lhes deram origem. 2 – O encarregado de proteção de dados, bem como os responsáveis pelo tratamento de dados, incluindo os subcontratantes, e todas as pessoas que intervenham em qualquer operação de tratamento de dados,
II SÉRIE-A — NÚMERO 131 84 estão obrigados a um dever de confidencialidade que acresce aos deveres de sigilo profissional previsto na lei. Artigo 11.o Funções do encarregado de proteção de dados Para além do disposto nos artigos 37.o a 39.o do RGPD, são funções do encarregado de proteção de dados: a) Assegurar a realização de auditorias, quer periódicas, quer não programadas; b) Sensibilizar os utilizadores para a importância da deteção atempada de incidentes de segurança e para a necessidade de informar imediatamente o responsável pela segurança; c) Assegurar as relações com os titulares dos dados nas matérias abrangidas pelo RGPD e pela legislação nacional em matéria de proteção de dados. Artigo 12.o Encarregados de proteção de dados em entidades públicas 1 -  Nos termos da alínea a) do n.o 1 do artigo 37.o do RGPD, é obrigatória a designação de encarregados de proteção de dados nas entidades públicas, de acordo com o disposto nos números seguintes.  2 -  Para efeitos do número anterior, entende-se por entidades públicas: a) O Estado; b) As regiões autónomas; c) As autarquias locais e as entidades supranacionais previstas na lei; d) As entidades administrativas independentes e o Banco de Portugal; e) Os institutos públicos; f) As instituições de ensino superior públicas, independentemente da sua natureza; g) As empresas do setor empresarial do Estado e dos setores empresariais regionais e locais; h) As associações públicas. 3 -  Independentemente de quem seja responsável pelo tratamento, existe pelo menos um encarregado de proteção de dados: a) Por cada ministério ou área governativa, no caso do Estado, sendo designado pelo respetivo ministro, com faculdade de delegação em qualquer secretário de Estado que o coadjuvar; b) Por cada secretaria regional, no caso das regiões autónomas, sendo designado pelo respetivo secretário regional, com faculdade de delegação em dirigente superior de 1.o grau; c) Por cada município, sendo designado pela câmara municipal, com faculdade de delegação no presidente e subdelegação em qualquer vereador; d) Nas freguesias em que tal se justifique, nomeadamente naquelas com mais de 750 habitantes, sendo designado pela junta de freguesia, com faculdade de delegação no presidente; e) Por cada entidade, no caso das demais entidades referidas no número anterior, sendo designada pelo respetivo órgão executivo, de administração ou gestão, com faculdade de delegação no respetivo presidente. 4 -  Nos termos do n.o 3 do artigo 37.o do RGPD, pode ser designado o mesmo encarregado de proteção de dados para vários ministérios ou áreas governativas, secretarias regionais, autarquias locais ou outras pessoas coletivas públicas. 5 -  Cabe a cada entidade a designação do encarregado de proteção de dados, não sendo obrigatório o exercício de funções em regime de exclusividade.6 -  O encarregado de proteção de dados de uma entidade pública que tenha atribuições de regulação ou controlo não pode exercer essas funções simultaneamente em entidade sujeita ao controlo, ou inserida no perímetro regulatório daquela entidade.
22 DE JULHO DE 2019 85 Artigo 13.o Encarregados de proteção de dados em entidades privadas O responsável pelo tratamento e o subcontratante designam um encarregado de proteção de dados sempre que a atividade privada desenvolvida, a título principal, implique: a) Operações de tratamento que, devido à sua natureza, âmbito e/ou finalidade, exijam um controlo regular e sistemático dos titulares dos dados em grande escala; ou b) Operações de tratamento em grande escala das categorias especiais de dados nos termos do artigo 9.o do RGPD, ou de dados pessoais relacionados com condenações penais e contraordenacionais nos termos do artigo 10.o do RGPD.  CAPÍTULO IV Acreditação, certificação e códigos de conduta Artigo 14.o Acreditação e certificação 1 - Nos termos da alínea b) do n.o 1 do artigo 43.o do RGPD, a autoridade competentepara a acreditaçãodos organismos de certificação em matéria de proteção de dados é o IPAC, IP. 2 - O ato de acreditação emitido pelo IPAC, IP, deve tomar em consideração os requisitos previstos no RGPD, bem como os requisitos adicionais estabelecidos pela CNPD. 3 - A certificação, bem como a emissão de selos e marcas de proteção de dados, é efetuada por organismos de certificação acreditados nos termos do n.o 1, destinando-se a atestar que os procedimentos implementados cumprem o disposto no RGPD e na presente lei. Artigo 15.o Códigos de conduta 1 -  Compete à CNPD fomentar a elaboração de códigos de conduta que regulem atividades determinadas, os quais devem tomar em atenção as necessidades específicas das micro, pequenas e médias empresas. 2 -  O tratamento de dados pessoais pela administração direta e indireta do Estado é objeto de códigos de conduta próprios. CAPÍTULO V Disposições especiais Artigo 16.o Consentimento de menores 1 - Nos termos do artigo 8.o do RGPD, os dados pessoais de crianças só podem ser objeto de tratamento com base no consentimento previsto na alínea a) do n.o 1 do artigo 6.o do RGPD e relativo à oferta direta de serviços da sociedade de informação quando as mesmas já tenham completado 13 anos de idade. 2 - Caso a criança tenha idade inferior a 13 anos, o tratamento só é lícito se o consentimento for dado pelos representantes legais desta, de preferência com recurso a meios de autenticação segura.
II SÉRIE-A — NÚMERO 131 90 2 - As bases de dados de saúde ou registos centralizados assentes nas plataformas únicas referidas no número anterior devem preencher os requisitos de segurança e de inviolabilidade previstos no RGPD. Artigo 31.o Tratamentos para fins de arquivo de interesse público, fins de investigação científica ou histórica ou fins estatísticos 1 - O tratamento para fins de arquivo de interesse público, fins de investigação científica ou histórica ou fins estatísticos deve respeitar o princípio da minimização dos dados e incluir a anonimização ou a pseudonimização dos mesmos sempre que os fins visados possam ser atingidos por uma destas vias. 2 - Quando os dados pessoais sejam tratados para fins de arquivo de interesse público, fins de investigação científica ou histórica ou fins estatísticos, ficam prejudicados os direitos de acesso, retificação, limitação do tratamento e de oposição previstos nos artigos 15.o, 16.o, 18.o e 21.o do RGPD, na medida do necessário, se esses direitos forem suscetíveis de tornar impossível ou prejudicar gravemente a realização desses fins. 3 - Ao tratamento de dados pessoais para fins de arquivo de interesse público é aplicável o Decreto-Lei n.o 16/93, de 23 de janeiro, na sua redação atual. 4 - O consentimento relativo ao tratamento de dados para fins de investigação científica pode abranger diversas áreas de investigação ou ser dado unicamente para determinados domínios ou projetos de investigação específicos, devendo em qualquer caso ser respeitados os padrões éticos reconhecidos pela comunidade científica. 5 - Sem prejuízo do disposto na Lei do Sistema Estatístico Nacional, os dados pessoais tratados para fins estatísticos devem ser anonimizados ou pseudonimizados, de modo a acautelar a tutela dos titulares dos dados, nomeadamente no que respeita à impossibilidade de reidentificação logo que concluída a operação estatística. CAPÍTULO VII Tutela administrativa e jurisdicional SECÇÃO I Disposições gerais Artigo 32.o Tutela administrativa Sem prejuízo do direito de apresentação de queixa à CNPD, qualquer pessoa pode recorrer a meios de tutela administrativa, designadamente de cariz petitório ou impugnatório, para garantir o cumprimento das disposições legais em matéria de proteção de dados pessoais, nos termos previstos no Código do Procedimento Administrativo. Artigo 33.o Responsabilidade civil 1 - Qualquer pessoa que tenha sofrido um dano devido ao tratamento ilícito de dados ou a qualquer outro ato que viole disposições do RGPD ou da lei nacional em matéria de proteção de dados pessoais, tem o direito de obter do responsável ou subcontratante a reparação pelo dano sofrido. 2 - O responsável pelo tratamento e o subcontratante não incorrem em responsabilidade civil se provarem que o facto que causou o dano não lhes é imputável. 3 - À responsabilidade do Estado e demais pessoas coletivas públicas é aplicável o regime previsto na Lei n.o 67/2007, de 31 de dezembro, alterado pela Lei n.o 31/2008, de 17 de julho.
22 DE JULHO DE 2019 91 Artigo 34.o Tutela jurisdicional 1 - Qualquer pessoa, de acordo com as regras gerais de legitimidade processual, pode propor ações contra as decisões, nomeadamente de natureza contraordenacional, e omissões da CNPD, bem como ações de responsabilidade civil pelos danos que tais atos ou omissões possam ter causado. 2 - As ações propostas contra a CNPD são da competência dos tribunais administrativos. 3 - O titular dos dados pode propor ações contra o responsável pelo tratamento ou o subcontratante, incluindo ações de responsabilidade civil. 4 - As ações intentadas contra o responsável pelo tratamento ou um subcontratante são propostas nos tribunais nacionais se o responsável ou subcontratante tiver estabelecimento em território nacional ou se o titular dos dados aqui residir habitualmente. Artigo 35.o Representação dos titulares dos dados Sem prejuízo da observância das regras relativas ao patrocínio judiciário, o titular dos dados tem o direito de mandatar um organismo, uma organização ou uma associação sem fins lucrativos constituída em conformidade com o direito nacional, cujos fins estatutários sejam de interesse público e cuja atividade abranja a defesa dos direitos, liberdades e garantias do titular dos dados quanto à proteção de dados pessoais para, em seu nome, exercer os direitos previstos nos artigos 77.o, 78.o, 79.o e 82.o do RGPD. Artigo 36.o Legitimidade da CNPD A CNPD tem legitimidade para intervir em processos judiciais no caso de violação das disposições do RGPD e da presente lei, e deve denunciar ao Ministério Público as infrações penais de que tiver conhecimento, no exercício das suas funções e por causa delas, bem como praticar os atos cautelares necessários e urgentes para assegurar os meios de prova. SECÇÃO II Contraordenações Artigo 37.o Contraordenações muito graves 1 - Constituem contraordenações muito graves: a) Os tratamentos de dados pessoais com inobservância dolosa dos princípios consagrados no artigo 5.o do RGDP; b) Os tratamentos de dados pessoais que não tenham por base o consentimento ou outra condição de legitimidade, nos termos do artigo 6.o do RGPD ou de norma nacional; c) O incumprimento das regras relativas à prestação do consentimento previstas no artigo 7.o do RGPD; d) Os tratamentos de dados pessoais previstos no n.o 1 do artigo 9.o do RGPD sem que se verifique uma das circunstâncias previstas no n.o 2 do mesmo artigo; e) Os tratamentos de dados pessoais previstos no artigo 10.o do RGPD que contrariem as regras aí previstas; f) A exigência do pagamento de uma quantia em dinheiro fora dos casos previstos no n.o 5 do artigo 12.o do RGPD; g) A exigência do pagamento de uma quantia em dinheiro, nos casos previstos no n.o 5 do artigo 12.o do RGPD, que exceda os custos necessários para satisfazer o direito do titular dos dados; h) A não prestação de informação relevante nos termos dos artigos 13.o e 14.o do RGPD, o que ocorre nas
II SÉRIE-A — NÚMERO 131 92 seguintes circunstâncias: i) Omissão de informação das finalidades a que se destina o tratamento; ii) Omissão de informação acerca dos destinatários ou categorias de destinatários dos dados pessoais; iii) Omissão de informação acerca do direito de retirar o consentimento nos casos previstos na alínea a)do n.o 1 do artigo 6.o e na alínea a) do n.o 2 do artigo 9.o do RGPD; i) Não permitir, não assegurar ou dificultar o exercício dos direitos previstos nos artigos 15.o a 22.o do RGPD; j) A transferência internacional de dados pessoais em violação do disposto nos artigos 44.o a 49.o do RGPD; k) O incumprimento das decisões da autoridade de controlo previstas no n.o 2 do artigo 58.o do RGPD, ou recusa da colaboração que lhe seja exigida pela CNPD, no exercício dos seus poderes; l) A violação das regras previstas no capítulo VI da presente lei. 2 - As contraordenações referidas no número anterior são punidas com coima: a)  De 5000 € a 20 000 000 € ou 4% do volume de negócios anual, a nível mundial, conforme o que for mais elevado, tratando-se de grande empresa; b) De 2000 € a 2 000 000 € ou 4% do volume de negócios anual, a nível mundial, conforme o que for mais elevado, tratando-se de PME; c) De 1000 € a 500 000 €, no caso de pessoas singulares. Artigo 38.o Contraordenações graves 1 - Constituem contraordenações graves: a) A violação do disposto no artigo 8.o do RGPD; b) A não prestação da restante informação prevista nos artigos 13.o e 14.o do RGPD; c) A violação do disposto nos artigos 24.o e 25.o do RGPD; d) A violação das obrigações previstas no artigo 26.o do RGPD; e) A violação do disposto no artigo 27.o do RGPD; f) A violação das obrigações previstas no artigo 28.o do RGPD; g) A violação do disposto no artigo 29.o do RGPD; h) A ausência de registo dos tratamentos de dados pessoais em violação do disposto no artigo 30.o do RGPD; i) A violação das regras de segurança previstas no artigo 32.o do RGPD; j) O incumprimento dos deveres previstos no artigo 33.o do RGPD; k) O incumprimento do dever de informar o titular dos dados pessoais nas situações previstas no artigo 34.o do RGPD; l) O incumprimento da obrigação de realizar avaliações de impacto nos casos previstos no artigo 35.o do RGPD; m) O incumprimento da obrigação de consultar a autoridade de controlo previamente à realização de operações de tratamento de dados nos casos previstos no artigo 36.o do RGPD; n) O incumprimento dos deveres previstos no artigo 37.o do RGPD; o) A violação do disposto no artigo 38.o do RGPD, nomeadamente no que respeita às garantias de independência do encarregado de proteção de dados; p) O incumprimento dos deveres previstos no artigo 39.o do RGPD; q) A prática de atos de supervisão de códigos de conduta por organismos não acreditados pela autoridade de controlo nos termos do artigo 41.o do RGPD; r) O incumprimento, por parte dos organismos de supervisão de códigos de conduta, do previsto no n.o 4
22 DE JULHO DE 2019 93 do artigo 41.o do RGPD; s) A utilização de selos ou marcas de proteção de dados que não tinham sido emitidos por organismos de certificação devidamente acreditados nos termos dos artigos 42.o e 43.o do RGPD; t) O incumprimento, por parte dos organismos de certificação, dos deveres previstos no artigo 43.o do RGPD; u) A violação do disposto no artigo 19.o da presente lei. 2 - As contraordenações referidas no número anterior são punidas com coima de: a) De 2500 € a 10 000 000 € ou 2% do volume de negócios anual, a nível mundial, conforme o que for mais elevado, tratando-se de grande empresa; b) De 1000 € a 1 000 000 € ou 2% do volume de negócios anual, a nível mundial, conforme o que for mais elevado, tratando-se de PME; c) De 500 € a 250 000 €, no caso de pessoas singulares. Artigo 39.o Determinação da medida da coima 1 -  Na determinação da medida da coima, a CNPD tem em conta, para além dos critérios estabelecidos no n.o 2 do artigo 83.o do RGPD: a) A situação económica do agente, no caso de pessoa singular, ou o volume de negócios e o balanço anual, no caso de pessoa coletiva; b) O caráter continuado da infração; c) A dimensão da entidade, tendo em conta o número de trabalhadores e a natureza dos serviços prestados. 2 -  Para efeitos da aplicação do disposto nos artigos anteriores, os conceitos de pequenas e médias empresas (PME) e grande empresa são os definidos na Recomendação n.o 2003/361/CE, da Comissão Europeia, de 6 de maio de 2003. 3 -  Exceto em caso de dolo, a instauração de processo de contraordenação depende de prévia advertência do agente, por parte da CNPD, para cumprimento da obrigação omitida ou reintegração da proibição violada em prazo razoável. Artigo 40.o Prescrição do procedimento por contraordenação O procedimento por contraordenação extingue-se por efeito da prescrição logo que sobre a prática da contraordenação hajam decorrido os seguintes prazos: a) Três anos, quando se trate de contraordenação muito grave; b) Dois anos, quando se trate de contraordenação grave. Artigo 41.o Prazo de prescrição das coimas As coimas previstas na presente lei prescrevem nos seguintes prazos: a) Três anos, no caso de coimas de montante superior a 100 000 €; b) Dois anos, no caso de coimas de montante igual ou inferior a 100 000 €.
II SÉRIE-A — NÚMERO 131 94 Artigo 42.o Destino das coimas O montante das coimas cobradas reverte em 60% para o Estado e em 40% para a CNPD. Artigo 43.o Cumprimento do dever omitido Sempre que a contraordenação resulte da omissão de um dever, a aplicação da sanção e o pagamento da coima não dispensam o infrator do seu cumprimento se este ainda for possível. Artigo 44.o Âmbito de aplicação das contraordenações 1 – As coimas previstas no RGPD e na presente lei aplicam-se de igual modo às entidades públicas e privadas. 2 – Nos termos do disposto no n.o 7 do artigo 83.o do RGPD, as entidades públicas, mediante pedido devidamente fundamentado, podem solicitar à CNPD a dispensa da aplicação de coimas durante o prazo de três anos a contar da entrada em vigor da presente lei. 3 – As entidades públicas estão sujeitas aos poderes de correção da CNPD, tal como previstos no RGPD e na presente lei, com exceção da aplicação de coimas nos termos definidos no número anterior. Artigo 45.o Regime subsidiário Em tudo o que não esteja previsto na presente lei em matéria contraordenacional, aplica-se o disposto no regime geral do ilícito de mera ordenação social. SECÇÃO III Crimes Artigo 46.o Utilização de dados de forma incompatível com a finalidade da recolha 1 - Quem utilizar dados pessoais de forma incompatível com a finalidade determinante da recolha é punido com pena de prisão até um ano ou com pena de multa até 120 dias. 2 - A pena é agravada para o dobro nos seus limites quando se tratar dos dados pessoais a que se referem os artigos 9.o e 10.o do RGPD. Artigo 47.o Acesso indevido 1 - Quem, sem a devida autorização ou justificação, aceder, por qualquer modo, a dados pessoais é punido com pena de prisão até um ano ou com pena de multa até 120 dias. 2 - A pena é agravada para o dobro nos seus limites quando se tratar dos dados pessoais a que se referem os artigos 9.o e 10.o do RGPD. 3 - A pena é também agravada para o dobro nos seus limites quando o acesso: a) For conseguido através de violação de regras técnicas de segurança; ou b) Tiver proporcionado ao agente ou a terceiros benefício ou vantagem patrimonial.
22 DE JULHO DE 2019 95 Artigo 48.o Desvio de dados 1 - Quem copiar, subtrair, ceder ou transferir, a título oneroso ou gratuito, dados pessoais sem previsão legal ou consentimento, independentemente da finalidade prosseguida, é punido com pena de prisão até 1 ano ou com pena de multa até 120 dias. 2 - A pena é agravada para o dobro nos seus limites quando se tratar dos dados pessoais a que se referem os artigos 9.o e 10.o do RGPD. 3 - A pena é também agravada para o dobro nos seus limites quando o acesso: a) For conseguido através de violação de regras técnicas de segurança; ou b) Tiver proporcionado ao agente ou a terceiros benefício ou vantagem patrimonial. Artigo 49.o Viciação ou destruição de dados 1 - Quem, sem a devida autorização ou justificação, apagar, destruir, danificar, ocultar, suprimir ou modificar dados pessoais, tornando-os inutilizáveis ou afetando o seu potencial de utilização, é punido com pena de prisão até 2 anos ou com pena de multa até 240 dias. 2 - A pena é agravada para o dobro nos seus limites se o dano produzido for particularmente grave. 3 - Nas situações previstas nos números anteriores, se o agente atuar com negligência é punido com pena de prisão: a) Até 1 ano ou multa até 120 dias, no caso previsto no n.o 1; b) Até 2 anos ou multa até 240 dias, no caso previsto no n.o 2. Artigo 50.o Inserção de dados falsos 1 - Quem inserir ou facilitar a inserção de dados pessoais falsos, com a intenção de obter vantagem indevida para si ou para terceiro, ou para causar prejuízo, é punido com pena de prisão até 2 anos ou com pena de multa até 240 dias. 2 - A pena é agravada para o dobro nos seus limites se da inserção referida no número anterior resultar um prejuízo efetivo. Artigo 51.o Violação do dever de sigilo 1 - Quem, obrigado a sigilo profissional nos termos da lei, sem justa causa e sem o devido consentimento, revelar ou divulgar no todo ou em parte dados pessoais é punido com pena de prisão até 1 ano ou com pena de multa até 120 dias. 2 - A pena é agravada para o dobro nos seus limites se o agente: a) For trabalhador em funções públicas ou equiparado, nos termos da lei penal; b) For encarregado de proteção de dados; c) For determinado pela intenção de obter qualquer vantagem patrimonial ou outro benefício ilegítimo; d) Puser em perigo a reputação, a honra ou a intimidade da vida privada de terceiros. 3 - A negligência é punível com pena de prisão até 6 meses ou com pena de multa até 60 dias.
II SÉRIE-A — NÚMERO 131 96 Artigo 52.o Desobediência 1 - Quem não cumprir as obrigações previstas no RGPD e na presente lei, depois de ultrapassado o prazo que tiver sido fixado pela CNPD para o respetivo cumprimento, é punido com pena de prisão até 1 ano ou com pena de multa até 120 dias. 2 - A pena é agravada para o dobro nos seus limites se, depois de notificado para o efeito, o agente: a) Não interromper, cessar ou bloquear o tratamento ilícito de dados; b) Não proceder ao apagamento ou destruição dos dados quando legalmente exigível, ou findo o prazo de conservação fixado nos termos da presente lei; ou c) Recusar, sem justa causa, a colaboração que lhe for exigida nos termos do artigo 8.o da presente lei. Artigo 53.o Punibilidade da tentativa Nos crimes previstos na presente secção, a tentativa é sempre punível. Artigo 54.o Responsabilidade das pessoas coletivas As pessoas coletivas e entidades equiparadas, com exceção do Estado, de pessoas coletivas no exercício de prerrogativas de poder público e de organizações de direito internacional público, são responsáveis pelos crimes previstos na presente secção, nos termos do artigo 11.o do Código Penal. SECÇÃO IV Disposições comuns Artigo 55.o Concurso de infrações 1 - Se o mesmo facto constituir simultaneamente crime e contraordenação, o agente é sempre punido a título de crime. 2 - Quando se verifique concurso de crime e contraordenação, ou quando, pelo mesmo facto, uma pessoa deva responder a título de crime e outra a título de contraordenação, o processamento da contraordenação cabe às autoridades competentes para o processo criminal, nos termos do regime geral do ilícito de mera ordenação social. Artigo 56.o Sanções acessórias 1 - Conjuntamente com as sanções aplicadas pode ser ordenada, acessoriamente, a proibição temporária ou definitiva do tratamento, o bloqueio, o apagamento ou a destruição total ou parcial dos dados. 2 - Tratando-se de crimes, ou de coimas de montante superior a 100 000 €, pode acessoriamente ser determinada a publicidade da condenação, por meio de extrato contendo a identificação do agente, os elementos da infração e as sanções aplicadas, no Portal do Cidadão, por período não inferior a 90 dias.