II SÉRIE-A — NÚMERO 30 100 que transpõe para a ordem jurídica interna a Diretiva (UE) 2016/680, do Parlamento Europeu e do Conselho, de 27 de abril de 2016, nomeadamente quanto ao direito de acesso, retificação, apagamento e limitação, direito a indemnização e a recurso judicial, confidencialidade do tratamento e segurança dos dados. 2 –  O disposto no número anterior não prejudica a aplicação do Regulamento (UE) 2016/679, do Parlamento Europeu e do Conselho, de 27 de abril de 2016, ao tratamento de dados pessoais pelas transportadoras aéreas, especialmente no que se refere às suas obrigações de tomarem as medidas técnicas e organizativas adequadas para proteger a segurança e confidencialidade dos dados pessoais. 3 –  É proibido o tratamento de dados PNR que revelem a raça ou origem étnica da pessoa, as suas opiniões políticas, religião ou convicções filosóficas, filiação sindical, saúde, vida ou orientação sexual. 4 –  Se receber dados PNR que revelem as informações a que se refere o número anterior, o GIP procede ao seu apagamento imediato. 5 –  Ao tratamento, pelas autoridades competentes, de dados PNR transferidos para essas entidades, a que se refere o artigo 7.o, é aplicável o disposto na lei processual penal e no regime jurídico referido no n.o 1. Artigo 13.o Controlo do tratamento de dados PNR 1 –  O GIP conserva a documentação relativa a todos os sistemas e procedimentos de tratamento de dados sob a sua responsabilidade, incluindo, pelo menos: a) O nome e os contactos da organização e do pessoal do GIP a quem é confiado o tratamento de dados PNR e os diferentes níveis de autorização de acesso; b) Os pedidos apresentados pelas autoridades competentes, pelas unidades de informações de passageiros de outros Estados-Membros e pela Europol; c) Todos os pedidos e transferências de dados PNR para um país terceiro. 2 –  O PUC-CPI conserva cópia da documentação relativa às alíneas b) e c) do número anterior. 3 –  O GIP conserva, pelo menos, registos da recolha, consulta, divulgação e apagamento dos dados. 4 –  Os registos das operações de consulta e de divulgação indicam, em especial, a finalidade, a data e a hora dessas operações, a identidade da pessoa que consultou ou divulgou os dados PNR e, se possível, o destino da informação, incluindo a identidade dos seus destinatários. 5 –  Os registos e os documentos a que se referem os números anteriores só podem ser utilizados para efeitos de verificação e de autocontrolo, para garantir a integridade e a segurança dos dados e para efeitos de auditoria. 6 –  O GIP disponibiliza a documentação e os registos referidos nos números anteriores à autoridade de controlo, a pedido desta. 7 –  Os registos a que se referem os n.os 2 e 3 são conservados durante um prazo de cinco anos. 8 –  O GIP adota e aplica as medidas técnicas e de organização e os procedimentos adequados para garantir um elevado nível de segurança, adaptado aos riscos que o tratamento representa e à natureza dos dados PNR. 9 –  Em caso de violação de dados pessoais que seja suscetível de resultar num elevado risco para a proteção dos dados ou de prejudicar a privacidade do seu titular, o GIP comunica tal facto ao titular dos dados e à autoridade nacional a que se refere o artigo seguinte, sem demora injustificada. Artigo 14.o Autoridade de controlo A fiscalização da aplicação da presente lei compete à Comissão Nacional de Proteção de Dados (CNPD), enquanto autoridade de controlo a que se refere o regime jurídico relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas autoridades competentes para efeitos de prevenção, deteção, investigação ou repressão de infrações penais ou de execução de sanções penais, incluindo a salvaguarda e a prevenção de ameaças à segurança pública, que transpõe para a ordem jurídica interna a Diretiva (UE) 2016/680, do Parlamento Europeu e do Conselho, de 27 de abril de 2016.