II SÉRIE-A — NÚMERO 89 30 PROPOSTA DE LEI N.o 120/XIII (3.a) ASSEGURA A EXECUÇÃO, NA ORDEM JURÍDICA NACIONAL, DO REGULAMENTO (UE) 2016/679, RELATIVO À PROTEÇÃO DAS PESSOAS SINGULARES NO QUE DIZ RESPEITO AO TRATAMENTO DE DADOS PESSOAIS E À LIVRE CIRCULAÇÃO DESSES DADOS Exposição de motivos Em janeiro de 2012, a Comissão Europeia apresentou uma proposta de regulamento sobre a proteção de dados pessoais. Após um longo processo negocial, que se desenrolou com especial intensidade durante os anos de 2014 e 2015, aquela iniciativa legislativa veio a culminar na aprovação do Regulamento (UE) 2016/679, do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados. Este instrumento normativo, conhecido como Regulamento Geral de Proteção de Dados e doravante designado abreviadamente por RGPD, foi especialmente pensado para a proteção dos cidadãos face ao tratamento de dados pessoais em larga escala, por grandes empresas e serviços da sociedade de informação. O paradigma que esteve subjacente ao legislador europeu foi o das grandes multinacionais que gerem redes sociais ou aplicações informáticas à escala global, envolvendo a recolha e utilização intensivas de dados pessoais. Por esse motivo, algumas das soluções jurídicas que foram plasmadas para esse universo revelam-se por vezes desproporcionadas ou mesmo desadequadas para a generalidade do tecido empresarial nacional e para a Administração Pública, aos quais o RGPD, todavia, também se aplica. Assim, do trabalho de avaliação de impacto já realizado, conclui-se que a aplicação deste regulamento resultará em encargos administrativos elevados, que em muitos casos não se encontram suficientemente justificados pelos benefícios obtidos com o novo regime de proteção de dados pessoais relativamente ao regime atual. São justamente estes encargos que, sempre que possível, a presente proposta de lei visa mitigar – dentro da estreita margem conferida pelo RGPD e com respeito pelos direitos, liberdades e garantias previstos na Constituição –, garantindo um adequado equilíbrio entre a devida proteção dos titulares de dados pessoais, a liberdade de iniciativa económica e a tarefa estadual de promoção do bem-estar social. O RGPD revogou a Diretiva n.o 95/46/CE e é aplicável em todos os Estados-Membros da União Europeia a partir de 25 de maio de 2018. No entanto, esta revogação não significa que tenha sido estabelecida uma rotura absoluta entre o sistema de proteção de dados contido nessa diretiva e o sistema adotado pelo RGPD. De facto, são muitas as situações de continuidade, e há definições fulcrais que não foram afetadas, como por exemplo as de dados pessoais, tratamento ou responsável pelo tratamento. No que tange à aplicação material do RGPD, a legislação europeia sobre a proteção de dados pessoais continua sem se aplicar a tratamentos efetuados por pessoas singulares para finalidades pessoais e domésticas. O RGPD estabelece, contudo, regras mais exigentes quanto ao tratamento de categorias especiais de dados pessoais – por exemplo, origem racial ou étnica, opiniões políticas, convicções religiosas ou filosóficas, filiação sindical, dados relativos à saúde ou dados relativos à vida sexual ou orientação sexual – mantendo como fontes de legitimidade a lei e o consentimento. Permanecem, expressamente referidos, os princípios da legitimidade, da lealdade, da transparência, da finalidade e da exatidão. No plano dos direitos dos titulares dos dados, continuam vigentes os direitos de informação, de acesso, de retificação, de oposição, estabelecendo-se o princípio geral da interdição das decisões individuais automatizadas. Sobre as transferências para países terceiros ou organizações internacionais, continua a valer o critério de assegurar o nível de proteção adequado, apesar de se terem introduzido alterações sensíveis na matéria. Relativamente às autoridades de proteção de dados, o RGPD, apesar de ter procedido a alterações importantes nas competências relativas ao controlo prévio, mantém e inclusivamente reforça a independência destas autoridades. São muito amplas as atribuições das entidades de controlo, passando pelo controlo da execução e aplicação do RGPD até à aprovação de cláusulas contratuais tipo ou à aprovação de códigos de conduta. Os seus poderes