7 DE OUTUBRO DE 1999359n.° 1, alínea b), da Lei n.° 10/91, de 29 de Abril, na redacção da Lei n.° 28/94, de 29 de Agosto, o tratamento automatizado só pode ser efectuado se o Hospital obtiver — dos titulares dos dados — autorização para o tratamento daquela informação (cf. artigo 11.°, n.° 3, e 17.°, n.° 2, dos referidos diplomas). Em relação aos dados integrados noconceito de «convicções filosóficas e fé religiosa» — o artigo 35°, n.° 3. da Constituição da República, após a 4." revisão constitucional —, o seu tratamento depende de consentimento expresso e com conhecimento prévio das finalidades por parte dos titulares dos dados. Devem ser eliminados logo que o doente tenha alta;3) Os dados administrativos e de identificação devem ser separados, em termos lógicos, dos dados de saúde;4) O responsável do ficheiro deverá tomar medidas rigorosas para tornar efectiva a confidencialidade, estabelecendo níveis de acesso em função do tipo de dados e das funções desempenhadas. Deve, no prazo de 180 dias, especificar quais as medidas adoptadas;5) Os dados registados não poderão ser utilizados para finalidades diversas das determinantes da recolha (cf. artigo 5.° da Convenção de Protecção de Dados, ratificada pelo Decreto do Presidente da República n.° 21/93, in Diário da República, de 20 de Agosto de 1993, e artigo 15.° da Lei n.° 10/91).(') Cf. pareceres da PGR n.'" 270/78 (in Boletim do Ministério da Justiça. n.° 290, p. 167) e 49/91, de 12 de Março de 1992 (in Diário da República. 2.° série, de 16 de Março de 1995. p. 2938).Lisboa, 3 de Junho de 1998. —Amadeu Francisco Ribeiro Guerra (relator)—Joaquim de Seabra Lopes — Nuno Albuquerque Morais Sarmento — Luís José Durão Barroso — João Alfredo M. Labescat da Silva —Mário Manuel Varges Gomes — Augusto Victor Coelho (presidente).Autorização n.» 53/98(Processo n.° 406/96)0 C... Portugal, S. A., procedeu à legalização dos seus ficheiros através das autorizações n.os 29/97 e 126/97.1 — O C... está a desencadear uma campanha de promoção que prevê a realização de sorteio para o qual ficarão habilitadas as pessoas que enviarem os seus dados pessoais constantes do impresso de recolha de dados anexo. Estes dados «serão processados automaticamente» e servirão, depois, para o C... oferecer informação «sobre a empresa e sobre os produtos que comercializa» (cf. cupão de recolha de dados).Será constituída uma base de dados — que recolhe alguns dos dados que constam do processo de legalização, ficando a cargo da empresa D... Marketing Directo, L.da, «o tratamento e gestão informática dos dados procedentes dos cupões de promoção». O C... continua a ser o «proprietário» da informação, e o responsável pela base de dados.O contrato de prestação de serviços tem uma cláusula específica sobre a confidencialidade (artigo 3.° do contra-oto) dos dados e impossibilidade de utilização para finalidade diversa da indicada.2 — O.artigo 35.°, n." 4, da Constituição da República proíbe o acesso aos dados de «terceiros», salvo nos casos excepcionais previstos na lei.O artigo 32.° da Lei n.° 10/91, de 29 de Abril impõe o dever de sigilo profissional ao responsável do ficheiroe às «pessoas que, no exercício das suas funções, lenham conhecimento dos dados pessoais neles registados». Por isso, sendo legítima e legalmente possível a afectação das referidas tarefas a uma empresa de serviços ficam os funcionários — tal como se propõe — legalmente obrigados ao dever de sigilo.Acresce, por outro lado, que o artigo 78.° do Decreto--Lei n.° 298/92, de 31 de Dezembro (que aprovou o Regime Geral das Instituições de Crédito e Sociedades Financeiras) estabelece a obrigatoriedade de as pessoas «que prestam serviços a título permanente ou ocasional não podem revelar ou utilizar informações sobre factos ou elementos respeitantes [...] às relações com o cliente».3 — Em face do exposto, e com fundamento nas referidas disposições, não se vê objecção — em termos de protecção da privacidade — ao acesso aos referidos dados por parte de uma empresa de serviços.Em conclusão, A CNPDPI não vê objecção — erri termos de protecção da privacidade— ao acesso aos referidos dados por parte dos funcionários de uma empresa prestadora de serviços, os quais estão vinculados — quer legal quer contratualmente — ao dever de sigilo.Procede-se, nesta conformidade, à alteração da autorização n.° 29/97.Lisboa, 9 de Julho de 1998. —Amadeu Francisco Ribeiro Guerra (relator) — Joaquim Seabra Lopes — Nuno Albuquerque Morais Sarmento — Luis José Durão Barroso— João Alfredo Massano Labescat da Silva — Mário Varges Gomes — Augusto Victor Coelho (presidente).Autorização n.° 64/98(Processo n.° 110/94)O Banco M..., S. A., vem pedir a alteração da autorização relativa ao processamento automatizado da informação.Solicita, em síntese, o seguinte:1) A transmissão de dados de clientes no âmbito da subcontratação de serviços (v. g., mailing ou impressão de documentos individualizados). As empresas ficam sujeitas à obrigação de sigilo;2) O acesso directo ao seu sistema informático por parte da Companhia de Seguros I... («empresa do grupo»). Esta entidade «procede à venda ou gestão de produtos e ou serviços do Banco M... a fim de prestar informações, nomeadamente de natureza patrimonial e financeira, relativamente aos produtos e ou serviços já contratados»;3) A informação disponibilizada à I... seria utilizada para «fornecer informação aos clientes do Banco M... sobre produtos ou serviços oferecidos/ vendidos ou prestados pela I...».