41 | II Série A - Número: 198 | 22 de Junho de 2012dados de localização que não sejam dados de tráfego, para além do necessário à transmissão de uma comunicação ou à faturação da mesma; g) «Violação de dados pessoais» uma violação da segurança que provoque, de modo acidental ou ilícito, a destruição, a perda, a alteração, a divulgação ou o acesso não autorizado a dados pessoais transmitidos, armazenados ou de outro modo tratados no contexto da prestação de serviços de comunicações eletrónicas acessíveis ao público.2 - É excluída da alínea a) do número anterior toda a informação difundida ao público em geral, através de uma rede de comunicações eletrónicas, que não possa ser relacionada com o assinante de um serviço de comunicações eletrónicas ou com qualquer utilizador identificável que receba a informação.3 - Salvo definição específica da presente lei, são aplicáveis as definições constantes da Lei de Proteção de Dados Pessoais e da Lei n.o 5/2004, de 10 de fevereiro, na redação que lhe foi dada pela Lei n.o 51/2011, de 13 de setembro (Lei das Comunicações Eletrónicas).CAPÍTULO II Segurança e confidencialidadeArtigo 3.o Segurança do processamento1 - As empresas que oferecem serviços de comunicações eletrónicas acessíveis ao público devem adotar as medidas técnicas e organizacionais adequadas para garantir a segurança dos seus serviços, se necessário, no que respeita à segurança de rede, em conjunto com o fornecedor da rede pública de comunicações.2 - O fornecedor de rede pública de comunicações que sirva de suporte a serviços de comunicações eletrónicas acessíveis ao público, prestados por outra empresa deve satisfazer os pedidos que esta lhe apresente e que sejam necessários para o cumprimento do regime fixado na presente lei.3 - As medidas referidas no n.o 1 devem ser adequadas à prevenção dos riscos existentes, tendo em conta a proporcionalidade dos custos da sua aplicação e o estado da evolução tecnológica.4 - O ICP-Autoridade Nacional de Comunicações (ICP-ANACOM) deve emitir recomendações sobre as melhores práticas relativas ao nível de segurança que essas medidas devem alcançar.  5 - O ICP-ANACOM deve, diretamente ou através de entidade independente, auditar as medidas adotadas nos termos dos números anteriores.6 - O ICP-ANACOM deve estabelecer o plano dessas auditorias, de modo a abranger, nomeadamente, a determinação dos procedimentos e normas de referência a aplicar-lhes e os requisitos exigíveis aos auditores.  7 - Pode ainda o ICP-ANACOM, ou uma entidade independente por si designada, realizar auditorias de segurança extraordinárias 8 - Para efeitos da aplicação dos n.os 4 a 7 do presente artigo, caso estejam em causa medidas que possam envolver matérias de proteção de dados pessoais, deve o ICP-ANACOM solicitar parecer à CNPD.9 - Sem prejuízo do disposto na Lei da Proteção de Dados Pessoais, as medidas referidas nos n.os 1 a 3 devem, no mínimo, incluir:a) Medidas que assegurem que somente o pessoal autorizado possa ter acesso aos dados pessoais, e apenas para fins legalmente autorizados; b) A proteção dos dados pessoais transmitidos, armazenados ou de outro modo tratados, contra a destruição, a perda, a alteração, a divulgação ou o acesso não autorizados ou acidentais; c) Medidas que assegurem a aplicação de uma política de segurança no tratamento dos dados pessoais.10 - Em caso de risco especial de violação da segurança da rede, as empresas que oferecem serviços de comunicações eletrónicas acessíveis ao público devem informar gratuitamente os assinantes desses serviços da existência do risco e, sempre que o risco se situe fora do âmbito das medidas a tomar pelo prestador do