26 DE MARÇO DE 2018 31 estão divididos entre poderes de investigação, poderes de correção e poderes consultivos, mantendo-se, no essencial, o regime constante da diretiva. Também seguindo o anteriormente previsto na diretiva, o RGPD estabelece normas sobre direito sancionatório, agravando significativamente a moldura máxima das coimas.  Importa destacar, em todo o caso, as principais novidades que o regulamento europeu veio introduzir. Neste âmbito, deve mencionar-se a aplicação extraterritorial do RGPD quando esteja em causa a oferta de bens ou serviços sem necessidade de proceder a um pagamento ou ao controlo do comportamento dos titulares dos dados nas redes sociais, desde que tenha lugar no espaço da União Europeia. No domínio das definições, deve realçar-se a definição de perfis, de pseudonimização, de violação de dados pessoais e, ainda, os conceitos de estabelecimento principal, representante e empresa. A definição de consentimento passou a exigir um ato positivo inequívoco, afastando a possibilidade de consentimentos tácitos. O papel do subcontratante muda substancialmente no RGPD, na medida em que adquire responsabilidade própria perante os titulares dos dados. O RGPD admite que os Estados-Membros definam a idade com que as crianças podem ter acesso, sem carecer de consentimento dos seus representantes legais, à oferta direta de serviços da sociedade da informação, a qual pode variar entre 13 e 16 anos. No capítulo dos novos direitos, o direito ao apagamento de dados (‘direito a ser esquecido’) e o direito à portabilidade adquirem especial relevo. A relação entre a tecnologia e o Direito manifesta-se, de modo especial, na proteção de dados desde a conceção e por omissão, nas regras de segurança dos tratamentos, na notificação de violações de dados pessoais às autoridades de controlo, na comunicação de violação de dados pessoais a titulares dos dados e na avaliação de impacto sobre proteção de dados. De significativo relevo no RGPD encontra-se a figura do encarregado de proteção de dados, obrigatório na Administração Pública e nas entidades privadas que tratem informação sensível ou em grande escala. O encarregado de proteção de dados disporá de um estatuto de independência dentro da organização e deve ser designado de acordo com os seus conhecimentos de proteção de dados, contribuindo para substituir o papel de controlo prévio das autoridades de controlo, que é eliminado e substituído por registos das atividades de tratamento no âmbito de cada responsável pelo tratamento. Para além disso, através da figura da consulta prévia, o responsável pelo tratamento deve dirigir-se à autoridade de controlo antes de proceder a um tratamento de dados pessoais quando se tenha verificado, após uma avaliação de impacto, que se está perante um elevado risco. O RGPD determina a criação de procedimentos de certificação em matéria de proteção de dados, bem como a criação de selos e marcas. Outro dos aspetos relevantes do RGPD consiste no sistema do one stop shop ou de balcão único, de acordo com o qual a autoridade de controlo do estabelecimento principal ou do estabelecimento único do responsável pelo tratamento ou do subcontratante é competente para agir como autoridade de controlo principal para o tratamento transfronteiriço. Há ainda a destacar a criação do Comité Europeu para a Proteção de Dados, dotado de personalidade jurídica e criado para a aplicação coerente do RGPD. Apesar de se tratar de um regulamento da União Europeia, o RGPD apresenta um conjunto significativo de normas que requerem ou permitem a intervenção do legislador nacional. Através da presente proposta de lei, assegura-se a execução do RGPD na ordem jurídica interna, e adotam-se as soluções mais adequadas para a proteção dos direitos dos titulares de dados pessoais no contexto da competitividade das empresas portuguesas no quadro da União Europeia. Relativamente à autoridade de controlo nacional, adaptam-se as competências da Comissão Nacional de Proteção de Dados (CNPD) às atribuições e poderes previstos no RGPD, mantendo-se a respetiva composição e regras de funcionamento. Quanto à nova figura do encarregado de proteção de dados, esclarecem-se as condições exigidas para o exercício de tal cargo e densificam-se as respetivas funções, instituindo-se um regime jurídico específico para a Administração Pública. No tocante à acreditação e certificação previstas no RGPD, atribui-se ao Instituto Português de Acreditação,