26 DE ABRIL DE 2018 135 PROPOSTA DE LEI N.o 125/XIII (3.a) APROVA AS REGRAS RELATIVAS AO TRATAMENTO DE DADOS PESSOAIS PARA EFEITOS DE PREVENÇÃO, DETEÇÃO, INVESTIGAÇÃO OU REPRESSÃO DE INFRAÇÕES PENAIS OU DE EXECUÇÃO DE SANÇÕES PENAIS, TRANSPONDO A DIRETIVA (UE) 2016/680 Exposição de motivos A Diretiva (UE) 2016/680, do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativa à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas autoridades competentes para efeitos de prevenção, investigação, deteção ou repressão de infrações penais ou execução de sanções penais, e à livre circulação desses dados, assume como objetivo a tutela do direito à proteção de dados pessoais, consagrado no n.o 1 do artigo 8.o da Carta dos Direitos Fundamentais da União Europeia e no n.o 1 do artigo 16.o do Tratado sobre o Funcionamento da União Europeia. Trata-se da reafirmação de um direito fundamental, com acolhimento no direito constitucional da União e também na Constituição da República Portuguesa, cujo exercício deve ser equilibrado com o de outros direitos basilares, em conformidade com o princípio da proporcionalidade. A presente iniciativa legislativa visa transpor para a ordem jurídica interna a referida diretiva, aplicando-se ao tratamento de dados pessoais pelas autoridades competentes para efeitos de prevenção, investigação, deteção ou repressão de infrações penais ou de execução de sanções penais, incluindo as ameaças à segurança pública, mas com exclusão do tratamento relacionado com a segurança nacional. Espelhando o Regulamento (UE) n.o 2016/679, do Parlamento Europeu e do Conselho, de 27 de abril de 2016 (Regulamento Geral da Proteção de Dados), a diretiva em apreço acolhe como princípios do tratamento de dados pessoais os princípios da licitude, da finalidade, da minimização e da conservação apenas durante o período necessário à finalidade que legitima o tratamento. Por outro lado, dado que o tratamento dos dados pessoais nos domínios da cooperação judiciária em matéria penal e da cooperação policial implica necessariamente o tratamento de dados relativos a diferentes categorias de titulares e para efeitos distintos, estabelece-se agora a obrigatoriedade do responsável pelo tratamento distinguir claramente os dados de acordo com determinadas categorias de titulares, nomeadamente, suspeitos, pessoas condenadas por um crime, vítimas e terceiros. Estabelece-se, igualmente, a obrigatoriedade de distinguir os dados pessoais consoante se baseiem em factos ou em apreciações pessoais. Relativamente aos direitos do titular dos dados, a presente proposta de lei concretiza o direito à informação, com as limitações necessárias, dada a matéria em apreço. São assegurados, igualmente, os direitos de acesso, de retificação, de apagamento e de limitação do tratamento dos dados, os quais podem ser exercidos pessoalmente ou através das autoridades nacionais de proteção de dados. No que respeita às obrigações das autoridades competentes e dos subcontratados, é imposta a adoção de medidas técnicas e organizativas apropriadas, especialmente de segurança da informação. Assim, o responsável pelo tratamento fica sempre obrigado a implementar e a utilizar tecnologias de proteção dos dados que assegurem, desde a sua criação, que qualquer tratamento que venha a ser realizado cumprirá o disposto no presente regime e, em particular, que os dados tratados se restringem àqueles que são especificamente necessários à finalidade prosseguida – trata-se do designado princípio da «proteção de dados desde a conceção e por defeito». Impõe-se, ainda, a conservação de registos das atividades de tratamento e dos tratamentos automáticos. A par da obrigação de cooperação com as autoridades de controlo, incluindo a obrigação de consultar previamente essas autoridades em determinados casos, é imposta a realização de avaliações de impacto, bem como a notificação à autoridade de controlo e a comunicação ao titular de eventuais falhas na segurança, agora definidas como violações de dados pessoais. Por seu turno, é também obrigatória a designação do encarregado da proteção de dados, figura que terá como funções, entre outras, a de informar e aconselhar a autoridade competente, de monitorizar o cumprimento das normas aplicáveis e de cooperar e contactar com a autoridade de controlo. No que tange às transferências de dados pessoais para países terceiros (não membros da União Europeia) ou para organizações internacionais, estas poderão agora ter por base uma decisão de adequação, isto é, uma decisão da Comissão Europeia nos termos da qual se atesta que o estado ou organização em causa asseguram